پلتفرم کیف پول بیت‌کوین لایتنینگ، LNbits، از کاربران خود خواسته است تا فوراً نرم‌افزار خود را به آخرین نسخه به‌روزرسانی کنند. این درخواست پس از آن صورت گرفت که این پروژه از موج حملاتی خبر داد که نمونه‌های LNbits را هدف قرار داده و منجر به سرقت وجوه شده است.
این پروژه نسخه ۱.۷.۰ را در روز سه‌شنبه منتشر کرد و آن را یک نسخه حیاتی برای رفع آسیب‌پذیری‌ها و تقویت احراز هویت، مدیریت افزونه‌ها و پردازش پرداخت‌ها توصیف کرد. LNbits هشدار داد که به‌روزرسانی به تنهایی نمی‌تواند نصب‌هایی را که اعتبارنامه‌هایشان قبلاً به خطر افتاده است، محافظت کند.
هشدار به کاربران و انتشار وصله
بن آرک، خالق LNbits، در پلتفرم X گفت: «چند روز بسیار چالش‌برانگیزی را پشت سر گذاشتیم و بی‌وقفه برای انتشار نسخه v1.7 پس از آسیب دیدن کاربران و ما از خسارات، تلاش کردیم». LNbits نرم‌افزاری برای اجرای کیف پول‌ها و برنامه‌های پرداخت بیت‌کوین لایتنینگ، از جمله پایانه‌های فروش بازرگانان، سرویس‌های انعام و دیوارهای پرداخت، ارائه می‌دهد. بن آرک، توسعه‌دهنده، در ماه مه گفته بود که حدود ۲۰۰,۰۰۰ نفر این نرم‌افزار را خودشان اجرا می‌کنند.
LNbits ابتدا در روز یکشنبه به اپراتورها هشدار داد که افزونه Paywall خود را غیرفعال کنند تا زمانی که آسیب‌پذیری احتمالی را بررسی کند. کمی بیش از یک ساعت بعد، این پروژه از کاربران خواست تا فوراً سرورهای LNbits خود را خاموش کنند و به موج حملات اشاره کرد. همچنین نمونه‌های میزبانی شده خود را آفلاین کرد.
جزئیات آسیب‌پذیری و خسارات
این شرکت هنوز جزئیات اکسپلویت و تعداد افراد تحت تأثیر آن را منتشر نکرده است. در اطلاعیه‌ای که همراه با وصله اضطراری منتشر شد، LNbits اعلام کرد که این آسیب‌پذیری بر تمام نسخه‌های قبل از ۱.۷.۰ تأثیر می‌گذارد و وجوه را در معرض خطر سرقت قرار می‌دهد. این شرکت همچنین هشدار داد که اعتبارنامه‌هایی که قبل از ارتقاء به خطر افتاده‌اند، همچنان می‌توانند دسترسی مهاجمان را فراهم کنند. از این رو، از اپراتورها خواسته شد تا کلیدهای کیف پول را بازنشانی کنند، اعتبارنامه‌های منبع تأمین مالی را جایگزین کنند و اسرار ذخیره شده در تنظیمات LNbits را به عنوان در معرض خطر در نظر بگیرند و در صورت مشکوک شدن به نفوذ، انتقال به یک سرور جدید را توصیه کردند.
یک کاربر به نام کوین راونزبرگ گفت که مهاجمان از نمونه LNbits او سوءاستفاده کرده و قبل از اینکه او بتواند سرور را خاموش کند، حدود ۲.۳ میلیون ساتوشی، معادل ۰.۰۲۳ بیت‌کوین، را از طریق حساب‌های جدید برداشت کرده‌اند. این شرکت اعلام کرده است که گزارش جداگانه‌ای که جزئیات اکسپلویت را شرح می‌دهد، به زودی منتشر خواهد شد.
