Proje, eski sürümleri çalıştıran kurulumların savunmasız olduğunu belirtti ve yükseltme sonrasında bile operatörlerin potansiyel olarak açığa çıkmış kimlik bilgilerini değiştirmesi çağrısında bulundu.
Bitcoin Lightning cüzdan platformu LNbits, LNbits örneklerini hedef alan ve fonların çalınmasıyla sonuçlanan bir saldırı dalgası bildirdikten sonra kullanıcıları en son sürüme derhal güncellemeye çağırdı.
Proje, Salı günü 1.7.0 sürümünü yayımladı ve bunu kritik bir sürüm olarak tanımladı; güvenlik açıklarını gidermenin yanı sıra kimlik doğrulama, eklenti yönetimi ve ödeme işlemeyi güçlendirdi. LNbits, kimlik bilgileri daha önce tehlikeye atılmış kurulumları güncellemenin tek başına koruyamayacağı konusunda uyardı.
“Son birkaç gün çok zordu, kullanıcılarımız ve biz zarar gördükten sonra v1.7 sürümünü çıkarmak için durmaksızın çalıştık,” diye yazdı LNbits yaratıcısı Ben Arc X’te.
LNbits, tüccar ödeme sayfaları, bahşiş hizmetleri ve ödeme duvarları da dahil olmak üzere Bitcoin Lightning cüzdanları ve ödeme uygulamaları çalıştırmak için yazılım sağlıyor. Geliştirici Ben Arc, Mayıs ayında yaklaşık 200.000 kişinin yazılımı kendilerinin çalıştırdığını söyledi.
LNbits, Pazar günü olası bir güvenlik açığını araştırırken operatörleri Paywall eklentisini devre dışı bırakmaları konusunda ilk kez uyardı. Yaklaşık bir saat sonra proje, bir saldırı dalgası gerekçe gösterilerek kullanıcıları LNbits sunucularını derhal kapatmaya çağırdı. Kendi barındırılan kurulumlarını da çevrimdışı aldı.
Şirket henüz istismarı ve bunun kaç kişiyi etkilediğini detaylandırmadı. Acil yamanın eşlik eden duyurusunda LNbits, güvenlik açığının 1.7.0 öncesi tüm sürümleri etkilediğini ve fonların çalınma riski taşıdığını söyledi.
Ayrıca, yükseltme öncesinde açığa çıkan kimlik bilgilerinin yükseltme sonrasında bile saldırganlara erişim sağlayabileceği konusunda uyardı; operatörlerin cüzdan anahtarlarını sıfırlaması, fon kaynağı kimlik bilgilerini değiştirmesi ve LNbits ayarlarında saklanan sırları tehlikeye atılmış olarak ele alması çağrısında bulundu ve bir ihlalden şüphelenilmesi halinde yeni bir sunucuya geçilmesini önerdi.
Cointelegraph, yorum için Ben Arc ve LNbits’e ulaştı.
Bir kullanıcı Kevin Ravensberg, saldırganların LNbits örneğini istismar ettiğini ve sunucuyu kapatamadan önce yeni oluşturulan hesaplar aracılığıyla 2,3 milyon satoshi, yani 0,023 Bitcoin çektiğini söyledi.
Şirket, istismarı detaylandıran ayrı bir raporun takip edeceğini söyledi.
