LNbits 緊急發布 1.7.0 版，建議更新後再啟動伺服器

LNbits 於 11 月 10 日緊急發布 1.7.0 版，修補安全漏洞，並建議營運者更新後再重新啟動伺服器。

LNbits 在安全公告中表示，漏洞於 11 月 8 日被發現，所有早於 1.7.0 的版本都受到影響。使用舊版的伺服器所管理的資金可能面臨遭竊風險。

攻擊接連發生後，LNbits 要求伺服器營運者暫停服務，並停用了旗下託管服務的所有執行個體。這次發布則提供了重新啟動前應安裝的版本。

更新與遭入侵後的復原是不同程序。LNbits 說明，即使安裝修補程式，攻擊者先前取得的存取權限也不一定會自動失效。

若懷疑伺服器遭入侵，應在新伺服器安裝 1.7.0。更換舊伺服器前，建議先保存日誌及相關紀錄。

重設錢包金鑰會使舊金鑰失效，營運者也須在已連結的應用程式與服務中更新為新金鑰。

GitHub 發布說明指出，1.7.0 新增了讓最高管理員重設所有錢包金鑰的功能。這也呼應 LNbits 公告中要求使用者同步更新連結服務金鑰的指示。

用於資金來源的 API 金鑰及其他憑證，應向發行方撤銷並重新申請。LNbits 也建議更換伺服器設定中儲存的其他秘密值。

與擴充功能連結的既有整合，應先解除連結或刪除，再以新憑證重新設定。這套復原流程要求同時更換金鑰與整合設定。

GitHub 發布說明提及，這次更新強化了驗證、擴充功能管理與付款處理的安全性，並修正安全漏洞；但未公開哪些具體變更能阻斷此次攻擊途徑。

BitTipBot 營運者通報，新建立的帳戶從一台伺服器提領了 2,285,545 聰（satoshi）。本報先前曾報導 BitTipBot 營運者的受害通報。

慢霧（SlowMist）的事故紀錄也將相同數量列為單一執行個體的受害案例。這個數字不代表 LNbits 的整體損失金額，也不代表受害執行個體總數。

LNbits 是提供比特幣（BTC）閃電網路支付與錢包功能的軟體。此次公告說明的是 LNbits 伺服器營運者應採取的更新與復原措施。

公告並未指出比特幣網路或閃電網路協定本身遭到入侵。目前已確認的受害通報也僅涉及一名營運者的一台伺服器。

LNbits 表示，將另行發布報告，說明攻擊途徑與漏洞細節。