LNbits, 긴급 보안 업데이트 1.7.0 출시…운영자에 업그레이드 당부

라이트닝 네트워크 지갑과 계정을 위한 오픈소스 플랫폼인 LNbits가 11월 10일 긴급 보안 릴리스 버전 1.7.0을 내놨다. LNbits는 모든 운영자에게 서버를 다시 시작하기 전에 업데이트를 설치하라고 지시했다. 공식 업그레이드 지침은 1.7.0 이전 버전이 영향을 받으며 해당 버전에 보관된 자금이 탈취될 수 있다고 경고한다.

공격은 주말 사이 시작됐다. LNbits는 11월 8일 실제 공격이 진행 중이라고 알리고 보안 패치가 준비되는 동안 모든 사용자에게 서버를 즉시 중단하라고 촉구했다. LNbits는 프로젝트의 호스팅 서비스를 통해 제공되는 인스턴스도 종료했다. 여러 보고에 따르면 무단으로 계정이 개설되고 자금이 인출됐다.

케빈 레이븐스버그는 텔레그램에서 팁 서비스를 운영하는 BitTipBot 운영자다. 레이븐스버그는 공격자들이 자신이 운영하는 인스턴스에 새 계정을 개설하고 2,285,545사토시, 약 0.0229 BTC를 인출했다고 말했다. 레이븐스버그는 인출이 11월 8일 UTC 기준 대략 09:22부터 14:00 사이에 이뤄졌다고 밝혔다. 버전 1.7.0이 발표됐을 당시 LNbits는 피해를 입은 인스턴스 전체의 손실 합계를 공개하지 않았다.

LNbits는 버전 1.7.0에 11월 8일 발견된 사고와 관련한 보안 수정 사항이 포함됐다고 밝혔다. 익스플로잇에 대한 기술적 설명을 추후 공개할 예정이라고도 했다. 복구 지침은 침해가 의심되면 새 서버에서 시작할 것을 권고한다. 업데이트를 설치해도 공격자가 이미 확보했을 수 있는 접근 권한을 없앨 수 없기 때문이다.

복구 절차에는 슈퍼 관리자 권한으로 모든 사용자의 지갑 키를 교체하는 작업도 포함된다. 운영자는 API 키나 마카룬 등 자금 조달 수단의 자격 증명을 교체하고 설정에 저장된 다른 비밀 정보도 갱신하라는 권고를 받았다. NWC Provider, LNDHub, Bolt Cards, TPOS, Bleskomat, FOSSA를 포함한 확장 프로그램 연결도 점검하거나 다시 설정해야 한다.

GitHub 릴리스 노트에 따르면 이번 버전은 인증, 확장 프로그램 관리, 결제 처리의 보안을 강화하고 의존성을 업데이트했다. 온체인 지갑, BOLT12 오퍼 결제, TOTP 2단계 인증 지원도 추가됐다. 그 밖에 NIP-17 지원, 작업 스케줄러, 확장 프로그램 자동 업데이트 기능이 포함됐다. LNbits 자금 조달 수단으로 홀드 인보이스를 사용할 수 있도록 했다.

LNbits는 플랫폼이 핫월렛으로 운영된다고 주의를 당부했다. 운영자에게는 온라인에 운영에 필요한 잔액만 보관하고 활동 내역을 정기적으로 확인하며 초과 자금을 오프라인 키로 옮기라고 권고했다. 업데이트를 설치하지 않은 운영자는 서버를 재시작하기 전에 공식 지침을 확인해야 한다.

벤 아크는 2019년 무료 오픈소스 프로젝트로 LNbits를 설립했다. 이후 LNbits는 개발을 지원하기 위해 상업 법인을 세웠다. 이 플랫폼은 LND와 Core Lightning을 포함한 모든 라이트닝 자금 조달 수단에서 다중 사용자 계정과 다양한 확장 프로그램을 제공한다. 개인, 기업, 노드 운영자들이 자체 호스팅 및 관리형 인스턴스를 통해 이 소프트웨어를 널리 사용한다.