LNbits نسخه ۱٫۷٫۰ را به‌عنوان بروزرسانی امنیتی فوری منتشر کرد

LNbits، کیف پول و پلتفرم حساب‌های متن‌باز شبکه لایتنینگ، در تاریخ ۱۰ نوامبر نسخه ۱٫۷٫۰ را به‌عنوان یک بروزرسانی امنیتی فوری منتشر کرد و از تمام اپراتورها خواست تا قبل از راه‌اندازی مجدد سرورهای خود، این بروزرسانی را انجام دهند.

این پروژه در حساب رسمی خود در X این خبر را اعلام کرد و به آن عنوان “بروزرسانی امنیتی” داد. این بروزرسانی پس از یک سری حملات که از آخر هفته آغاز شد، منتشر گردید. در تاریخ ۸ نوامبر، LNbits در X اعلام کرد که تمام کاربران باید بلافاصله سرورهای LNbits خود را متوقف کنند و افزود که وصله‌های امنیتی در حال آماده‌سازی است و “بهتر است احتیاط کنیم.”

این پروژه همچنین نمونه‌های خود را در سرویس میزبانی خود غیرفعال کرد. گزارش‌های متعددی از ایجاد حساب‌های غیرمجاز و برداشت وجوه مستند شده است. کوین ریونزبرگ، اپراتور سرویس انعام تلگرام BitTipBot، به‌طور عمومی اعلام کرد که مهاجمان حساب‌های جدیدی در نمونه او ایجاد کرده و ۲٬۲۸۵٬۵۴۵ ساتوشی (تقریباً ۰٫۰۲۲۹ BTC) را بین ساعت‌های ۰۹:۲۲ تا ۱۴:۰۰ UTC در تاریخ ۸ نوامبر برداشت کرده‌اند.

بر اساس راهنمای بروزرسانی رسمی که همراه با این نسخه منتشر شده، نسخه‌های قبل از ۱٫۷٫۰ تحت تأثیر قرار گرفته‌اند و “وجوهی که بر روی نسخه‌های قبلی LNbits در حال اجرا هستند، در معرض سرقت قرار دارند.” این پروژه اعلام کرد که نسخه ۱٫۷٫۰ شامل اصلاحات امنیتی در پاسخ به حادثه‌ای است که در تاریخ ۸ نوامبر کشف شد و یک گزارش فنی کامل در مورد این آسیب‌پذیری به زودی منتشر خواهد شد.

اپراتورها توصیه می‌شوند در صورت مشکوک بودن به نفوذ، یک سرور جدید راه‌اندازی کنند، زیرا تنها بروزرسانی نمی‌تواند دسترسی مهاجمی که ممکن است قبلاً به دست آمده باشد را حذف کند. مراحل اضافی بازیابی شامل چرخش تمام کلیدهای کیف پول کاربر به‌عنوان سوپر ادمین، جایگزینی اعتبارنامه‌های منبع تأمین مالی (کلیدهای API یا ماکارون‌ها)، چرخش سایر اسرار ذخیره‌شده در تنظیمات و بررسی یا بازسازی اتصالات برای افزونه‌هایی مانند NWC Provider، LNDHub، Bolt Cards، TPOS، Bleskomat و FOSSA است.

یادداشت‌های انتشار GitHub شامل سخت‌افزاری گسترده در زمینه امنیت در مدیریت احراز هویت، مدیریت افزونه و پردازش پرداخت، به‌علاوه به‌روزرسانی‌های وابستگی است. ویژگی‌های جدیدی که با این نسخه عرضه می‌شوند شامل پشتیبانی از کیف پول‌های زنجیره‌ای، پرداخت‌های پیشنهاد BOLT12، احراز هویت دو مرحله‌ای TOTP، پشتیبانی NIP-۱۷، زمان‌بندی شغلی، به‌روزرسانی‌های خودکار افزونه و پشتیبانی از فاکتورهای نگهداری برای منبع تأمین مالی LNbits است.

این پروژه خاطرنشان کرد که LNbits به‌عنوان یک کیف پول داغ عمل می‌کند و اپراتورها باید تنها موجودی‌های عملیاتی را به‌صورت آنلاین نگه‌دارند، به‌طور منظم فعالیت‌ها را بررسی کنند و وجوه اضافی را به کلیدهای آفلاین منتقل کنند. LNbits به‌عنوان یک پروژه رایگان و متن‌باز در سال ۲۰۱۹ توسط بن آرک تأسیس شد و بعداً یک نهاد تجاری برای حمایت از توسعه آن تأسیس گردید. این پروژه حساب‌های چندکاربره و مجموعه‌ای بزرگ از افزونه‌ها را بر روی هر منبع تأمین مالی لایتنینگ (از جمله LND و Core Lightning) ارائه می‌دهد.

به‌عنوان بخشی از اعلام نسخه ۱٫۷٫۰، این پروژه هنوز مجموع کل وجوه از دست رفته در تمام نمونه‌های تحت تأثیر را منتشر نکرده است. اپراتورهایی که هنوز بروزرسانی نکرده‌اند، به راهنمای رسمی ارجاع داده می‌شوند تا قبل از آنلاین کردن مجدد سرورها، اقدام کنند.

نکات مهم

LNbits نسخه ۱٫۷٫۰ را به‌عنوان بروزرسانی امنیتی فوری منتشر کرد. حملات فعال در تاریخ ۸ نوامبر باعث برداشت وجوه از حساب‌ها شد. اپراتورها باید قبل از راه‌اندازی مجدد سرورها، بروزرسانی کنند.

منبع: Bitcoin Magazine