LNbits, Bitcoin Lightning Cüzdan Sunucularının Kapatılmasını İstedi

LNbits, Bitcoin Lightning Cüzdan Sunucularının Kapatılmasını İstedi

Ücretsiz ve açık kaynaklı bir Bitcoin Lightning cüzdan sistemi olan LNbits, dün yaptığı açıklamayla tüm operatörlerini sunucularını kapatmaya çağırdı. Proje, bir dizi saldırı dalgası nedeniyle bu acil önlemin alınması gerektiğini belirtti.

LNbits, yayınlanacak birkaç güvenlik düzeltmesi olduğunu ve bu düzeltmeler çıkana kadar operatörlerin dikkatli olmalarını istedi. Bir operatör, yeni hesapların bir güvenlik açığını kullanarak sunucusundan 2.285.545 satoshi (yaklaşık 0.023 bitcoin) çektiğini, kendisi durduramadan önce bu durumun yaşandığını bildirdi.

Kapatma duyurusu, ilk ve daha dar kapsamlı bir uyarının yaklaşık 80 dakika sonrasında geldi. İlk uyarı, projenin olası bir hatayı araştırırken operatörlerden içeriği görüntülemek için ödeme yapılmasını sağlayan bir eklenti olan Paywall’u devre dışı bırakmalarını istemişti.

Bugün (2026-11-09) saat 09:00 UTC itibarıyla proje, düzeltilmiş bir sürüm yayınlamadı. X platformunda ise duyuruyu iptal etmedi, başka bir seçenek sunmadı veya operatörlere sunucularının kapatılmadan önce saldırıya uğrayıp uğramadığını nasıl kontrol edeceklerini bildirmedi.

LNbits geliştiricisi Ben Arc, dün (2026-11-08) yaptığı bir yama tahmini paylaşımında, yamaların “24-48 saat içinde birleştirilip kullanıma sunulması gerektiğini” belirtti. Bu, paylaşımından itibaren bugün (2026-11-09) yaklaşık 14:00 UTC ile yarın (2026-11-10) yaklaşık 14:00 UTC arasında bir zaman dilimine denk geliyor.

Proje ayrıca dün (2026-11-08) daha sonra, kendi bulut hizmeti olan my.lnbits.com üzerinden kullanıcılar için çalıştırdığı tüm LNbits örneklerini de kapattı. Bir barındırılan hizmet duyurusunda, tüm hizmetlerin 24 saat içinde, yani bugün (2026-11-09) yaklaşık 17:20 UTC’ye kadar geri döneceğini belirtti.

Kaybı bildiren operatör Kevin Ravensberg, X platformundaki kayıp raporunda, sunucusunun kapatma duyurusundan önce istismar edildiğini söyledi. Saldırı dün (2026-11-08) 09:22’den 14:00 UTC’ye kadar sürdü ve projenin ilk uyarısı olan 12:33 UTC’den üç saatten fazla bir süre önce başladı.

Ravensberg, bir Telegram botu olan BitTipBot kullanıcılarına paralarını geri ödeyeceğine söz verdi. Kullanıcılar, proje hataları düzeltilene kadar fonlarına erişemeyecekler.

Dün (2026-11-08) daha sonra Ravensberg, bir takip gönderisinde, Arc ve bir güvenlik test ekibinin sunucusunda “tam olarak hangi eklenti istismarının kullanıldığını” doğruladığını belirtti. Bugün (2026-11-09) saat 09:00 UTC itibarıyla ne kendisi ne de proje, X platformundaki gönderilerinde bu eklentinin adını vermedi. Proje ayrıca, bunun ilk uyarısında adı geçen Paywall eklentisi olup olmadığını da belirtmedi.

Kapatma duyurusu LNbits sunucularını kapsıyor ve Lightning düğümlerinden veya diğer cüzdan yazılımlarından bahsetmiyor. Kaç sunucunun saldırıya uğradığı veya ne kadar para çalındığı hakkında bilgi verilmedi.