LNbits 1.7.0 colmate une faille de sécurité exploitée depuis le 8 novembre
Le 10 novembre, LNbits a publié la version 1.7.0 pour corriger une faille de sécurité exploitée depuis le 8 novembre contre des instances auto-hébergées. Les attaques ont permis de créer des comptes sans autorisation et de retirer des fonds en Bitcoin : le projet demande aux opérateurs d’installer le correctif avant de redémarrer leur serveur.
Ce qu’il faut retenir
- Le 8 novembre, LNbits a demandé l’arrêt immédiat des serveurs après une vague d’attaques.
- L’instance de BitTipBot a perdu 2 285 545 satoshis, soit environ 0,0229 BTC.
- La mise à jour 1.7.0 renforce l’authentification, la gestion des extensions et le traitement des paiements.
- En cas de compromission suspectée, le projet recommande de repartir d’un serveur neuf et de renouveler les clés et secrets.
Faille de sécurité LNbits : des retraits signalés le 8 novembre
Le compte officiel du projet a appelé les utilisateurs à arrêter leurs serveurs pendant la préparation des correctifs. LNbits a aussi désactivé ses instances hébergées durant les attaques, privilégiant l’interruption du service à l’exposition prolongée des fonds.
Le cas de BitTipBot donne une mesure concrète de l’impact. Son opérateur, Kevin Ravensberg, a rapporté que des comptes créés par les attaquants avaient retiré 2 285 545 satoshis entre 9 h 22 et 14 h UTC ; il s’est engagé à rembourser les utilisateurs concernés. Aucun bilan global des pertes n’a été communiqué.
Ce que corrige la mise à jour LNbits 1.7.0
Publié le 10 novembre, le correctif porte sur l’authentification, les extensions et le traitement des paiements, avec des mises à jour de dépendances. Le projet annonce qu’un rapport technique détaillé sur l’exploitation doit suivre : les informations disponibles ne permettent donc pas encore de décrire précisément la méthode employée.
Les opérateurs doivent appliquer la version 1.7.0 avant tout redémarrage. Une simple mise à jour ne garantit toutefois pas qu’un accès déjà obtenu a été éliminé ; si l’instance a pu être compromise, LNbits conseille de déployer un serveur neuf.
Mesures à prendre après une compromission suspectée
Après le déploiement d’une nouvelle instance, le nettoyage doit aussi porter sur les secrets liés à l’ancienne. Depuis le compte Super Admin, les opérateurs doivent renouveler les clés de portefeuille des utilisateurs, remplacer les identifiants de financement — clés API ou macaroons — et modifier les autres secrets enregistrés dans les paramètres.
- Vérifier puis recréer les connexions des extensions concernées, notamment NWC Provider, LNDHub, Bolt Cards, TPOS, Bleskomat et FOSSA.
- Contrôler l’activité des portefeuilles et déplacer les fonds excédentaires vers des clés hors ligne.
- Ne conserver sur LNbits que les soldes nécessaires aux opérations courantes, comme pour tout portefeuille connecté.
La distinction est essentielle : le correctif ferme la vulnérabilité logicielle, tandis que le remplacement des identifiants réduit le risque qu’un attaquant conserve un accès acquis avant l’installation. Cette approche de cybersécurité vaut particulièrement pour les services qui gèrent les fonds de plusieurs utilisateurs.
L’incident rappelle que les services de paiement Lightning exposés en ligne exigent une surveillance active. LNbits indique qu’un rapport technique suivra ; d’ici là, les opérateurs doivent traiter toute instance touchée comme potentiellement compromise.
