Проект LNbits рекомендовал операторам всех серверов временно остановить их работу на фоне атак. Разработчики готовят несколько исправлений безопасности и советуют не возобновлять работу до их выпуска.
LNbits — бесплатная система Bitcoin Lightning-кошельков с открытым исходным кодом. По состоянию на 09:00 UTC 10 ноября исправленная версия ещё не была опубликована. Проект не отменял рекомендацию об отключении, не предлагал временного обходного решения и не объяснял, как проверить экземпляры на признаки компрометации до остановки.
От Paywall к остановке серверов
Первое предупреждение LNbits опубликовал 9 ноября в 12:33 UTC. Оно касалось только Paywall — расширения, которое требует оплаты для доступа к контенту. Операторам предложили отключить этот компонент, пока команда разбирается с возможной ошибкой.
Примерно через 80 минут проект выпустил более широкое уведомление: останавливать следует сами серверы LNbits. В нём не говорится о необходимости отключать Lightning-узлы или другое ПО для криптокошельков.
Разработчик LNbits Бен Арк сообщил, что готовящиеся исправления должны быть объединены и доступны в течение 24–48 часов. На момент его сообщения это означало ориентировочное окно с 14:00 UTC 10 ноября до 14:00 UTC 11 ноября. Позднее 9 ноября проект остановил все экземпляры LNbits, обслуживаемые через облачный сервис my[.]lnbits[.]com. Пользователям хостинга сообщили, что сервисы должны возобновить работу в течение 24 часов — приблизительно к 17:20 UTC 10 ноября.
Для операторов, которым важно увязать фиксацию событий и контроль инфраструктуры с внутренними требованиями, может быть полезна официальная страница Security Capsule SIEM для оценки применимости к требованиям инфраструктуры. Однако она не заменяет действий, прямо рекомендованных LNbits: проект пока не опубликовал способ проверки серверов, которые могли быть скомпрометированы до остановки.
Новости информационной безопасности, технологий и государственного регулирования, а также анонсы новых исследований Tech Threat Lab.
Сообщение о выводе средств
Оператор Кевин Рейвенсберг сообщил, что новые учётные записи использовали уязвимость на его сервере и вывели 2 285 545 сатоши — около 0,023 BTC. По его данным, атака продолжалась 9 ноября с 09:22 до 14:00 UTC, то есть началась более чем за три часа до первого предупреждения LNbits.
Инцидент затронул BitTipBot — Telegram-бота, который обслуживал Рейвенсберг. Он пообещал компенсировать пользователям потери, но доступ к их средствам останется недоступным, пока разработчики LNbits не устранят уязвимости.
Позднее Рейвенсберг заявил, что Бен Арк и команда тестировщиков безопасности подтвердили, какое именно расширение использовали при атаке на его сервер. По состоянию на 09:00 UTC 10 ноября ни он, ни LNbits не раскрывали название этого расширения. Не подтверждено и то, было ли им Paywall, упомянутое в первоначальном предупреждении.
LNbits не сообщил, сколько серверов подверглось атакам и каков общий объём похищенных средств. Один подтверждённый эпизод не позволяет оценить масштаб затронутой инфраструктуры.
Что делать операторам
Российским организациям и частным операторам, использующим собственные серверы LNbits, следует выполнить рекомендацию проекта и приостановить их работу до выпуска исправлений. Отдельных указаний для Lightning-узлов или иных кошельков в уведомлении нет: отключение относится именно к серверам LNbits. После выхода обновления операторам потребуется ориентироваться на дальнейшие сообщения проекта, поскольку способ проверки уже скомпрометированных серверов пока не опубликован.