Die Bitcoin-Lightning-Wallet-Plattform LNbits hat Nutzer dazu aufgerufen, sofort auf die neueste Version zu aktualisieren, nachdem sie eine Angriffswelle auf LNbits-Instanzen gemeldet hatte, bei der Gelder gestohlen wurden.
Das Projekt veröffentlichte am Dienstag Version 1.7.0 und bezeichnete sie als kritisches Release, das Schwachstellen behebt und Authentifizierung, Erweiterungsverwaltung und Zahlungsabwicklung stärkt. LNbits warnte, dass ein Update allein Installationen nicht schütze, deren Zugangsdaten bereits kompromittiert worden seien.
„Es waren sehr herausfordernde Tage, in denen wir unermüdlich daran gearbeitet haben, das v1.7-Release herauszubringen, nachdem unsere Nutzer und wir Verluste erlitten haben“, sagte LNbits-Erfinder Ben Arc auf X.
LNbits stellt Software für den Betrieb von Bitcoin-Lightning-Wallets und Zahlungsanwendungen bereit, darunter Händler-Kassen, Trinkgelddienste und Paywalls. Entwickler Ben Arc sagte im Mai, dass etwa 200.000 Menschen die Software selbst betreiben.
LNbits warnte Betreiber erstmals am Sonntag, die Paywall-Erweiterung zu deaktivieren, während das Projekt eine potenzielle Schwachstelle untersuchte. Nur etwas mehr als eine Stunde später forderte das Projekt Nutzer auf, ihre LNbits-Server sofort abzuschalten, und verwies auf eine Angriffswelle. Auch die eigenen gehosteten Installationen wurden offline genommen.
Das Unternehmen hat die Exploit-Methode und die Zahl der Betroffenen bislang nicht im Detail genannt. In einer Ankündigung zum Notfall-Patch erklärte LNbits, die Schwachstelle betreffe alle Versionen vor 1.7.0 und bringe Gelder in Gefahr, gestohlen zu werden.
Siehe auch: BitMart-Gründer sagt, das Sicherheitsteam sei nach dem neuen Hack „stark unterbesetzt“
Zudem wurde gewarnt, dass vor dem Upgrade offengelegte Zugangsdaten Angreifern auch danach noch Zugriff verschaffen könnten; Betreiber wurden aufgefordert, Wallet-Schlüssel zurückzusetzen, Zugangsdaten der Finanzierungsquelle zu ersetzen und in den LNbits-Einstellungen gespeicherte Geheimnisse als kompromittiert zu behandeln, und es wurde empfohlen, bei Verdacht auf eine Kompromittierung auf einen frischen Server zu wechseln.
Cointelegraph hat Ben Arc und LNbits um eine Stellungnahme gebeten.
Ein Nutzer, Kevin Ravensberg, erklärte, Angreifer hätten seine LNbits-Instanz ausgenutzt und über neu angelegte Konten etwa 2,3 Millionen Satoshis, also 0,023 Bitcoin, abgezogen, bevor er den Server abschalten konnte.
Das Unternehmen kündigte an, dass ein gesonderter Bericht mit Einzelheiten zur ausgenutzten Schwachstelle folgen werde.
Magazin: Bitcoins „beste Kaufgelegenheit aller Zeiten“ ist da: Mark Moss