LNbits vydal nouzovou opravu po krádežích z lightningových peněženek
Vývojáři otevřeného softwaru LNbits vydali 10. listopadu 2026 verzi 1.7.0, kterou označují za kritickou bezpečnostní opravu. Útočníci od 8. listopadu zneužívali chybu, kvůli které jsou podle LNbits ohrožené prostředky na serverech se všemi staršími verzemi. Provozovatelé mají aktualizovat dřív, než servery znovu spustí, a vyměnit klíče i přístupové údaje.
Stručně
- LNbits vydal 10. listopadu 2026 verzi 1.7.0 a vyzval všechny provozovatele k okamžité aktualizaci.
- Ohrožené jsou podle LNbits prostředky na serverech se všemi verzemi před 1.7.0.
- Technické podrobnosti chyby, celkovou škodu ani počet napadených serverů LNbits zatím nezveřejnil.
- Provozovatel jedné napadené instance uvedl, že útočníci z ní 8. listopadu vybrali 2 285 545 satoshi, tedy asi 0,023 BTC.
- Samotná aktualizace podle LNbits nezruší přístup, který útočník už mohl získat, proto mají provozovatelé vyměnit i klíče a přístupové údaje.
Obsah článku
Výzva k okamžitému vypnutí serverů
LNbits je otevřený software, se kterým si obchodníci, komunity nebo služby s peněženkami pro své uživatele zřizují účty a peněženky v síti Lightning. Běží nad vlastním lightningovým uzlem provozovatele nebo nad cizí službou a prostředky drží online.
V neděli 8. listopadu 2026 kolem 13:30 pražského času tým LNbits podle serverů Bitcoin.com News a TFTC doporučil provozovatelům vypnout rozšíření Paywall kvůli možné zranitelnosti. Asi o hodinu a půl později už na síti X vyzval všechny provozovatele, aby své servery okamžitě zastavili. Instance ve své hostované službě my.lnbits.com tým podle TFTC a Cointelegraphu vypnul sám.
Tvůrce projektu Ben Arc tentýž den podle TFTC odhadoval, že oprava bude hotová do 24 až 48 hodin. Verze 1.7.0 vyšla 10. listopadu, zhruba po dvou dnech.
Prostředky na serverech se staršími verzemi LNbits jsou ohrožené krádeží.
Co je známo o škodě
Jediný konkrétní údaj o škodě pochází od Kevina Ravensberga, který provozuje instanci pro telegramovou službu BitTipBot na posílání spropitného. Podle jeho vyjádření, které přebírají Bitcoin Magazine i Cointelegraph, útočníci na jeho instanci 8. listopadu mezi 10:22 a 15:00 pražského času založili nové účty a vybrali 2 285 545 satoshi, tedy asi 0,023 BTC. Podle TFTC slíbil postiženým uživatelům BitTipBotu prostředky vrátit ze svého.
Jak přesně útok fungoval, tým LNbits zatím neřekl. Podrobnosti slíbil v samostatné zprávě. Úvahy o tom, ve které části softwaru chyba je, zatím nikdo nedoložil.
Co přináší nová verze
Poznámky k vydání na GitHubu popisují verzi 1.7.0 jako kritickou bezpečnostní opravu, která rozsáhle posiluje zabezpečení. Změny se týkají přihlašování, správy rozšíření a zpracování plateb, jednotlivé zranitelnosti ani jejich označení CVE ale poznámky neuvádějí.
Podle týchž poznámek verze přidává i nové funkce, například dvoufázové ověření, on-chain peněženky a platby BOLT12. Přechází také na Python 3.13 a knihovnu Pydantic 2.
Co musí udělat provozovatelé
LNbits ve svém oznámení z 10. listopadu žádá, aby provozovatelé starší verzi už nespouštěli, a všem ukládá tyto kroky:
Při podezření na napadení zřídit nový server
Kdo má podezření, že jeho server byl napaden, si nejdřív uloží logy a záznamy a pak zprovozní nový server s verzí 1.7.0.
Vynulovat klíče peněženek
Správce s nejvyššími oprávněními vynuluje klíče všech peněženek v nastavení uživatelů. Uživatelé pak musí aktualizovat své aplikace a napojení.
Vyměnit přístupové údaje k uzlu
Vyměnit API klíče a další přístupové údaje k lightningovému uzlu nebo ke službě, nad kterou LNbits běží. Všechny tajné údaje uložené v nastavení LNbits brát jako prozrazené.
Znovu propojit rozšíření
Znovu vytvořit připojení rozšíření, jako jsou NWC Provider, LNDHub, Bolt Cards, TPOS, Bleskomat a FOSSA.
Co to znamená pro uživatele peněženek
Zranitelnost je v softwaru LNbits, ne v síti Lightning ani v samotném protokolu Bitcoin. Bezpečnost peněženky na cizím serveru s LNbits závisí na tom, jestli provozovatel aktualizoval a vyměnil klíče. Oficiální pokyn pro koncové uživatele LNbits kromě aktualizace aplikací po vynulování klíčů nevydal.
Peněženka na LNbits je hot peněženka, protože je trvale připojená k internetu. LNbits proto v oznámení radí držet online jen provozní zůstatek, přebytek bitcoinu posílat do on-chain peněženky s klíči uloženými offline a pravidelně kontrolovat zůstatky i odchozí platby. Jak se liší typy peněženek, popisuje průvodce Bitcoinová peněženka, jak fungují rychlé platby přes Lightning, vysvětluje průvodce Lightning Network.
Časté dotazy
Co je LNbits?
Které verze LNbits jsou ohrožené?
Kolik bitcoinů útočníci z LNbits ukradli?
Co má udělat uživatel peněženky na serveru s LNbits?
Zdroje
- LNbits 1.7.0 security updateLNbits · news.lnbits.com · anglicky
- LNbits v1.7.0, poznámky k vydáníLNbits (GitHub) · github.com · anglicky
- LNbits Releases 1.7.0 Urgent Security Update After November 8 Attacks Drain FundsBitcoin Magazine · bitcoinmagazine.com · anglicky
- LNbits rushes emergency patch after reported Bitcoin wallet theftsCointelegraph · cointelegraph.com · anglicky
- Lightning Network security scare forces LNbits servers offlineBitcoin.com News · news.bitcoin.com · anglicky
- LNbits emergency shutdown, active attack, funds drainedTFTC · tftc.io · anglicky
Tomáš Michal vede jako technický ředitel (CTO) vývoj a provoz platformy Coinero: napojení na burzu, zpracování vkladů a výběrů i zabezpečení klientských účtů. V průvodcích popisuje nákup, uchování a převody kryptoměn tak, jak na Coineru skutečně probíhají.
