LNbits schließt Lücke, alte Zugangsdaten bleiben ein Risiko
LNbits hat Version 1.7.0 veröffentlicht; laut Entwicklern sind alle älteren Versionen angreifbar. Das Update allein reicht nicht: Zugangsdaten, die vorher offenlagen, sollen Betreiber austauschen.
Zwei Tage nach dem Abschaltaufruf ist das Sicherheitsupdate für LNbits da. Version 1.7.0 schließt nach Angaben der Entwickler die Lücke, die alle älteren Versionen betrifft. Wer schon angegriffen wurde, ist mit dem Update allein aber nicht geschützt.
LNbits ist eine freie Software, mit der Betreiber Wallets für das Lightning-Netzwerk anbieten, die schnelle Zahlungsschicht auf Bitcoin. Händler nutzen sie für Kassen, andere für Trinkgeld-Bots oder Bezahlschranken.
Am Sonntag hatte das Projekt alle Betreiber aufgefordert, ihre Server sofort abzuschalten.
Die Entwickler stufen jede ältere Version als angreifbar ein
Am Dienstag um 18:10 Uhr MEZ erschien Version 1.7.0 auf GitHub, versehen mit der Aufforderung an alle Nutzer, sofort zu aktualisieren. In der begleitenden Anleitung heißt es, alle Versionen vor 1.7.0 seien betroffen und Guthaben auf ihnen könnten gestohlen werden. Die Lücke sei am 8. November entdeckt worden.
Wie die Angreifer vorgingen, beschreibt LNbits noch nicht. Ein eigener Bericht über den Exploit soll folgen.
Das Update ist zugleich ein großes Funktionspaket, das neben den Sicherheitskorrekturen unter anderem eine Zwei-Faktor-Anmeldung, Wallets direkt auf der Bitcoin-Blockchain und Zahlungen nach dem Lightning-Standard BOLT12 bringt.
Betreiber sollen sämtliche Schlüssel austauschen
Ein Satz der Anleitung betrifft auch alle, die schon aktualisiert haben: Zugangsdaten, die vor dem Update offenlagen, könnten Angreifern auch danach noch Zugriff geben. Wer einen Einbruch vermutet, soll LNbits deshalb auf einem neuen Server installieren und die Protokolle des alten vorher sichern. Außerdem sollen Betreiber die Wallet-Schlüssel aller Nutzer zurücksetzen, die Zugangsdaten der angebundenen Lightning-Quelle ersetzen und jedes in den Einstellungen gespeicherte Geheimnis als kompromittiert behandeln.
Auch Verbindungen über Erweiterungen müssen neu angelegt werden; LNbits nennt NWC Provider, LNDHub, Bolt Cards, TPoS, Bleskomat und FOSSA, also unter anderem Bezahlkarten und Kassensysteme.
Wie viele Server betroffen sind, ist offen. LNbits-Gründer Ben Arc schrieb am Dienstagabend auf X von Verlusten bei Nutzern und beim Projekt selbst: “It’s been a very challenging few days, working relentlessly to get the v1.7 release out after our users and we suffered losses.” Übersetzt: Es seien sehr schwierige Tage gewesen, man habe nach den Verlusten unermüdlich an Version 1.7 gearbeitet.
LNbits rät zu kleinen Beträgen auf dem Server
Am Ende der Anleitung steht eine Warnung, die über diesen Vorfall hinausgeht. LNbits sei eine Hot Wallet, also eine Wallet, deren Schlüssel auf einem ständig erreichbaren Rechner liegen. Online solle nur liegen, was für den laufenden Betrieb nötig ist; den Rest sollten Betreiber auf eine Wallet schicken, deren Schlüssel offline aufbewahrt werden.
Ob die eigenen Server von LNbits wieder laufen, geht aus der Anleitung nicht hervor.
Kryptowährungen sind sehr schwankungsanfällig. Dieser Artikel ist keine Anlageberatung.
Über Sven Meisinger
Redakteur bei Krypto-Boersen.com mit Schwerpunkt auf fundierte Marktanalysen und aktuelle Entwicklungen im Bereich digitaler Assets. Durch tiefgreifende Recherche und datenbasierte Analysen liefert er präzise Einschätzungen zu Markttrends, regulatorischen Veränderungen und technologischen Innovationen in der Blockchain-Industrie. Seine Expertise umfasst sowohl technische Chartanalysen als auch fundamentale Bewertungen von Kryptowährungen und DeFi-Protokollen.
Alle Artikel von Sven Meisinger
