O projeto LNbits pediu aos operadores que desligassem seus servidores LNbits em 8 de novembro, após uma série de ataques. A orientação passou de um aviso sobre a extensão Paywall para uma suspensão preventiva de todas as instâncias. O alerta afeta quem usa o LNbits para oferecer carteiras, aceitar pagamentos ou manter bots de gorjetas com bitcoin.
O The Hacker News reproduziu a orientação da equipe do LNbits e os relatos públicos dos envolvidos. Na consulta de 9 de novembro, a versão estável mais recente no repositório do projeto ainda era a 1.6.2, publicada em setembro para corrigir um problema de backup do PostgreSQL. A página de avisos do LNbits ainda não trazia um comunicado que identificasse uma versão corrigida para este episódio.
O que se sabe sobre os ataques
Segundo a cronologia compilada pelo The Hacker News, o primeiro alerta saiu por volta das 9h33 de Fortaleza, orientando a desativação da extensão Paywall enquanto o projeto investigava uma possível vulnerabilidade. Cerca de 80 minutos depois, a equipe estendeu o pedido de desligamento a todos os operadores. A própria equipe também suspendeu instâncias de seu serviço hospedado.
O caso com valor divulgado é o de Kevin Ravensberg, operador do BitTipBot, um bot de gorjetas no Telegram. Ele relatou que contas recém-criadas retiraram 2.285.545 satoshis, cerca de 0,0229 BTC, de sua instância. O número se refere ao servidor desse operador. Até a consulta de 9 de novembro, o projeto não havia informado um total de perdas nem confirmado que a extensão citada no primeiro aviso foi a usada no caso do bot.
Quem fica sem acesso quando uma instância cai
O LNbits é uma camada de software que permite a um operador oferecer várias contas ou carteiras sobre uma fonte de pagamentos. Um comércio pode usar a mesma instância para receber pagamentos em uma loja e gerar cobranças on-line, enquanto uma comunidade pode usá-la para repassar gorjetas por um bot. Se o servidor fica desligado, a interface e as extensões que dependem dele ficam indisponíveis. O efeito para cada usuário depende da instância que administra o seu saldo e do serviço que ela presta.
O aviso se refere a essa camada de contas e pagamentos. Um usuário de outro aplicativo Lightning, por exemplo, pode verificar com o operador se o serviço depende de um servidor LNbits. A rede Lightning e os demais programas têm operação e avisos próprios.
O que operadores e usuários devem acompanhar
Para quem administra uma instância, a orientação do projeto é mantê-la desligada enquanto aguarda os patches. Antes de reabrir o serviço, confira se as notas oficiais identificam a correção, quais versões e extensões ela cobre e se há instruções específicas de atualização. Se houver suspeita de retirada indevida, preserve os logs e o histórico das transações para a investigação.
Quem usa uma carteira ou bot mantido por outra pessoa deve acompanhar o aviso do operador sobre acesso e saldo. Para a versão hospedada, acompanhe os comunicados do próprio LNbits. A hora de retorno depende da confirmação da correção e do procedimento divulgado para cada serviço.
