LNbits pide apagar todos los servidores tras una ola de ataques: qué hacer si lo usás

Si tenés un servidor de LNbits, apagalo. El propio proyecto pidió apagar servidores a todos sus usuarios el domingo 8 de noviembre, a las 13:56 UTC (10:56 en Argentina), después de lo que llamó una «ola de ataques». LNbits es un sistema de código abierto para montar billeteras y cobros sobre Lightning, la red de pagos rápidos de Bitcoin. A la mañana del lunes 9, el repositorio oficial todavía no mostraba una versión nueva, aunque el plazo que estimó uno de sus desarrolladores no había vencido. Última comprobación: 9 de noviembre a las 08:32 de Argentina.

El aviso es para quienes administran el software, pero el problema puede llegarte de rebote. LNbits se usa para terminales de cobro, botones de propina, muros de pago y máquinas expendedoras, así que podés tener saldo en un servicio que corre sobre él sin haber escuchado nunca el nombre. Hay nombres que uno preferiría no aprender por una alerta de seguridad.

Qué hacer hoy, según tu caso

• Si administrás un servidor LNbits: detenelo ahora y no lo vuelvas a levantar hasta que salgan los parches. El aviso no hace excepciones por versión ni por extensión. Antes de encenderlo de nuevo, leé las notas del parche y revisá qué extensiones tenías activas y las cuentas creadas y los retiros de los últimos días. No encontramos un procedimiento oficial para esto, así que el consejo es nuestro.
• Si usás el servicio alojado my.lnbits.com: no tenés nada que apagar, porque el proyecto lo apagó como precaución y dijo que volvería dentro de 24 horas, o sea a más tardar a las 14:18 de Argentina del lunes 9. No informó si alguna instancia fue atacada ni qué pasa con los saldos. Nuestro consejo: cuando vuelva, no cargues más plata hasta que el proyecto informe.
• Si tenés saldo en un bot, una terminal o una billetera montada sobre LNbits: preguntale al operador, por su canal oficial, si apagó el servidor y qué pasa con tu saldo. Nuestro consejo: no cargues más plata hasta que te conteste.
• Si tenés un nodo Lightning (el equipo que mueve los pagos en esa red) conectado a LNbits: apagá LNbits. El aviso habla de los servidores de LNbits y no menciona los nodos ni otras billeteras, pero ese silencio no prueba que el tuyo esté a salvo: LNbits funciona sobre la fuente de fondos Lightning que le conectes, y TFTC recomienda tratar todo el conjunto con cautela hasta conocer el análisis final.
• Si alguien te escribe por privado para «ayudarte»: desconfiá. El grupo oficial de soporte en Telegram avisa en su descripción que el soporte de LNbits nunca te contacta por mensaje directo o correo, y que quienes lo hacen son estafadores.

De desactivar una extensión a apagar todos los servidores en 83 minutos

El primer aviso público que encontramos llegó a las 12:33 UTC del domingo 8 (en Argentina, tres horas menos). LNbits pidió a los operadores que desactivaran de inmediato Paywall, una extensión para cobrar por ver contenido, mientras investigaba un posible error. A las 13:56 el alcance ya era otro:

«Todos los usuarios de LNbits deberían detener sus servidores de LNbits DE INMEDIATO. Por favor, reenvíen este anuncio. Tras una ola de ataques, tenemos varios parches de seguridad por publicar. Hasta entonces, es mejor pecar de precavidos. Pronto habrá novedades.»LNbits en X, 8 de noviembre. Traducción propia.

Tres minutos después, Ben Arc, desarrollador de LNbits, escribió que los parches deberían estar integrados y disponibles en un plazo de 24 a 48 horas. Contado desde su mensaje, eso va de las 10:59 de Argentina del lunes 9 a la misma hora del martes 10. Es una estimación, no una fecha firmada.

Un operador reporta casi 2,29 millones de sats retirados

Hasta ahora, el daño concreto que encontramos publicado viene de un solo operador. Kevin Ravensberg, que corre un servidor de LNbits asociado a BitTipBot, un bot de propinas para Telegram, lo contó así («instancia» es su servidor; «exploit», la técnica que aprovecha una falla):

«Mi instancia de LNbits (lnbits.btip.nl) fue explotada antes de este anuncio, cuentas nuevas que usaron este exploit retiraron 2.285.545 sats antes de que pudiera detener el servidor.»Kevin Ravensberg en X, 8 de noviembre. Traducción propia.

Un sat, o satoshi, es la cien millonésima parte de un bitcoin, así que son unos 0,0229 bitcoin, cerca de 1.700 dólares al valor de unos 74.000 dólares por bitcoin que mostraba Bitcoin.com al consultarlo. Según su relato, el ataque fue de las 09:22 a las 14:00 UTC: empezó más de tres horas antes del primer aviso del proyecto en X. Ravensberg prometió cubrir de su bolsillo a los usuarios de BitTipBot, aunque aclaró que no van a poder acceder a sus fondos hasta que LNbits corrija las fallas.

Ojo con el tamaño de esa cifra. Es lo que reportó una persona sobre su propio servidor, no el total del ataque. El proyecto no dijo cuántos servidores fueron atacados ni cuánto se llevaron, y en lo que leímos no aparecen víctimas identificadas en América Latina, lo que tampoco quiere decir que no las haya.

Lo que todavía no se sabe

Más tarde, Ravensberg escribió que Arc y un equipo de pruebas de seguridad confirmaron qué extensión se había usado en su caso. En lo que el proyecto publicó en X, el nombre no aparece. Según The Hacker News, a las 09:00 UTC del lunes 9 tampoco había dicho si era Paywall, ni había explicado cómo comprobar si un servidor fue vulnerado antes de apagarlo.

Ravensberg habla de una extensión en su caso, pero el proyecto no dijo si esa fue la única vía: su aviso menciona varios parches y pide apagar todo. TFTC, que no recoge ese seguimiento, escribió el domingo que no estaba establecido si la falla estaba en el núcleo o en una extensión, y Bitcoin.com tampoco da por establecido el mecanismo exacto. En el repositorio oficial, la última versión publicada que vimos sigue siendo la 1.6.2, del 18 de septiembre.

No es la primera vez este año que le encuentran fallas

LNbits ya había pasado por una revisión externa. La firma V12 publicó dos fallas de alto impacto: una permitía convertir una clave de acceso con permisos limitados en control de administrador de la billetera, y otra acreditaba saldo gastable antes de que se capturara un pago de PayPal. Las dos quedaron corregidas en la versión 1.6.0, reconfirmada el 2 de septiembre según V12. Bitcoin.com aclara que no hay ninguna conexión establecida entre aquellas fallas y los ataques de ahora, así que no hay que sumarlas como si fueran el mismo caso.

El contexto tampoco ayuda. Bitcoin.com repasa un año difícil para la infraestructura de Lightning, con vulnerabilidades en Core Lightning, LDK y Eclair (programas distintos para operar en esa red), y cuenta que en agosto, entre reportes de fallas asistidos por IA y precauciones de emergencia recomendadas por sus desarrolladores, cerca de 22% de los nodos de Core Lightning se habrían desconectado. TFTC, un medio especializado en Bitcoin, ya pasó a la exigencia:

«Un segundo gran evento de seguridad en dos meses amerita más que un parche. Amerita una nueva auditoría completa.»TFTC, 8 de noviembre. Traducción propia.

Es una opinión. Aparte, el mismo artículo aclara que su crítica a la arquitectura de LNbits dejaría de sostenerse si el análisis final muestra algo más acotado, como un error de configuración o una extensión opcional mal usada, y si además una auditoría independiente deja limpio el núcleo: el problema sería operativo. Pero deja una observación que sirve mucho más allá de este caso: quienes usaban BitTipBot, escribe TFTC, no creían estar confiando en un custodio, es decir, en alguien que guarda la plata por ellos, sino usando un bot de propinas. Detrás había un servidor de una persona, sobre un software con más de 50 extensiones opcionales.

Como resume Bitcoin.com, que la red de pagos funcione no garantiza la seguridad de cada aplicación montada arriba: Lightning puede andar bien y tu saldo igual depender de ese software. Si usás un servicio custodio, tu plata no está «en la red»: está en el servidor de alguien.

Fuentes

• LNbits: aviso de apagado, aviso sobre Paywall, servicio alojado, sitio oficial, versiones en GitHub y grupo de soporte en Telegram. Ben Arc: estimación de parches.
• Operador afectado: reporte de Kevin Ravensberg y seguimiento.
• Cobertura y antecedentes: The Hacker News, TFTC, Bitcoin.com y V12.
• Las citas de textos en inglés son traducción propia.
• Créditos de imagen: logo de LNbits, del repositorio oficial del proyecto, y foto de racks en NERSC, sin relación con LNbits (Derrick Coetzee, Wikimedia Commons, CC0), usados en fotomontajes editoriales asistidos por IA.