LNbits ออกเวอร์ชัน 1.7.0 แก้ช่องโหว่ แนะอัปเดตก่อนเปิดเซิร์ฟเวอร์อีกครั้ง

LNbits เผยแพร่เวอร์ชัน 1.7.0 อย่างเร่งด่วนเมื่อวันที่ 10 พ.ย. เพื่อแก้ช่องโหว่ด้านความปลอดภัย พร้อมแนะนำให้อัปเดตก่อนเริ่มเซิร์ฟเวอร์อีกครั้ง

LNbits ระบุในประกาศความปลอดภัยว่า พบช่องโหว่เมื่อวันที่ 8 พ.ย. และเวอร์ชันก่อนหน้า 1.7.0 ได้รับผลกระทบ โดยเงินที่จัดการผ่านเวอร์ชันเก่าอาจเสี่ยงถูกขโมย

หลังเกิดการโจมตีต่อเนื่อง LNbits ขอให้ผู้ดูแลเซิร์ฟเวอร์หยุดระบบ และปิดใช้งานอินสแตนซ์ทั้งหมดของบริการโฮสติ้งที่บริษัทให้บริการ การเผยแพร่ครั้งนี้ระบุเวอร์ชันที่ควรติดตั้งก่อนเปิดระบบอีกครั้ง

การอัปเดตกับการกู้คืนหลังถูกเจาะระบบเป็นคนละขั้นตอน LNbits ระบุว่า แม้ติดตั้งแพตช์แล้ว สิทธิ์เข้าถึงที่ผู้โจมตีได้รับไปก่อนหน้านี้อาจไม่ถูกเพิกถอนโดยอัตโนมัติ

หากสงสัยว่าถูกเจาะระบบ ควรติดตั้งเวอร์ชัน 1.7.0 บนเซิร์ฟเวอร์ใหม่ และเก็บรักษาบันทึกการใช้งานกับข้อมูลที่เกี่ยวข้องไว้ก่อนเปลี่ยนเซิร์ฟเวอร์เดิม

การรีเซ็ตรหัสกุญแจกระเป๋าเงินจะทำให้กุญแจเดิมใช้ไม่ได้ ผู้ใช้ต้องอัปเดตกุญแจใหม่ในแอปและบริการที่เชื่อมต่อด้วย

รายละเอียดการเผยแพร่บน GitHub ระบุว่าเวอร์ชัน 1.7.0 เพิ่มฟังก์ชันให้ผู้ดูแลระบบระดับสูงรีเซ็ตรหัสกุญแจกระเป๋าเงินทั้งหมดได้ ซึ่งสอดคล้องกับประกาศที่ระบุว่าผู้ใช้เซิร์ฟเวอร์ต้องเปลี่ยนกุญแจในบริการที่เชื่อมต่อ

LNbits แนะนำให้เพิกถอนและเปลี่ยน API key ที่ใช้กับแหล่งเงินทุน รวมถึงข้อมูลรับรองอื่น ๆ ผ่านผู้ออกกุญแจ และให้เปลี่ยนข้อมูลลับอื่นที่เก็บไว้ในการตั้งค่าเซิร์ฟเวอร์ด้วย

การเชื่อมต่อเดิมที่เกี่ยวข้องกับส่วนขยายควรถูกยกเลิกหรือลบ แล้วตั้งค่าใหม่ด้วยข้อมูลรับรองชุดใหม่ ขั้นตอนกู้คืนจึงครอบคลุมทั้งการเปลี่ยนกุญแจและการตั้งค่าการเชื่อมต่อ

หมายเหตุการเผยแพร่บน GitHub กล่าวถึงการเสริมความปลอดภัยด้านการยืนยันตัวตน การจัดการส่วนขยาย และการประมวลผลการชำระเงิน รวมถึงการแก้ช่องโหว่ แต่ไม่ได้เปิดเผยว่าการเปลี่ยนแปลงใดจะปิดช่องทางที่ใช้โจมตีครั้งนี้โดยเฉพาะ

ผู้ดูแล BitTipBot รายงานว่าบัญชีที่เพิ่งสร้างขึ้นถอนเงิน 2,285,545 ซาโตชิจากเซิร์ฟเวอร์แห่งหนึ่ง TokenPost เคยรายงานกรณีที่ผู้ดูแล BitTipBot แจ้งความเสียหายดังกล่าว

บันทึกเหตุการณ์ของ SlowMist ระบุจำนวนเดียวกันเป็นกรณีความเสียหายที่เกิดกับอินสแตนซ์เดียว ตัวเลขนี้ไม่ได้แสดงมูลค่าความเสียหายทั้งหมดของ LNbits หรือจำนวนอินสแตนซ์ที่ได้รับผลกระทบ

LNbits เป็นซอฟต์แวร์ที่ให้บริการชำระเงินผ่าน Lightning และฟังก์ชันกระเป๋าเงินสำหรับบิตคอยน์(BTC) ประกาศครั้งนี้กล่าวถึงการอัปเดตและการกู้คืนระบบสำหรับผู้ดูแลเซิร์ฟเวอร์ LNbits

ประกาศไม่ได้ระบุว่าเครือข่ายบิตคอยน์หรือโปรโตคอล Lightning ถูกเจาะระบบ โดยรายงานความเสียหายที่ยืนยันแล้วจำกัดอยู่ที่เซิร์ฟเวอร์ของผู้ดูแลรายหนึ่ง

LNbits ระบุว่าจะเผยแพร่รายงานแยกเกี่ยวกับช่องทางการโจมตีและรายละเอียดของช่องโหว่ต่อไป