LNbits 긴급 패치 배포, 이미 노출된 인증정보는 보호 안 돼

LNbits가 11월 11일 버전 1.7.0을 출시하고 사용자들에게 업데이트를 촉구했다. LNbits 설치 환경을 노린 공격으로 자금이 도난당했다는 보도가 나온 데 따른 것이다. 프로젝트 측은 1.7.0 이전의 모든 버전이 영향을 받으며 업데이트해도 이미 노출된 인증 정보는 안전해지지 않는다고 경고했다. 운영자들에게는 지갑 키를 재설정하고 자금 공급원 인증 정보를 교체하며 LNbits 설정의 비밀 정보를 유출된 것으로 간주하라고 권고했다. 침해가 의심되면 새 서버로 이전하라고도 조언했다. LNbits는 새 버전 출시 전 운영자들에게 페이월 확장 기능을 비활성화한 뒤 서버를 종료하라고 알렸으며, 자체 호스팅하는 설치 환경도 오프라인으로 전환했다. 사용자 케빈 레이븐스버그는 자신이 서버를 종료하기 전 공격자들이 새로 생성한 계정을 통해 자신의 설치 환경에서 약 230만 사토시, 즉 0.023비트코인을 탈취했다고 전했다. LNbits는 공격 수법의 세부 내용이나 영향을 받은 사용자 수를 공개하지 않았으며 별도의 보고서를 발표하겠다고 밝혔다.