LNbits 1.7.0 responde a un incidente de seguridad tras los ataques del 8 de noviembre

Lanzamiento urgente tras los ataques denunciados

LNbits publicó la versión 1.7.0 el 10 de noviembre, calificándola de actualización de seguridad urgente e indicando a los operadores que actualizaran antes de reiniciar sus servidores. El lanzamiento se produjo tras los ataques activos denunciados por el proyecto el 8 de noviembre. Esta secuencia es importante para los operadores porque la advertencia no consistía simplemente en instalar una actualización de software rutinaria: LNbits ya había indicado a los usuarios que detuvieran sus servidores mientras preparaba los parches, y las nuevas instrucciones señalan que las versiones anteriores siguen expuestas.

El aviso del proyecto del 8 de noviembre instó a todos los usuarios a detener inmediatamente los servidores de LNbits y afirmó que era más seguro pecar de cautelosos. También desactivó las instancias de su servicio alojado. Esta medida indica que la respuesta abarcó tanto a los operadores que alojan el servicio por su cuenta como al entorno alojado del propio proyecto, aunque la fuente no detalla cuántas instancias se vieron afectadas ni ofrece un relato completo de la interrupción.

Los informes describieron la creación de cuentas no autorizadas seguida de retiros de instancias de LNbits. Kevin Ravensberg, quien opera el servicio de propinas por Telegram BitTipBot, dijo que los atacantes abrieron cuentas nuevas en su instancia y retiraron 2.285.545 satoshis, aproximadamente 0,0229 BTC. Situó la actividad entre las 09:22 y las 14:00 UTC del 8 de noviembre, aproximadamente. Se trata de un caso documentado, no de una cifra total publicada de las pérdidas en todo el ecosistema de LNbits.

Las recomendaciones de actualización van más allá de instalar el parche

Las recomendaciones de actualización de LNbits identifican como vulnerables las versiones anteriores a la 1.7.0 y advierten que los fondos en esas versiones corren riesgo de robo. La instrucción práctica es instalar la versión nueva antes de volver a poner un servidor en línea, en lugar de considerar que el aviso previo de apagado pone fin a la respuesta. El proyecto afirma que la versión incluye correcciones de seguridad relacionadas con el incidente descubierto el 8 de noviembre, pero todavía no ha publicado un informe técnico completo sobre el exploit.

Se recomienda a los operadores que sospechen que una instancia ha sido vulnerada que configuren un servidor nuevo. LNbits advierte explícitamente que una actualización por sí sola no puede eliminar el acceso que un atacante quizá ya haya obtenido. Esta distinción es importante: aplicar el parche corrige el software vulnerable, mientras que reconstruir el servidor se plantea como una forma de responder ante un posible acceso persistente. Las recomendaciones no establecen que todos los operadores necesiten un servidor nuevo; condicionan ese paso a la sospecha de que haya habido una vulneración.

La lista de recuperación también exige rotar todas las claves de las billeteras de los usuarios como Super Admin, reemplazar las credenciales de las fuentes de financiación, como claves de API o macaroons, y cambiar otros secretos guardados en la configuración. Estas medidas reflejan la variedad de información que un atacante podría aprovechar tras obtener acceso. También se pide a los operadores que revisen o vuelvan a crear las conexiones de las extensiones, por lo que la recuperación no se limita a la aplicación principal de LNbits ni a las credenciales usadas para financiarla.

El refuerzo de la seguridad llega junto con nuevas funciones

Entre las extensiones y conexiones mencionadas están NWC Provider, LNDHub, Bolt Cards, TPOS, Bleskomat y FOSSA. Su inclusión amplía el alcance operativo de la respuesta, que va más allá de un simple restablecimiento de contraseña: los operadores deben evaluar las integraciones vinculadas a sus instancias y determinar si conviene reemplazar las credenciales o las conexiones. La fuente incluye esta lista como parte de las indicaciones de recuperación, pero no afirma que cada una de las extensiones mencionadas haya sido la causa de los ataques.

El proyecto describe LNbits como una billetera caliente y aconseja a los operadores mantener en línea solo los saldos necesarios para las operaciones, revisar la actividad con regularidad y transferir los fondos excedentes a claves sin conexión. Estas precauciones son especialmente pertinentes mientras no se publiquen los detalles técnicos del incidente ni las cifras completas de las pérdidas. No sustituyen la instalación de la actualización de seguridad ni la aplicación de los pasos de recuperación cuando se sospeche que hubo una vulneración; explican cómo pueden limitar los operadores la cantidad de fondos que mantienen en línea y supervisar la actividad.

Las notas de lanzamiento de GitHub describen la versión 1.7.0 como una amplia mejora de la seguridad en la autenticación, la gestión de extensiones y el procesamiento de pagos, junto con actualizaciones de dependencias. Estas categorías muestran que la versión abarca varias partes del software, en lugar de anunciar un único cambio visible. Sin embargo, a falta del informe técnico completo prometido, la fuente no identifica el fallo exacto ni explica cuál de esas áreas se explotó en el incidente del 8 de noviembre.

La exposición y las pérdidas totales siguen sin estar claras

La versión 1.7.0 también incorpora funciones que van más allá de la respuesta de seguridad: compatibilidad con billeteras en cadena, pagos de ofertas BOLT12, autenticación de dos factores mediante TOTP, compatibilidad con NIP-17 y un programador de tareas. Además, la versión incluye actualizaciones automáticas de extensiones y compatibilidad con facturas hold para la fuente de financiación de LNbits. Su llegada en una misma versión amplía sus funciones, pero la instrucción principal del proyecto sigue centrada en la seguridad: los operadores deben actualizar antes de reiniciar sus servidores.

LNbits comenzó en 2019 como un proyecto gratuito y de código abierto fundado por Ben Arc, y más adelante constituyó una entidad comercial para respaldar su desarrollo. Ofrece cuentas multiusuario y un amplio conjunto de extensiones sobre fuentes de financiación Lightning, como LND y Core Lightning. Su software se utiliza tanto en instancias autohospedadas como en instancias gestionadas, por lo que la advertencia del 8 de noviembre se refiere a un ecosistema con distintas modalidades de funcionamiento, no a un único modelo de implementación.

Un perfil de septiembre de 2024 de Bitcoin Magazine describió LNbits como el WordPress para un nodo de Lightning de Bitcoin y señaló que lo utilizan particulares, empresas y operadores de nodos que buscan herramientas de Lightning accesibles. Se desconoce el impacto financiero total del incidente: LNbits no ha publicado una cifra total de los fondos perdidos en las instancias afectadas y sigue pendiente su informe técnico completo. Hasta que se disponga de esos detalles, se indica a los operadores que consulten las instrucciones oficiales antes de volver a poner los servidores en servicio.

Fuente: BitcoinMagazine