Chi gestisce un server LNbits, il sistema open source che permette di creare e distribuire wallet Bitcoin sulla rete Lightning, deve spegnerlo subito. È l’invito pubblicato domenica 8 novembre dal progetto, che parla di «un’ondata di attacchi» e di diverse patch di sicurezza in arrivo. Almeno un operatore ha segnalato il furto di oltre 2,28 milioni di satoshi da parte di account appena creati. A lunedì mattina non era ancora disponibile una versione corretta.
LNbits, dall’avviso sul Paywall allo stop per tutti i server
Il primo segnale è arrivato domenica alle 13:33 ora italiana sull’account ufficiale del progetto su X: chi aveva attiva l’estensione Paywall, che consente di far pagare l’accesso a un contenuto, doveva disattivarla «immediatamente» mentre il team indagava su un possibile bug. Poco più di un’ora dopo, alle 14:56, l’avviso è stato esteso a tutti: «Tutti gli utenti di LNbits dovrebbero fermare i propri server IMMEDIATAMENTE. A seguito di un’ondata di attacchi, abbiamo diverse patch di sicurezza da pubblicare. Fino ad allora è meglio essere prudenti».
Lo sviluppatore Ben Arc ha aggiunto che le correzioni «dovrebbero essere integrate e disponibili entro 24-48 ore». In serata il progetto ha spento per precauzione anche tutte le istanze del proprio servizio in hosting, my.lnbits.com, promettendo il ripristino entro 24 ore.
Il furto segnalato da BitTipBot
Il caso documentato pubblicamente riguarda Kevin Ravensberg, che gestisce l’istanza LNbits alla base di BitTipBot, un bot per le mance in Bitcoin su Telegram. Secondo il suo racconto su X, il server è stato sfruttato prima dell’allarme: nuovi account hanno prelevato 2.285.545 satoshi, circa 0,023 bitcoin, tra le 10:22 e le 15:00 ora italiana. L’attacco era quindi iniziato più di tre ore prima del primo avviso del progetto. Ravensberg ha promesso di rimborsare gli utenti del bot, che però non possono accedere ai fondi finché le falle non saranno corrette.
In un secondo messaggio Ravensberg ha scritto che un red team e Ben Arc hanno individuato «quale estensione esatta» è stata sfruttata sul suo server, senza però nominarla. Il progetto non ha detto quante istanze siano state colpite né quanto sia stato sottratto in totale.
Cosa non sappiamo ancora
Al momento LNbits non ha descritto le vulnerabilità né confermato se il bug del Paywall sia tra queste. Sulla pagina GitHub del progetto non compaiono nuovi avvisi di sicurezza, non risulta pubblicato alcun CVE e l’ultima release è ancora la 1.6.2 del 18 settembre. L’avviso riguarda i server LNbits e non i nodi Lightning o altri software di wallet: il problema, almeno per quanto comunicato finora, è nello strato applicativo che gestisce gli account.
Lo schema ricorda da vicino quello di pochi giorni fa, quando BTCPay Server ha chiesto di spegnere le istanze dopo i furti dagli hot wallet: anche qui il software è installato in autonomia da ciascun operatore, quindi non esiste un interruttore centrale e il progetto può solo chiedere di diffondere l’avviso. Un’altra conferma di un periodo difficile per le criptovalute, dopo l’esposizione delle chiavi dei wallet Keplr creati con login social e l’hack di Binance attribuito alla Corea del Nord.
Cosa fare se si gestisce un server LNbits
- Tenere il server spento finché il progetto non pubblica una versione corretta, e aggiornare solo dai canali ufficiali (repository GitHub e account del progetto).
- Prima di riavviare, controllare nei log e nel pannello amministrativo la creazione di nuovi account e i prelievi recenti, in particolare nella giornata dell’8 novembre.
- Se si usano estensioni come Paywall, valutare di lasciarle disattivate anche dopo l’aggiornamento finché non sarà chiarito quale sia stata sfruttata.
- Ridurre i fondi esposti: sul nodo Lightning collegato è prudente lasciare solo la liquidità necessaria al servizio.
- Per gli utenti di servizi basati su LNbits: diffidare di messaggi che offrono «recuperi» di fondi o chiedono dati di accesso, e seguire solo le comunicazioni ufficiali del gestore.
Fonti: LNbits su X (avviso Paywall), LNbits su X (stop ai server), LNbits su X (servizio in hosting), Ben Arc su X, Kevin Ravensberg su X (furto), Kevin Ravensberg su X (aggiornamento), LNbits su GitHub, The Hacker News, Bitcoin.com News, The Defiant.
