LNbits lanza la actualización de seguridad urgente 1.7.0 tras los ataques del 8 de noviembre que drenaron fondos

Bitcoin Magazine LNbits lanza la actualización de seguridad urgente 1.7.0 tras los ataques del 8 de noviembre que drenaron fondos. LNbits, la plataforma de código abierto de wallet y cuentas de Lightning Network, lanzó la versión 1.7.0 el 10 de noviembre como una actualización de seguridad urgente e instruyó a todos los operadores a actualizar antes de reiniciar sus servidores. La cuenta oficial del proyecto en X publicó el anuncio con un enlace al release de GitHub, calificándolo como una "SECURITY UPDATE". El lanzamiento se produce tras una ola de ataques que comenzó durante el fin de semana.

El 8 de noviembre, LNbits publicó en X que todos los usuarios debían detener sus servidores LNbits de inmediato tras reportar ataques activos, añadiendo que se estaban preparando parches de seguridad y que era "mejor pecar de precavido". El proyecto también deshabilitó instancias en su servicio alojado. Múltiples reportes documentaron la creación no autorizada de cuentas y retiros de fondos.

Kevin Ravensberg, operador del servicio de propinas de Telegram BitTipBot, declaró públicamente que los atacantes crearon nuevas cuentas en su instancia y retiraron 2.285.545 satoshis (aproximadamente 0,0229 BTC) entre las 09:22 y las 14:00 UTC del 8 de noviembre. Según la guía oficial de actualización publicada junto con el lanzamiento, las versiones anteriores a la 1.7.0 están afectadas y "los fondos que corren en versiones previas de LNbits están en riesgo de ser robados". El proyecto declaró que la 1.7.0 incluye correcciones de seguridad en respuesta al incidente descubierto el 8 de noviembre y que seguirá un informe técnico completo sobre el exploit.

Se aconseja a los operadores configurar un servidor nuevo si se sospecha un compromiso, porque actualizar por sí solo no puede eliminar el acceso que un atacante ya pueda haber obtenido. Los pasos adicionales de recuperación incluyen rotar todas las claves de wallet de usuario como Super Admin, reemplazar las credenciales de la fuente de fondos (API keys o macaroons), rotar otros secretos almacenados en la configuración y revisar o recrear las conexiones para extensiones como NWC Provider, LNDHub, Bolt Cards, TPOS, Bleskomat y FOSSA.

Las notas del release de GitHub describen un extenso endurecimiento de seguridad en autenticación, gestión de extensiones y manejo de pagos, además de actualizaciones de dependencias. Las nuevas funciones que se incluyen con la versión comprenden soporte para wallet on-chain, pagos con ofertas BOLT12, autenticación de dos factores TOTP, soporte NIP-17, un programador de tareas, actualizaciones automáticas de extensiones y soporte de hold invoice para la fuente de fondos de LNbits.

El proyecto señala que LNbits funciona como una hot wallet y que los operadores deben mantener en línea solo los saldos operativos, revisar la actividad con regularidad y mover el exceso de fondos a claves offline. LNbits fue fundado como un proyecto gratuito y de código abierto en 2019 por Ben Arc y posteriormente incorporó una entidad comercial para apoyar el desarrollo. Proporciona cuentas multiusuario y una amplia suite de extensiones sobre cualquier fuente de fondos de Lightning (incluyendo LND y Core Lightning).

Bitcoin Magazine perfiló el proyecto en septiembre de 2024, describiéndolo como "el WordPress para tu nodo de Bitcoin Lightning", señalando su uso generalizado por individuos, empresas y operadores de nodos que buscan herramientas accesibles para Lightning. El software está ampliamente desplegado tanto de forma autoalojada como mediante instancias gestionadas. Al momento del anuncio de la v1.7.0, el proyecto no ha publicado un total agregado de fondos perdidos en todas las instancias afectadas. Los operadores que aún no han actualizado deben consultar la guía oficial antes de volver a poner los servidores en línea.

Esta publicación LNbits lanza la actualización de seguridad urgente 1.7.0 tras los ataques del 8 de noviembre que drenaron fondos apareció primero en Bitcoin Magazine y está escrita por Juan Galt.