비트코인 라이트닝 지갑 플랫폼 LNbits는 LNbits 인스턴스를 겨냥한 일련의 공격으로 자금이 도난당했다고 보고한 후, 사용자들에게 최신 버전으로 즉시 업데이트하라고 촉구했다. 

프로젝트는 화요일 버전 1.7.0을 공개하며, 이를 인증·확장 프로그램 관리·결제 처리를 강화하고 취약점을 해결하는 중요 릴리스라고 설명했다. LNbits는 자격 증명이 이미 탈취된 설치 환경은 업데이트만으로 보호되지 않는다고 경고했다.

LNbits 창립자 벤 아크는 X에서 “사용자들과 우리 모두 손실을 입은 뒤 v1.7 릴리스를 내놓기 위해 쉬지 않고 작업하면서, 지난 며칠은 매우 힘들었다”고 말했다. 

LNbits는 가맹점 결제, 팁 서비스, 페이월을 비롯해 비트코인 라이트닝 지갑과 결제 애플리케이션을 운영할 수 있는 소프트웨어를 제공한다. 개발자 벤 아크는 5월에 약 20만 명이 이 소프트웨어를 직접 운영한다고 말했다.

LNbits는 일요일 처음으로 운영자들에게 잠재적 취약점을 조사하는 동안 Paywall 확장 프로그램을 비활성화하라고 경고했다. 한 시간이 조금 지난 뒤 프로젝트는 공격이 잇따르고 있다며 사용자들에게 LNbits 서버를 즉시 종료하라고 촉구했다. 또한 자체 호스팅 설치 환경도 오프라인으로 전환했다. 

회사는 아직 해당 익스플로잇의 세부 내용과 피해 규모를 밝히지 않았다. LNbits는 긴급 패치와 함께 발표한 공지에서 해당 취약점이 1.7.0 이전의 모든 버전에 영향을 미치며 자금이 도난당할 위험에 처한다고 밝혔다.

관련 기사: 새로운 해킹 후 보안팀이 ‘심각한 인력 부족’ 상태였다고 말한 BitMart 창립자

또한 업그레이드 전에 노출된 자격 증명으로 공격자가 이후에도 접근할 수 있다고 경고하며, 운영자들에게 지갑 키를 재설정하고 자금 조달원 자격 증명을 교체하라고 촉구했다. LNbits 설정에 저장된 비밀 정보는 탈취된 것으로 간주해야 하며, 침해가 의심되면 새 서버로 이전할 것을 권고했다.

Cointelegraph는 논평을 듣기 위해 벤 아크와 LNbits에 연락했다.

사용자 케빈 레이븐스버그는 공격자들이 자신의 LNbits 인스턴스를 악용해 서버를 종료하기 전에 새로 생성된 계정을 통해 약 230만 사토시, 즉 0.023 비트코인을 인출했다고 말했다.

회사는 익스플로잇에 관한 별도의 보고서가 뒤따를 것이라고 밝혔다.

매거진: 비트코인의 ‘역대 최고의 매수 기회’가 도래했다: 마크 모스