ビットコインのライトニングウォレットプラットフォーム「LNbits」は、LNbitsインスタンスを標的とした一連の攻撃により資金が盗まれたと報告し、ユーザーに最新バージョンへ直ちに更新するよう呼びかけました。

プロジェクトは火曜日にバージョン1.7.0を公開し、脆弱性に対処し、認証、拡張機能管理、支払い処理を強化する重要なリリースだと説明した。LNbitsは、認証情報がすでに侵害されているインストール環境では、アップデートだけでは保護されないと警告した。

LNbitsの創設者であるベン・アーク氏はXで次のように述べた。「ユーザーと私たち自身が損失を被った後、v1.7リリースを出すために絶え間なく作業を続け、ここ数日は非常に厳しい状況だった」

LNbitsは、ビットコインのライトニングウォレットや決済アプリケーションを運用するためのソフトウェアを提供しており、加盟店向けチェックアウト、チップサービス、ペイウォールなどが含まれる。開発者のBen Arc氏は5月、約20万人がこのソフトウェアを自ら運用していると述べた。

LNbitsは日曜日、潜在的な脆弱性を調査している間、Paywall拡張機能を無効にするよう運営者に最初に警告した。わずか1時間余り後、プロジェクトは一連の攻撃を理由に、LNbitsサーバーを直ちにシャットダウンするようユーザーに促した。また、自社がホストするインストールもオフラインにした。

同社はまだこのエクスプロイトの詳細や、影響を受けた人数を明らかにしていない。緊急パッチに添えられた告知の中で、LNbitsはこの脆弱性が1.7.0より前のすべてのバージョンに影響し、資金が盗難のリスクにさらされると述べた。

関連記事：BitMart創業者、新たなハッキングを受けセキュリティチームが「著しく人員不足」と発言

また、アップグレード前に露出した認証情報は、アップグレード後も攻撃者にアクセスを許す可能性があると警告し、運営者に対し、ウォレットキーのリセット、資金供給元の認証情報の交換、LNbitsの設定に保存されたシークレットを侵害済みとして扱うよう促すとともに、侵害が疑われる場合は新しいサーバーへ移行することを推奨した。

Cointelegraphはコメントを求めてBen Arc氏とLNbitsに連絡を取った。

ユーザーの一人、ケビン・レイブンズバーグ氏は、攻撃者が自身のLNbitsインスタンスを悪用し、サーバーを停止する前に新規作成したアカウントを通じて約230万サトシ（0.023ビットコイン）を引き出したと述べた。

同社は、この脆弱性の悪用について詳述する別の報告書を後日公開すると述べた。

雑誌：ビットコインの「史上最高の買い時」が到来：マーク・モス