LNbits phát hành khẩn cấp phiên bản 1.7.0, khuyến nghị cập nhật trước khi khởi động lại máy chủ

Ngày 10 tháng 11, LNbits phát hành khẩn cấp phiên bản 1.7.0 để khắc phục lỗ hổng bảo mật và khuyến nghị cập nhật trước khi khởi động lại máy chủ.

Trong thông báo bảo mật, LNbits cho biết lỗ hổng được phát hiện ngày 8 tháng 11 và ảnh hưởng đến các phiên bản trước 1.7.0. Tiền được lưu trên những phiên bản cũ có thể đối mặt với nguy cơ bị đánh cắp.

Sau các cuộc tấn công liên tiếp, LNbits yêu cầu người vận hành tắt máy chủ và vô hiệu hóa toàn bộ phiên bản đang chạy trên dịch vụ lưu trữ do công ty vận hành. Bản phát hành mới xác định phiên bản cần cài đặt trước khi khởi động lại.

Cập nhật phần mềm và khôi phục sau sự cố là hai quy trình riêng. LNbits lưu ý rằng cài đặt bản vá không nhất thiết tự động thu hồi quyền truy cập mà kẻ tấn công đã có.

Nếu nghi ngờ máy chủ bị xâm nhập, người vận hành cần cài phiên bản 1.7.0 trên máy chủ mới. Trước khi thay thế máy chủ cũ, họ nên lưu giữ nhật ký và các hồ sơ liên quan.

Đặt lại khóa ví sẽ làm khóa cũ mất hiệu lực. Các ứng dụng và dịch vụ đã kết nối cũng cần được cập nhật khóa mới.

Ghi chú phát hành trên GitHub cho biết phiên bản 1.7.0 bổ sung tính năng cho phép quản trị viên cấp cao đặt lại toàn bộ khóa ví. Điều này phù hợp với hướng dẫn của LNbits về việc cập nhật khóa tại các dịch vụ kết nối.

API key dùng cho nguồn cấp tiền và các thông tin xác thực khác cần được thu hồi rồi thay mới tại đơn vị cấp. LNbits cũng khuyến nghị thay đổi những giá trị bí mật khác được lưu trong cấu hình máy chủ.

Các tích hợp hiện có với tiện ích mở rộng cần được ngắt kết nối hoặc xóa, sau đó thiết lập lại bằng thông tin xác thực mới. Quy trình khôi phục yêu cầu thay cả khóa lẫn thông tin tích hợp.

Ghi chú phát hành trên GitHub đề cập đến các cải thiện bảo mật và sửa lỗi trong các phần xác thực, quản lý tiện ích mở rộng và xử lý thanh toán. Tài liệu không nêu cụ thể thay đổi nào ngăn chặn đường tấn công lần này.

Người vận hành BitTipBot báo cáo các tài khoản mới được tạo đã rút 2.285.545 satoshi từ một máy chủ. Hồ sơ sự cố của SlowMist cũng ghi nhận cùng số lượng này trong một trường hợp thiệt hại tại một phiên bản máy chủ. Con số này không đại diện cho tổng thiệt hại của LNbits hay số máy chủ bị ảnh hưởng.

LNbits là phần mềm cung cấp tính năng thanh toán Lightning và ví cho Bitcoin(BTC). Thông báo lần này đề cập đến các biện pháp cập nhật và khôi phục dành cho người vận hành máy chủ LNbits.

Thông báo không nói rằng mạng Bitcoin hay giao thức Lightning bị xâm nhập. Báo cáo thiệt hại được xác nhận cũng chỉ giới hạn ở một máy chủ của người vận hành.

LNbits cho biết sẽ công bố riêng báo cáo chi tiết về đường tấn công và lỗ hổng.