Mise à jour du 11 novembre 2026, 5 h 55 UTC : LNbits a publié la version 1.7.0 le mardi 10 novembre à 17 h 09 UTC, une « mise à jour de sécurité urgente » que ses notes sur GitHub demandent à tous les utilisateurs d’installer immédiatement. Dans ses consignes de mise à niveau, le projet indique que toutes les versions antérieures à la 1.7.0 sont touchées et demande aux opérateurs de réinitialiser les clés des portefeuilles et de remplacer les identifiants de leur source de financement, car la seule mise à jour ne suffit pas à couper un accès déjà obtenu par un attaquant. Un rapport complet sur la faille reste attendu, et aucune perte totale n’a été publiée.
LNbits, le logiciel libre qui transforme un nœud Lightning en une série de portefeuilles distincts pour des bots de pourboires, des boutiques et des applications de paiement, a demandé à tous ses opérateurs, dimanche 8 novembre, d’arrêter leurs serveurs « IMMÉDIATEMENT » après une vague d’attaques. Un opérateur affirme que des comptes tout juste créés sur son instance ont retiré 2 285 545 sats, soit environ 1 690 $ au cours du bitcoin de 08 h 09 UTC lundi. Deux jours plus tard, le 10 novembre, LNbits a publié la version 1.7.0 avec les correctifs promis et demandé aux opérateurs de faire la mise à jour avant de relancer le logiciel, puis de changer toutes les clés qu’blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il détient.
L’attaque contre LNbits est modeste en dollars. Sa portée est plus difficile à mesurer : LNbits tourne sur des plateformes de nœud domestique comme Umbrel, sur des serveurs auto-hébergés et sur le service d’hébergement du projet lui-même, et si l’équipe indique désormais que toutes les versions antérieures à la 1.7.0 sont touchées, elle n’a encore expliqué ni comment les assaillants sont entrés, ni combien a été dérobé au total.
Deux alertes de LNbits en 90 minutes dimanche
La première alerte est tombée vers 12 h 33 UTC le 8 novembre. LNbits a demandé aux opérateurs qui utilisent son extension Paywall, un module qui verrouille un contenu derrière un paiement Lightning, de la désactiver le temps d’examiner une faille possible, selon le récit de Bitcoin.com sur l’arrêt des serveurs.
Quelque 80 minutes plus tard, l’avertissement visait tout le monde. « Tous les utilisateurs de LNbits doivent arrêter leurs serveurs LNbits IMMÉDIATEMENT », a écrit le compte officiel @lnbits sur X vers 13 h 56 UTC (8 h 56 à New York), en ajoutant avoir « un certain nombre de correctifs de sécurité à publier ». CryptoNews a aussi rapporté que la consigne dépassait les seuls utilisateurs de Paywall.
L’annonce complète, résumée par le média TechFlow à 15 h 43 UTC le 8 novembre, parlait d’une vague d’attaques et de plusieurs correctifs de sécurité qui restaient alors à publier. L’arrêt des serveurs était présenté comme une précaution le temps que ces correctifs sortent. L’équipe a promis de nouvelles informations dès que possible et n’a donné aucun détail technique.
Comptes neufs, puis retraits : ce qu’un opérateur LNbits a perdu
Le seul chiffre de perte connu vient d’un unique opérateur. Kevin Ravensberg, un opérateur néerlandais dont l’instance LNbits alimente le bot de pourboires Telegram BitTipBot, affirme que des comptes nouvellement créés ont retiré 2 285 545 sats (0,02285545 BTC) entre 09 h 22 et 14 h 00 UTC le 8 novembre, heure à laquelle il a coupé son serveur, selon Bitcoin.com. CryptoNews arrondit à environ 2,29 millions de sats.
Ces horaires comptent. D’après son récit, les retraits ont commencé plus de trois heures avant le premier avertissement de LNbits et ont duré jusque juste après l’appel à l’arrêt général. Ravensberg s’est engagé à rembourser les utilisateurs de BitTipBot. Ces derniers ne retrouvent leur solde que lorsqu’il relance l’instance sous une version corrigée, et aucune reprise de BitTipBot en 1.7.0 n’avait été annoncée le matin du 11 novembre.
La société de sécurité blockchain SlowMist a ajouté le cas à son registre public des piratages le même jour. Sa fiche indique LNbits, une faille logicielle comme cause et une perte de 1 700 $, et décrit la méthode en une ligne : les attaquants ont créé de nouveaux comptes et retiré des fonds sans autorisation. Cela recoupe le témoignage de l’opérateur. La fiche semble aussi reposer sur ce seul cas, puisqu’aucun autre opérateur n’a publié de perte.
Un schéma « créer un compte, puis encaisser » laisse penser à une faiblesse dans la façon dont LNbits vérifie qui a le droit de dépenser depuis quel portefeuille, mais ni le projet ni SlowMist ne l’ont dit. On ignore si d’autres instances ont perdu de l’argent, et combien.
Ce qu’est LNbits, et pourquoi tant de petits services reposent dessus
Un nœud Lightning détient un seul pot de bitcoins dans ses canaux. LNbits se place au-dessus de ce nœud, qu’il fonctionne sous LND, Core Lightning ou un autre moteur, et divise ce pot en de nombreux comptes, chacun avec son portefeuille et ses clés d’API. C’est ce qui permet à un seul opérateur de faire tourner un bot de pourboires pour des milliers d’utilisateurs d’une messagerie, un terminal de point de vente pour un commerçant ou une série de liens de retrait LNURL, sans donner à personne l’accès au nœud lui-même.
Des extensions ajoutent le reste : paywalls, boutiques, liens de retrait, terminaux de paiement. Depuis la version 1.6.0, publiée le 2 septembre 2026, les extensions peuvent s’exécuter dans un bac à sable WebAssembly, d’après les notes de version du projet. Cette même version a corrigé deux faiblesses signalées par le groupe de sécurité V12, un contournement du cache d’authentification et un défaut dans l’intégration de PayPal, a relevé Bitcoin.com. Rien ne relie ces bogues aux attaques de dimanche.
Pour les utilisateurs, l’essentiel tient à la garde des fonds. Les fonds d’un portefeuille LNbits sont détenus par celui qui fait tourner l’instance : le solde d’un bot de pourboires est donc une créance sur le nœud de son opérateur. Notre guide sur les types de portefeuilles crypto et la détention des clés explique la différence entre un portefeuille en autogarde et un solde laissé chez un tiers. Notre explication sur les réseaux de couche 1 et de couche 2 montre où se situe Lightning par rapport à la blockchain du bitcoin.
L’appel à l’arrêt concerne les serveurs LNbits. Aucun compte rendu ne dit à ce stade que les nœuds Lightning sous-jacents ou leurs canaux ont été compromis. LNbits est aussi un projet distinct de LNbank, un plugin de BTCPay Server qui a connu son propre incident plus tôt.
Le service hébergé my.lnbits.com a lui aussi été coupé, avec un redémarrage promis sous 24 heures
LNbits exploite également un service d’hébergement payant, my.lnbits.com, pour ceux qui ne veulent pas gérer un serveur. Toutes ses instances ont été arrêtées par précaution, les services devant reprendre sous 24 heures, a rapporté TechFlow à 19 h 49 UTC dimanche ; CryptoNews et The Defiant ont eux aussi fait état de l’extinction des instances hébergées. En comptant à partir de cette annonce, la reprise tomberait lundi soir, mais LNbits ne l’avait pas confirmée à 08 h 16 UTC lundi. Le projet n’a pas précisé si des soldes du service hébergé ont été touchés, et son avis sur la 1.7.0 ne mentionne pas du tout le service hébergé.
Avant le correctif : 24 à 48 heures promises, la 1.6.2 toujours en ligne
Ben Arc, contributeur principal de LNbits, a déclaré que les correctifs « devraient être fusionnés et disponibles sous 24 à 48 h », a rapporté CryptoNews. TechFlow et The Defiant donnent la même fenêtre, et Bitcoin.com parle d’un à deux jours environ. Comptée à partir de dimanche, cette fenêtre s’est refermée le mardi 10 novembre, jour de la sortie de la version 1.7.0.
À 08 h 16 UTC lundi, la page GitHub du projet affichait encore la version 1.6.2 comme dernière publication. Elle date du 18 septembre et corrigeait les sauvegardes PostgreSQL. Des étiquettes v1.7.0-rc1 et v1.7.0-rc2, des versions candidates, existaient sans page de publication. Le catalogue d’applications d’Umbrel indiquait toujours la 1.6.2 à ce moment-là ; son dépôt d’applications est passé à la 1.7.0 à 18 h 05 UTC mardi.
Une demande de fusion, la n° 4310, créée par le compte de maintenance arcbtc à 21 h 38 UTC dimanche, s’intitule « fix: centralize SSRF protection and block self-targeted requests ». Elle n’avait ni description ni lien avec les attaques. Un autre mainteneur, motorina0, l’a fusionnée dans la branche de développement du projet à 12 h 26 UTC lundi, et sa modification fait partie de la version 1.7.0, même si les notes de version ne la citent pas. Rien ne prouve qu’il s’agissait du correctif contre les attaques. Avant cette fusion, les dernières modifications intégrées à la branche principale dataient du 6 novembre et étaient des corrections de routine, et les deux demandes de fusion ouvertes tôt lundi portaient elles aussi des titres de corrections ordinaires.
La page des avis de sécurité du projet ne comportait aucune entrée pour cet incident à 08 h 16 UTC lundi, et aucune n’avait été ajoutée le matin du 11 novembre, après la publication. Elle ne recense que deux cas plus anciens, CVE-2024-34694 et CVE-2025-32013, le second étant une faille SSRF corrigée à partir de la version 0.12.12.
LNbits 1.7.0 : toutes les versions antérieures touchées, des clés à changer
La version 1.7.0 est parue sur GitHub le mardi 10 novembre à 17 h 09 UTC, sous le titre « URGENT SECURITY UPDATE » (mise à jour de sécurité urgente). Les notes de version demandent à tous les utilisateurs de mettre à jour immédiatement et décrivent un renforcement de l’authentification, de la gestion des extensions et du traitement des paiements, ainsi que des dépendances mises à jour comme urllib3, Tornado, Werkzeug, aiohttp et certifi. Elles ne citent aucune CVE et ne disent pas quel bogue les attaquants ont exploité.
La version apporte aussi des fonctions préparées ces dernières semaines, dont l’authentification à deux facteurs, les portefeuilles on-chain et les paiements par offre BOLT12. Un ajout compte pour le nettoyage : un bouton qui permet au Super Admin de réinitialiser d’un coup toutes les clés de portefeuille d’une instance.
Dans ses consignes publiées sur news.lnbits.com, datées du 10 novembre, le projet affirme que toutes les versions antérieures à la 1.7.0 sont touchées et que les fonds qui tournent dessus risquent d’être volés. Il prévient que des identifiants exposés avant la mise à jour peuvent encore donner accès à un attaquant après coup. Un rapport séparé, avec tous les détails de la faille, est promis, sans date.
Ben Arc, le contributeur principal qui a créé LNbits, a évoqué sur X « a very challenging few days, working relentlessly to get the v1.7 release out after our users and we suffered losses » (quelques jours très difficiles, à travailler sans relâche pour sortir la 1.7 après les pertes subies par nos utilisateurs et par nous), a rapporté Cointelegraph le 11 novembre. Le média rappelle aussi son estimation, donnée en mai, d’environ 200 000 personnes qui font tourner le logiciel elles-mêmes.
Le bilan n’a pas bougé. LNbits n’avait publié aucun total des pertes sur l’ensemble des instances touchées à la sortie de la 1.7.0, a relevé Bitcoin Magazine le 10 novembre. Le message de Ben Arc ne chiffre pas non plus les pertes de l’équipe : les 2 285 545 sats signalés par l’opérateur de BitTipBot restent le seul chiffre public, et LNbits n’a pas dit combien d’instances ont été touchées.
Ce que LNbits n’a toujours pas dit
L’une des questions ouvertes est tranchée : les versions vulnérables sont toutes celles antérieures à la 1.7.0. Trois autres n’ont pas encore de réponse publique. LNbits n’a pas décrit la voie d’attaque, au-delà de ce que l’opérateur et SlowMist ont observé, et renvoie à son rapport complet. Personne n’a donné de perte totale sur l’ensemble des instances : les 2,29 millions de sats concernent un seul serveur. Et aucun numéro CVE ni avis de sécurité GitHub n’a été publié pour l’incident.
Les chiffres publics tiennent dans un court tableau.
| Élément | Chiffre | Source |
|---|---|---|
| Alerte sur l’extension Paywall | vers 12 h 33 UTC, 8 nov. | Bitcoin.com |
| Message d’arrêt de tous les serveurs | vers 13 h 56 UTC, 8 nov. | @lnbits sur X |
| Retraits sur l’instance BitTipBot | 2 285 545 sats, de 09 h 22 à 14 h 00 UTC | Kevin Ravensberg via Bitcoin.com |
| Perte au registre SlowMist | 1 700 $ | SlowMist |
| Délai de correctif annoncé | 24 à 48 heures | Ben Arc via The Defiant |
| Dernière version sur GitHub, 9 nov., 08 h 16 UTC | v1.6.2, 18 sept. 2026 | GitHub |
| Version corrigée | v1.7.0, 17 h 09 UTC, 10 nov. | GitHub |
| Versions touchées | toutes celles avant la 1.7.0 | news.lnbits.com |
Ce que LNbits demande désormais aux opérateurs et aux utilisateurs
La consigne a changé. Les opérateurs doivent passer à la 1.7.0 avant de relancer LNbits, puis suivre des étapes de remise en ordre, car des clés volées avant la mise à jour peuvent encore servir après. Voici les étapes listées dans les consignes du 10 novembre.
- En cas de compromission soupçonnée, installer la 1.7.0 sur un nouveau serveur plutôt que de mettre à jour l’ancien, en conservant d’abord ses journaux et ses traces.
- Se connecter en Super Admin, ouvrir Settings, puis Users, et choisir Reset Wallet Keys. Les anciennes clés cessent de fonctionner : les utilisateurs doivent mettre à jour chaque application reliée à leurs portefeuilles.
- Révoquer et remplacer les identifiants de la source de financement, comme les clés d’API ou les macaroons de LND, puis saisir les nouveaux dans les réglages de LNbits.
- Considérer tout autre secret enregistré dans les réglages de LNbits comme compromis, et le remplacer.
- Supprimer puis recréer les connexions des extensions qui en ont : NWC Provider, LNDHub, Bolt Cards, TPOS, Bleskomat et FOSSA.
Le projet rappelle que LNbits est un portefeuille chaud. Il demande de ne garder en ligne que ce qu’exige l’activité quotidienne, de vérifier souvent soldes et paiements sortants, et d’envoyer le reste vers un portefeuille on-chain dont les clés de dépense restent hors ligne.
Les personnes qui se contentent d’utiliser un service bâti sur LNbits, comme un bot de pourboires ou la caisse Lightning d’un commerçant, dépendent de leur opérateur. Leurs soldes se trouvent sur le nœud de celui-ci, et après une réinitialisation des clés, toute application reliée à un portefeuille LNbits, un compte LNDHub ou une Bolt Card par exemple, a besoin des nouvelles clés. Le cas de BitTipBot montre l’enjeu : son opérateur dit qu’il couvrira ce qui a été pris.
Une nouvelle alerte côté Lightning, une semaine après celle de BTCPay Server
L’appel de LNbits survient une semaine après celui de BTCPay Server, le logiciel de paiement pour commerçants, qui avait demandé à tous ses opérateurs, le 1er novembre, de tout arrêter alors que des portefeuilles chauds étaient vidés, comme nous l’avons raconté dans notre article sur les vols chez BTCPay Server. Le lendemain, nous rapportions l’estimation d’un prépublié selon laquelle 71 % des nœuds LND exposés tournaient encore sous un vieux logiciel. En octobre, Eclair, une autre implémentation de nœud Lightning, a livré un correctif qui empêche des pages web d’envoyer des commandes à ses nœuds. Bitcoin.com cite aussi des données de newhedge.io selon lesquelles la capacité publique de Lightning a reculé de plus de 1 100 BTC depuis fin juillet.
Ces affaires ont des causes différentes et rien ne les relie. Elles ont en commun la couche touchée : les logiciels auto-hébergés que de petits commerçants et des passionnés font tourner autour du réseau de paiement du bitcoin, souvent sur des serveurs domestiques, sans équipe de sécurité.
L’incident ne fait pas bouger le marché. Le bitcoin s’échangeait autour de 73 730 $ à 08 h 09 UTC lundi, en baisse de 2,75 % sur 24 heures, tandis que la capitalisation totale des cryptomonnaies reculait de 6,68 %, un repli amorcé avant l’annonce de LNbits. La prochaine échéance à suivre est le rapport technique complet promis par LNbits, qui doit dire comment les attaquants sont entrés et si d’autres instances ont perdu des fonds.