La plateforme de portefeuilles Bitcoin Lightning, LNbits, a appelé ses utilisateurs à mettre à jour immédiatement vers sa dernière version suite à une série d’attaques visant ses instances, entraînant le vol de fonds. Le projet a publié la version 1.7.0 mardi, qualifiant cette mise à jour de critique pour remédier à des vulnérabilités et renforcer l’authentification, la gestion des extensions et le traitement des paiements.
Risques de sécurité mis en lumière
LNbits a averti que la simple mise à jour ne protégerait pas les installations dont les identifiants avaient déjà été compromis. « Cela a été des jours très difficiles, travaillant sans relâche pour sortir cette version après que nos utilisateurs et nous-même avons subi des pertes », a déclaré le créateur de LNbits, Ben Arc, sur X. LNbits fournit un logiciel pour gérer des portefeuilles Bitcoin Lightning et des applications de paiement, comprenant des systèmes de caisse pour commerçants, des services de pourboire et des murs de paiement.
Instruction pour les utilisateurs
Le projet a d’abord averti les opérateurs dimanche de désactiver son extension Paywall tout en enquêtant sur une potentielle vulnérabilité. Environ une heure plus tard, LNbits a conseillé aux utilisateurs de fermer immédiatement leurs serveurs en raison d’une vague d’attaques, et a également mis hors ligne ses installations hébergées. L’entreprise n’a pas encore détaillé l’exploitation ni le nombre d’utilisateurs touchés. Dans l’annonce accompagnant le patch d’urgence, LNbits a présenté la vulnérabilité comme affectant toutes les versions antérieures à 1.7.0, exposant ainsi les fonds au risque de vol.
Actions recommandées pour les utilisateurs
LNbits a aussi mis en garde que les identifiants exposés avant la mise à jour pourraient toujours permettre aux attaquants d’accéder aux comptes par la suite. Les opérateurs sont donc conseillés de réinitialiser les clés de portefeuille, de remplacer les identifiants de source de financement, et de considérer comme compromis les secrets stockés dans les paramètres de LNbits, recommandant de migrer vers un nouveau serveur en cas de soupçon de compromission. Cointelegraph a contacté Ben Arc et LNbits pour obtenir des commentaires. Un utilisateur, Kevin Ravensberg, a indiqué que des attaquants avaient exploité son instance LNbits, retirant environ 2,3 millions de satoshis, soit 0,023 Bitcoin, avant qu’il ne puisse fermer le serveur. La société a annoncé qu’un rapport distinct détaillant l’exploitation suivra.