LNbits 1.7.0 corrige un incident de sécurité après les attaques du 8 novembre

Une version urgente publiée après des attaques signalées

LNbits a publié la version 1.7.0 le 10 novembre, la présentant comme une mise à jour de sécurité urgente et demandant aux opérateurs d’effectuer la mise à niveau avant de redémarrer leurs serveurs. Cette publication faisait suite à des attaques actives signalées par le projet le 8 novembre. Cette chronologie est importante pour les opérateurs, car l’avertissement ne consistait pas simplement à installer une mise à jour logicielle de routine : LNbits avait déjà demandé aux utilisateurs d’arrêter leurs serveurs pendant la préparation des correctifs, et les nouvelles consignes indiquent que les anciennes versions restent exposées.

Dans son avis du 8 novembre, le projet a demandé à tous les utilisateurs d’arrêter immédiatement leurs serveurs LNbits et indiqué qu’il valait mieux pécher par excès de prudence. Il a également désactivé les instances de son service d’hébergement. Cette mesure indique que la réponse a concerné à la fois les opérateurs qui hébergent eux-mêmes leur instance et l’environnement d’hébergement du projet, même si la source ne précise pas combien d’instances ont été touchées et ne fournit pas de bilan complet des perturbations.

Des rapports font état de créations de comptes non autorisées, suivies de retraits sur des instances LNbits. Kevin Ravensberg, qui exploite le service de pourboires Telegram BitTipBot, a déclaré que des attaquants avaient ouvert de nouveaux comptes sur son instance et retiré 2 285 545 satoshis, soit environ 0,0229 BTC. Il situe cette activité entre environ 09 h 22 et 14 h 00 UTC le 8 novembre. Il s’agit d’un cas documenté, et non d’un total publié des pertes à l’échelle de l’écosystème LNbits.

Les consignes de mise à niveau vont au-delà de l’installation du correctif

Les consignes de mise à niveau de LNbits indiquent que les versions antérieures à la 1.7.0 sont concernées et avertissent que les fonds détenus sur ces versions risquent d’être volés. En pratique, il faut installer la nouvelle version avant de remettre un serveur en ligne, plutôt que de considérer l’avis d’arrêt précédent comme la fin des mesures à prendre. Le projet indique que cette version contient des correctifs de sécurité liés à l’incident découvert le 8 novembre, mais n’a pas encore publié de compte rendu technique complet de l’exploitation de la faille.

Il est conseillé aux opérateurs qui soupçonnent une compromission de leur instance de configurer un nouveau serveur. LNbits avertit explicitement qu’une simple mise à jour ne peut pas supprimer les accès qu’un attaquant aurait déjà obtenus. Cette distinction est importante : le correctif remédie à la vulnérabilité logicielle, tandis que la reconstruction est présentée comme un moyen de répondre à une éventuelle persistance de l’accès. Les consignes n’imposent pas à tous les opérateurs de créer un nouveau serveur ; cette mesure est conditionnelle à une compromission présumée.

La liste des mesures de récupération préconise également de renouveler toutes les clés des portefeuilles des utilisateurs en tant que Super Admin, de remplacer les identifiants des sources de financement, tels que les clés API ou les macaroons, et de modifier les autres secrets enregistrés dans les paramètres. Ces étapes tiennent compte de la diversité des informations qu’un attaquant pourrait exploiter après avoir obtenu un accès. Les opérateurs sont également invités à vérifier ou à recréer les connexions des extensions : la récupération ne se limite donc ni à l’application LNbits principale ni aux identifiants utilisés pour l’alimenter.

Le renforcement de la sécurité s’accompagne de nouvelles fonctionnalités

Parmi les extensions et connexions citées figurent NWC Provider, LNDHub, Bolt Cards, TPOS, Bleskomat et FOSSA. Leur présence élargit la portée opérationnelle de la réponse au-delà d’une simple réinitialisation de mot de passe : les opérateurs doivent évaluer les intégrations associées à leurs instances et déterminer s’il convient de remplacer des identifiants ou des connexions. La source fournit cette liste dans le cadre des consignes de récupération, mais n’indique pas que chacune des extensions citées soit à l’origine des attaques.

Le projet décrit LNbits comme un portefeuille chaud et recommande aux opérateurs de ne laisser en ligne que les soldes nécessaires à l’exploitation, de vérifier régulièrement l’activité et de transférer les fonds excédentaires vers des clés hors ligne. Ces précautions sont particulièrement pertinentes tant que les détails techniques de l’incident et le montant total des pertes n’ont pas été publiés. Elles ne remplacent pas l’installation de la mise à jour de sécurité ni le suivi des étapes de récupération en cas de suspicion de compromission ; elles indiquent comment les opérateurs peuvent limiter les fonds conservés en ligne et surveiller l’activité.

Les notes de version sur GitHub présentent la version 1.7.0 comme un vaste renforcement de la sécurité touchant l’authentification, la gestion des extensions et le traitement des paiements, accompagné de mises à jour des dépendances. Ces catégories montrent que cette version concerne plusieurs parties du logiciel, au lieu d’annoncer un unique changement visible. Toutefois, en l’absence du rapport technique complet annoncé, la source ne précise pas la faille exacte ni les éléments exploités lors de l’incident du 8 novembre.

L’exposition et le montant total des pertes restent inconnus

La version 1.7.0 apporte aussi des fonctionnalités qui dépassent le cadre de la réponse de sécurité : prise en charge des portefeuilles on-chain, paiements d’offres BOLT12, authentification à deux facteurs par TOTP, prise en charge de NIP-17 et planificateur de tâches. Cette version inclut également les mises à jour automatiques des extensions et la prise en charge des factures à paiement différé pour la source de financement LNbits. Leur arrivée dans la même version élargit ses fonctionnalités, mais la consigne centrale du projet reste axée sur la sécurité : les opérateurs doivent effectuer la mise à niveau avant de redémarrer leurs serveurs.

LNbits a vu le jour en 2019 sous la forme d’un projet libre et open source fondé par Ben Arc, puis une entité commerciale a été constituée pour soutenir son développement. Le logiciel propose des comptes multi-utilisateurs et une vaste gamme d’extensions fonctionnant avec des sources de financement Lightning, notamment LND et Core Lightning. Il est utilisé aussi bien sur des instances autohébergées que sur des instances gérées ; l’avertissement du 8 novembre concerne donc un écosystème aux modes d’exploitation variés, et non un seul modèle de déploiement.

Un portrait de LNbits publié par Bitcoin Magazine en septembre 2024 décrivait LNbits comme le WordPress d’un nœud Bitcoin Lightning et soulignait son utilisation par des particuliers, des entreprises et des opérateurs de nœuds à la recherche d’outils Lightning accessibles. L’impact financier total de l’incident reste inconnu : LNbits n’a pas publié de bilan des fonds perdus sur l’ensemble des instances touchées, et son rapport technique complet est toujours attendu. Dans l’attente de ces informations, les opérateurs sont invités à consulter les instructions officielles avant de remettre les serveurs en service.

Source : BitcoinMagazine