8 नवंबर के हमलों के बाद LNbits ने सुरक्षा घटना से निपटने के लिए 1.7.0 जारी किया

हमलों की खबर के बाद तत्काल नया संस्करण जारी

LNbits ने 10 नवंबर को संस्करण 1.7.0 जारी किया। इसे तत्काल सुरक्षा अपडेट बताते हुए ऑपरेटरों से अपने सर्वर दोबारा शुरू करने से पहले अपग्रेड करने को कहा। यह रिलीज़ 8 नवंबर को परियोजना द्वारा बताए गए सक्रिय हमलों के बाद आई। ऑपरेटरों के लिए घटनाओं का यह क्रम अहम है, क्योंकि चेतावनी केवल नियमित सॉफ़्टवेयर अपडेट इंस्टॉल करने तक सीमित नहीं थी: LNbits पहले ही उपयोगकर्ताओं को सर्वर बंद करने के लिए कह चुका था, जबकि वह पैच तैयार कर रहा था। नए दिशानिर्देशों के अनुसार, पुराने संस्करण अब भी जोखिम में हैं।

परियोजना की 8 नवंबर की सूचना में सभी उपयोगकर्ताओं से LNbits सर्वर तुरंत बंद करने का आग्रह किया गया था और कहा गया था कि सावधानी बरतना बेहतर है। परियोजना ने अपनी होस्टेड सेवा पर मौजूद इंस्टेंस भी बंद कर दिए। इस कदम से पता चलता है कि प्रतिक्रिया में स्व-होस्टेड ऑपरेटरों के साथ-साथ परियोजना का अपना होस्टेड परिवेश भी शामिल था, हालांकि स्रोत यह नहीं बताता कि कितने इंस्टेंस प्रभावित हुए या व्यवधान का पूरा विवरण देता है।

रिपोर्टों में LNbits इंस्टेंस पर बिना अनुमति खाते बनाए जाने और उसके बाद धनराशि निकालने की घटनाओं का उल्लेख किया गया। Telegram टिपिंग सेवा BitTipBot चलाने वाले Kevin Ravensberg ने बताया कि हमलावरों ने उनके इंस्टेंस पर नए खाते खोले और 2,285,545 सतोशी, यानी लगभग 0.0229 BTC, निकाल लिए। उन्होंने इस गतिविधि का समय 8 नवंबर को लगभग 09:22 से 14:00 UTC के बीच बताया। यह एक दर्ज की गई घटना है, LNbits इकोसिस्टम में कुल नुकसान का प्रकाशित आँकड़ा नहीं।

अपग्रेड संबंधी निर्देश पैच इंस्टॉल करने से आगे भी लागू होते हैं

LNbits के अपग्रेड निर्देशों के अनुसार, 1.7.0 से पहले के संस्करण प्रभावित हैं और चेतावनी दी गई है कि उन संस्करणों पर मौजूद धनराशि चोरी के जोखिम में है। व्यावहारिक निर्देश यह है कि सर्वर को फिर से ऑनलाइन लाने से पहले रिलीज़ इंस्टॉल करें; पहले जारी किए गए शटडाउन नोटिस को प्रतिक्रिया का अंत न मानें। परियोजना का कहना है कि इस संस्करण में 8 नवंबर को सामने आई घटना के लिए सुरक्षा सुधार शामिल हैं, लेकिन उसने अभी तक इस शोषण का पूरा तकनीकी विवरण जारी नहीं किया है।

जिन ऑपरेटरों को संदेह है कि उनके इंस्टेंस से छेड़छाड़ हुई है, उन्हें नया सर्वर सेट अप करने की सलाह दी गई है। LNbits स्पष्ट रूप से चेतावनी देता है कि केवल अपडेट करने से हमलावर की पहले से हासिल की गई पहुँच समाप्त नहीं हो सकती। यह अंतर महत्वपूर्ण है: पैच लगाने से कमजोर सॉफ़्टवेयर की समस्या दूर होती है, जबकि दोबारा सर्वर बनाना संभावित रूप से बनी हुई पहुँच से निपटने का तरीका बताया गया है। निर्देशों में यह नहीं कहा गया है कि हर ऑपरेटर को नया सर्वर चाहिए; यह कदम संदिग्ध छेड़छाड़ की स्थिति में उठाने को कहा गया है।

रिकवरी चेकलिस्ट में सुपर एडमिन के तौर पर सभी उपयोगकर्ताओं की वॉलेट कुंजियाँ बदलना, API कुंजियों या मैकरून जैसे फ़ंडिंग-स्रोत के क्रेडेंशियल बदलना और सेटिंग्स में रखे अन्य सीक्रेट बदलना भी शामिल है। ये कदम उस तरह की जानकारी को दर्शाते हैं जिसका हमलावर पहुँच हासिल करने के बाद इस्तेमाल कर सकता है। ऑपरेटरों से एक्सटेंशन के कनेक्शन की भी समीक्षा करने या उन्हें फिर से बनाने को कहा गया है, इसलिए रिकवरी केवल LNbits के मुख्य ऐप्लिकेशन या उसे फ़ंड करने के लिए इस्तेमाल किए गए क्रेडेंशियल तक सीमित नहीं है।

नई सुविधाओं के साथ सुरक्षा को और मजबूत किया गया

नामित एक्सटेंशन और कनेक्शनों में NWC Provider, LNDHub, Bolt Cards, TPOS, Bleskomat और FOSSA शामिल हैं। इन्हें शामिल किए जाने से प्रतिक्रिया का परिचालन दायरा केवल एक पासवर्ड रीसेट तक सीमित नहीं रहता: ऑपरेटरों को अपने इंस्टेंस से जुड़े इंटीग्रेशन का आकलन करना चाहिए और तय करना चाहिए कि क्रेडेंशियल या कनेक्शन बदलने की ज़रूरत है या नहीं। स्रोत इस सूची को रिकवरी संबंधी मार्गदर्शन के हिस्से के रूप में देता है, लेकिन यह नहीं कहता कि इनमें से हर नामित एक्सटेंशन ही हमलों का कारण था।

यह परियोजना LNbits को हॉट वॉलेट के रूप में वर्णित करती है और ऑपरेटरों को सलाह देती है कि वे ऑनलाइन केवल परिचालन के लिए आवश्यक शेष राशि रखें, गतिविधि की नियमित समीक्षा करें और अतिरिक्त धनराशि ऑफ़लाइन कुंजियों में स्थानांतरित करें। ये सावधानियाँ तब विशेष रूप से प्रासंगिक हैं, जब तक कि घटना के तकनीकी विवरण और कुल नुकसान के आंकड़े प्रकाशित नहीं हो जाते। ये सुरक्षा अपडेट इंस्टॉल करने या समझौता होने का संदेह होने पर पुनर्प्राप्ति के चरणों का पालन करने का विकल्प नहीं हैं; इनका उद्देश्य यह बताना है कि ऑपरेटर ऑनलाइन रखी गई राशि को कैसे सीमित कर सकते हैं और गतिविधि पर नज़र कैसे रख सकते हैं।

GitHub के रिलीज़ नोट्स में 1.7.0 को प्रमाणीकरण, एक्सटेंशन प्रबंधन और भुगतान प्रबंधन के साथ-साथ निर्भरताओं को अपडेट करने से जुड़ी व्यापक सुरक्षा मज़बूती के रूप में बताया गया है। ये श्रेणियाँ दिखाती हैं कि रिलीज़ सॉफ़्टवेयर के कई हिस्सों तक पहुँचती है, न कि केवल किसी एक स्पष्ट बदलाव की घोषणा करती है। हालाँकि, वादा की गई पूरी तकनीकी रिपोर्ट के बिना, स्रोत न तो सटीक खामी की पहचान करता है और न ही बताता है कि 8 नवंबर की घटना में इन क्षेत्रों में से किसका दुरुपयोग हुआ था।

प्रभावित प्रणालियों और कुल नुकसान की स्थिति स्पष्ट नहीं है

संस्करण 1.7.0 सुरक्षा संबंधी जवाबी कार्रवाई से आगे की सुविधाएँ भी लाता है: ऑन-चेन वॉलेट सपोर्ट, BOLT12 ऑफ़र भुगतान, TOTP दो-कारक प्रमाणीकरण, NIP-17 सपोर्ट और जॉब शेड्यूलर। इस रिलीज़ में LNbits फ़ंडिंग स्रोत के लिए स्वचालित एक्सटेंशन अपडेट और होल्ड इनवॉइस सपोर्ट भी शामिल हैं। इन सुविधाओं का इसी संस्करण में आना इसकी कार्यक्षमता का दायरा बढ़ाता है, लेकिन परियोजना का मुख्य निर्देश सुरक्षा पर ही केंद्रित है: ऑपरेटरों को अपने सर्वर फिर से शुरू करने से पहले अपग्रेड करना चाहिए।

LNbits की शुरुआत 2019 में Ben Arc द्वारा स्थापित एक मुफ़्त, ओपन-सोर्स परियोजना के रूप में हुई थी और बाद में विकास को समर्थन देने के लिए इसे एक व्यावसायिक इकाई के रूप में शामिल किया गया। यह LND और Core Lightning सहित Lightning फ़ंडिंग स्रोतों के ऊपर बहु-उपयोगकर्ता खाते और एक्सटेंशन का एक बड़ा संग्रह उपलब्ध कराता है। इसका सॉफ़्टवेयर सेल्फ़-होस्टेड और प्रबंधित, दोनों तरह के इंस्टेंस के ज़रिए इस्तेमाल किया जाता है; इसलिए 8 नवंबर की चेतावनी ऐसे इकोसिस्टम से संबंधित है जिसमें संचालन के अलग-अलग तरीके हैं, न कि केवल किसी एक परिनियोजन मॉडल से।

सितंबर 2024 में Bitcoin Magazine की एक प्रोफ़ाइल ने LNbits को Bitcoin Lightning नोड के लिए WordPress बताया और कहा कि व्यक्ति, व्यवसाय और नोड ऑपरेटर आसान Lightning टूल पाने के लिए इसका इस्तेमाल करते हैं। इस घटना का कुल वित्तीय प्रभाव अब भी अज्ञात है: LNbits ने प्रभावित इंस्टेंस में हुए कुल नुकसान का आँकड़ा प्रकाशित नहीं किया है, और इसकी पूरी तकनीकी रिपोर्ट अभी जारी होना बाकी है। ये विवरण उपलब्ध होने तक, ऑपरेटरों को सर्वर फिर से चालू करने से पहले आधिकारिक मार्गदर्शन देखने का निर्देश दिया गया है।

स्रोत: BitcoinMagazine