LNbits در ۱۰ نوامبر ۲۰۲۶ نسخه ۱.۷.۰ نرم‌افزار خود را به‌عنوان یک به‌روزرسانی امنیتی اضطراری منتشر کرد. این اقدام پس از شناسایی یک آسیب‌پذیری در ۸ نوامبر و گزارش سرقت دارایی از برخی نصب‌های LNbits انجام شد. پروژه هشدار داده است که نسخه‌های پیش از ۱.۷.۰ آسیب‌پذیرند و دارایی کاربران آن‌ها ممکن است به سرقت برود. کوین‌تلگراف گزارش خود درباره این رویداد را در ۱۱ نوامبر منتشر کرد.
در این مقاله چه می‌خوانیم؟
از هشدار اولیه تا انتشار وصله
به گزارش کوین‌تلگراف، LNbits ابتدا در ۸ نوامبر از گردانندگان خواست افزونه Paywall را هنگام بررسی یک آسیب‌پذیری احتمالی غیرفعال کنند. کمی بعد، با گزارش موجی از حملات، درخواست کرد سرورهای LNbits را خاموش کنند. یکی از کاربران به این رسانه گفته است که مهاجمان از طریق حساب‌های تازه‌ساخته‌شده حدود ۲٫۳ میلیون ساتوشی از نصب او برداشت کردند. این رقم گزارش همان کاربر است و برآوردی از کل خسارت نیست.
صفحه انتشار نسخه ۱.۷.۰ در گیت‌هاب، تاریخ ۱۰ نوامبر را برای وصله ثبت کرده و آن را به‌روزرسانی امنیتی فوری می‌نامد. طبق توضیح انتشار، این نسخه اصلاحات امنیتی و تغییراتی در احراز هویت، مدیریت افزونه‌ها و پردازش پرداخت دارد. LNbits هنوز روش دقیق سوءاستفاده و شمار نصب‌های آسیب‌دیده را منتشر نکرده و گفته است گزارش جداگانه‌ای درباره جزئیات فنی ارائه خواهد کرد.
چرا نصب نسخه جدید به‌تنهایی کافی نیست؟
در اطلاعیه رسمی LNbits آمده است که اطلاعات دسترسی افشاشده پیش از ارتقا ممکن است پس از نصب وصله هم به مهاجم امکان دسترسی بدهد. به همین دلیل، پروژه از گردانندگان می‌خواهد پیش از راه‌اندازی دوباره، نرم‌افزار را به نسخه ۱.۷.۰ ارتقا دهند، همه کلیدهای کیف پول کاربران را بازنشانی کنند و اطلاعات دسترسی منبع تأمین مالی کیف پول را عوض کنند. اطلاعات حساس ذخیره‌شده در تنظیمات و اتصال‌های افزونه‌ها نیز باید بررسی و جایگزین شوند.
برای نمونه، اگر یک فروشگاه پرداخت‌های لایتنینگ را با LNbits دریافت می‌کند، گرداننده آن پس از بازنشانی کلیدهای کیف پول باید برنامه‌های متصل به فروشگاه را با کلیدهای تازه تنظیم کند؛ کلیدهای قبلی دیگر کار نخواهند کرد. LNbits توصیه کرده است در صورت ظن به نفوذ، سوابق مرتبط حفظ شود و نصب تازه‌ای روی سروری جدید انجام گیرد. تعویض سرور باید همراه با تعویض اطلاعات دسترسی احتمالا افشاشده باشد.
آنچه هنوز روشن نیست
تا زمان انتشار این گزارش در ۱۱ نوامبر، LNbits جزئیات فنی حمله یا میزان کل دارایی سرقت‌شده را اعلام نکرده بود. هشدار پروژه درباره تمام نسخه‌های پیش از ۱.۷.۰ است، اما این هشدار به معنای سرقت دارایی از همه نصب‌ها نیست. کاربران و گردانندگان می‌توانند نسخه نرم‌افزار، پرداخت‌های خروجی و اتصال‌های فعال خود را بررسی کنند و برای مراحل بازیابی به اطلاعیه رسمی LNbits مراجعه کنند.
جمع‌بندی
انتشار وصله ۱۰ نوامبر نخستین اقدام لازم برای گردانندگان LNbits است. هشدار رسمی پروژه مرحله بعد را هم مشخص می‌کند: کلیدها و اطلاعات دسترسی که ممکن است پیش از ارتقا افشا شده باشند باید جایگزین شوند. تا انتشار گزارش فنی LNbits، مسیر دقیق حمله و گستره خسارت نامعلوم می‌ماند؛ بنابراین ادعاهای قطعی درباره علت سرقت‌ها یا شمار قربانیان پشتوانه منتشرشده‌ای ندارند.
