Aggiornamento, 11 novembre 2026, 05:55 UTC: LNbits ha pubblicato la versione 1.7.0 alle 17:09 UTC di martedì 10 novembre, un «aggiornamento di sicurezza urgente» che le note su GitHub chiedono a tutti gli utenti di installare subito. Nelle istruzioni per l’aggiornamento blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il progetto scrive che sono colpite tutte le versioni precedenti alla 1.7.0 e chiede ai gestori di reimpostare le chiavi dei wallet e sostituire le credenziali della fonte di finanziamento, perché il solo aggiornamento non basta a chiudere un accesso già ottenuto da un attaccante. Il rapporto completo sulla falla è ancora atteso e nessuna perdita complessiva è stata pubblicata.
LNbits, il software open source che trasforma un nodo Lightning in tanti portafogli separati per bot di mance, negozi e app di pagamento, domenica 8 novembre ha chiesto a tutti i gestori di fermare i propri server «IMMEDIATELY», subito, dopo un’ondata di attacchi. Un gestore racconta che gli account appena creati sulla sua istanza hanno prelevato 2.285.545 sat, circa 1.690 dollari al prezzo del bitcoin delle 08:09 UTC di lunedì. Due giorni dopo, il 10 novembre, LNbits ha rilasciato la versione 1.7.0 con le correzioni promesse e ha chiesto ai gestori di aggiornare prima di riavviare il software, e poi di cambiare tutte le chiavi che custodisce.
L’attacco a LNbits è piccolo in dollari. La portata è più difficile da misurare: LNbits gira su piattaforme per nodi domestici come Umbrel, su server autogestiti e sul servizio ospitato del progetto, e se il team ora indica come colpite tutte le versioni precedenti alla 1.7.0, non ha ancora spiegato come gli aggressori siano entrati né quanto sia stato sottratto in totale.
Due allarmi di LNbits in 90 minuti, domenica
Il primo avviso è arrivato intorno alle 12:33 UTC dell’8 novembre. LNbits ha chiesto a chi usa l’estensione Paywall, un componente che blocca un contenuto dietro un pagamento Lightning, di disattivarla mentre il team indagava su una possibile vulnerabilità, secondo il resoconto di Bitcoin.com sullo spegnimento.
Circa 80 minuti dopo l’avviso riguardava tutti. «All LNbits users should stop their LNbits servers IMMEDIATELY» (tutti gli utenti di LNbits devono fermare subito i propri server) ha scritto su X l’account ufficiale @lnbits intorno alle 13:56 UTC (le 8:56 a New York), aggiungendo di avere «a number of security patches to push», una serie di patch di sicurezza da rilasciare. Anche CryptoNews ha riferito che l’ordine andava oltre gli utenti di Paywall.
L’annuncio completo, riassunto dal sito TechFlow alle 15:43 UTC dell’8 novembre, parlava di un’ondata di attacchi e di più correzioni di sicurezza che a quel punto restavano da pubblicare. Fermare i server veniva presentato come precauzione in attesa di quelle patch. Il team ha promesso altri aggiornamenti il prima possibile e non ha fornito dettagli tecnici.
Prima nuovi account, poi i prelievi: cosa ha perso un gestore di LNbits
L’unica cifra di perdita agli atti viene da un solo gestore. Kevin Ravensberg, operatore olandese la cui istanza LNbits sostiene il bot di mance su Telegram BitTipBot, ha dichiarato che account appena creati hanno prelevato 2.285.545 sat (0,02285545 BTC) tra le 09:22 e le 14:00 UTC dell’8 novembre, quando ha fermato il server, riferisce Bitcoin.com. CryptoNews indica circa 2,29 milioni di sat.
Quegli orari contano. Stando al suo racconto, i prelievi sono iniziati più di tre ore prima del primo avviso di LNbits e sono andati avanti fino a poco dopo l’ordine generale di spegnimento. Ravensberg si è impegnato a rimborsare gli utenti di BitTipBot. Quegli utenti ritrovano i saldi solo quando lui riavvia l’istanza con una versione corretta, e la mattina dell’11 novembre non risultava annunciata alcuna ripartenza di BitTipBot sulla 1.7.0.
La società di sicurezza blockchain SlowMist ha aggiunto il caso al proprio registro pubblico degli attacchi lo stesso giorno. La scheda indica LNbits, una vulnerabilità del software come causa e una perdita di 1.700 dollari, e descrive il metodo in una riga: gli aggressori hanno creato nuovi account e prelevato fondi senza autorizzazione. Coincide con il racconto del gestore. Sembra anche basarsi su quel solo caso, dato che nessun altro gestore ha pubblicato una perdita.
Uno schema del tipo «crea un account, poi preleva» fa pensare a una debolezza nel modo in cui LNbits verifica chi può spendere da quale portafoglio, ma né il progetto né SlowMist lo hanno detto. Non si sa se altre istanze abbiano perso fondi, né quanti.
Che cos’è LNbits e perché tanti piccoli servizi ci poggiano sopra
Un nodo Lightning custodisce un unico fondo di bitcoin nei suoi canali. LNbits si appoggia a quel nodo, che giri su LND, Core Lightning o un altro backend, e divide il fondo in molti account, ciascuno con il proprio portafoglio e le proprie chiavi API. È ciò che permette a un singolo gestore di far funzionare un bot di mance per migliaia di utenti di una chat, un terminale di cassa per un negozio o una serie di link LNURL di prelievo, senza dare ad alcuno accesso al nodo stesso.
Le estensioni aggiungono il resto: paywall, negozi, link di prelievo, terminali di pagamento. Dalla versione 1.6.0, uscita il 2 settembre 2026, le estensioni possono girare in una sandbox WebAssembly, secondo le note di rilascio del progetto. La stessa versione ha corretto due falle segnalate dal gruppo di sicurezza V12, un aggiramento della cache di autenticazione e un difetto nell’integrazione con PayPal, ha ricordato Bitcoin.com. Nulla collega quei bug agli attacchi di domenica.
Per gli utenti il punto chiave è la custodia. I fondi in un portafoglio LNbits sono detenuti da chi gestisce l’istanza, quindi il saldo di un bot di mance è un credito verso il nodo di quell’operatore. La nostra guida ai tipi di wallet crypto e a chi detiene le chiavi spiega la differenza tra un portafoglio self-custody e un saldo tenuto sul servizio di qualcun altro. Il nostro approfondimento su reti layer 1 e layer 2 mostra dove si colloca Lightning rispetto alla blockchain di bitcoin.
L’ordine di spegnimento riguarda i server LNbits. Finora nessun resoconto dice che i nodi Lightning sottostanti o i loro canali siano stati compromessi. LNbits è inoltre un progetto diverso da LNbank, un plugin di BTCPay Server che aveva avuto un incidente per conto suo in precedenza.
Spento anche my.lnbits.com, con ripartenza promessa entro 24 ore
LNbits gestisce anche un servizio di hosting a pagamento, my.lnbits.com, per chi non vuole occuparsi di un server. Tutte le sue istanze sono state spente per precauzione, con servizi attesi di nuovo online entro 24 ore, ha riferito TechFlow alle 19:49 UTC di domenica; anche CryptoNews e The Defiant hanno riferito dello spegnimento delle istanze ospitate. Contando da quella notizia, la ripartenza cadrebbe lunedì sera, ma alle 08:16 UTC di lunedì LNbits non l’aveva annunciata. Non ha detto se qualche saldo sul servizio ospitato sia stato toccato, e l’avviso sulla 1.7.0 non cita affatto il servizio ospitato.
Prima della patch: 24-48 ore promesse, online ancora la 1.6.2
Ben Arc, collaboratore principale di LNbits, ha dichiarato che le patch «should be merged and available within 24-48hrs», cioè dovrebbero essere integrate e disponibili entro 24-48 ore, riferisce CryptoNews. TechFlow e The Defiant indicano la stessa finestra, mentre Bitcoin.com parla di circa uno o due giorni. Contata da domenica, quella finestra si è chiusa martedì 10 novembre, il giorno in cui è uscita la versione 1.7.0.
Alle 08:16 UTC di lunedì la pagina GitHub del progetto mostrava ancora come ultima uscita la versione 1.6.2. Risale al 18 settembre ed era un hotfix per i backup di PostgreSQL. Esistevano già i tag v1.7.0-rc1 e v1.7.0-rc2, release candidate, senza pagina di rilascio. Anche l’app store di Umbrel elencava ancora la 1.6.2 in quel momento; il suo repository delle app è passato alla 1.7.0 alle 18:05 UTC di martedì.
Una pull request, la #4310, creata dall’account del manutentore arcbtc alle 21:38 UTC di domenica, s’intitola «fix: centralize SSRF protection and block self-targeted requests». Non aveva descrizione né collegamenti con gli attacchi. Un altro manutentore, motorina0, l’ha integrata nel ramo di sviluppo del progetto alle 12:26 UTC di lunedì, e la modifica fa parte della versione 1.7.0, anche se le note di rilascio non la citano. Nulla dimostra che fosse la correzione contro gli attacchi. Prima di quell’integrazione, le ultime modifiche nel ramo principale risalivano al 6 novembre ed erano correzioni di routine; anche le due pull request aperte all’inizio di lunedì avevano titoli da semplici fix.
La pagina degli avvisi di sicurezza del progetto non riportava alcuna voce su questo incidente alle 08:16 UTC di lunedì, e nessuna era stata aggiunta la mattina dell’11 novembre, dopo il rilascio. Elenca solo due casi più vecchi, CVE-2024-34694 e CVE-2025-32013, il secondo una falla SSRF corretta dalla versione 0.12.12.
LNbits 1.7.0: colpite tutte le versioni precedenti, chiavi da cambiare
La versione 1.7.0 è comparsa su GitHub alle 17:09 UTC di martedì 10 novembre, con il titolo «URGENT SECURITY UPDATE» (aggiornamento di sicurezza urgente). Le note di rilascio chiedono a tutti gli utenti di aggiornare subito e descrivono un rafforzamento di autenticazione, gestione delle estensioni e gestione dei pagamenti, oltre a dipendenze aggiornate come urllib3, Tornado, Werkzeug, aiohttp e certifi. Non citano alcuna CVE e non dicono quale bug abbiano sfruttato gli attaccanti.
La versione porta anche funzioni preparate nelle ultime settimane, tra cui l’autenticazione a due fattori, i wallet on-chain e i pagamenti tramite offerte BOLT12. Un’aggiunta conta per la messa in sicurezza: un pulsante che permette al Super Admin di reimpostare in un colpo solo tutte le chiavi dei wallet di un’istanza.
Nelle istruzioni pubblicate su news.lnbits.com, datate 10 novembre, il progetto afferma che sono colpite tutte le versioni precedenti alla 1.7.0 e che i fondi che vi girano rischiano di essere rubati. Avverte che credenziali esposte prima dell’aggiornamento possono dare accesso a un attaccante anche dopo. È promesso un rapporto separato con tutti i dettagli della falla, senza una data.
Ben Arc, il collaboratore principale che ha creato LNbits, ha scritto su X di «a very challenging few days, working relentlessly to get the v1.7 release out after our users and we suffered losses» (giorni molto difficili, passati a lavorare senza sosta per far uscire la 1.7 dopo le perdite subite dai nostri utenti e da noi), ha riferito Cointelegraph l’11 novembre. La testata ricorda anche la sua stima, fornita a maggio, di circa 200.000 persone che usano il software in proprio.
Il bilancio non è cambiato. All’uscita della 1.7.0 LNbits non aveva pubblicato alcun totale delle perdite sulle istanze colpite, ha notato Bitcoin Magazine il 10 novembre. Nemmeno il messaggio di Ben Arc quantifica le perdite del team: i 2.285.545 sat segnalati dal gestore di BitTipBot restano l’unica cifra pubblica, e LNbits non ha detto quante istanze siano state colpite.
Cosa LNbits non ha ancora detto
Una delle domande aperte ha trovato risposta: le versioni vulnerabili sono tutte quelle precedenti alla 1.7.0. Altre tre non hanno ancora una risposta pubblica. LNbits non ha descritto la via d’attacco, oltre a quanto osservato dal gestore e da SlowMist, e rimanda al rapporto completo. Nessuno ha fornito una perdita totale su tutte le istanze: i 2,29 milioni di sat riguardano un solo server. E per l’incidente non è stato pubblicato alcun numero CVE né un avviso di sicurezza su GitHub.
I dati pubblici stanno in una breve tabella.
| Voce | Dato | Fonte |
|---|---|---|
| Avviso sull’estensione Paywall | intorno alle 12:33 UTC, 8 nov | Bitcoin.com |
| Post «ferma tutti i server» | intorno alle 13:56 UTC, 8 nov | @lnbits su X |
| Prelievi sull’istanza di BitTipBot | 2.285.545 sat, dalle 09:22 alle 14:00 UTC | Kevin Ravensberg via Bitcoin.com |
| Perdita nel registro SlowMist | 1.700 dollari | SlowMist |
| Ritardo promesso per la patch | da 24 a 48 ore | Ben Arc via The Defiant |
| Ultima versione su GitHub, 9 nov 08:16 UTC | v1.6.2, 18 set 2026 | GitHub |
| Versione corretta | v1.7.0, 17:09 UTC, 10 nov | GitHub |
| Versioni colpite | tutte quelle prima della 1.7.0 | news.lnbits.com |
Cosa chiede ora LNbits a gestori e utenti
L’istruzione è cambiata. I gestori devono passare alla 1.7.0 prima di far girare di nuovo LNbits, poi seguire alcuni passaggi di ripristino, perché chiavi rubate prima dell’aggiornamento possono funzionare anche dopo. Questi sono i passaggi elencati nelle istruzioni del 10 novembre.
- Se si sospetta una compromissione, installare la 1.7.0 su un nuovo server invece di aggiornare quello vecchio, conservando prima i suoi log e registri.
- Accedere come Super Admin, aprire Settings, poi Users, e scegliere Reset Wallet Keys. Le vecchie chiavi smettono di funzionare, quindi gli utenti devono aggiornare ogni app collegata ai loro wallet.
- Revocare e sostituire le credenziali della fonte di finanziamento, come le chiavi API o i macaroon di LND, poi inserire le nuove nelle impostazioni di LNbits.
- Considerare compromesso ogni altro segreto salvato nelle impostazioni di LNbits e sostituirlo.
- Eliminare e ricreare le connessioni delle estensioni che le usano: NWC Provider, LNDHub, Bolt Cards, TPOS, Bleskomat e FOSSA.
Il progetto ricorda che LNbits è un hot wallet. Chiede di tenere online solo quanto serve all’attività quotidiana, di controllare spesso saldi e pagamenti in uscita e di spostare il resto su un wallet on-chain le cui chiavi di spesa restano offline.
Chi usa soltanto un servizio costruito su LNbits, come un bot di mance o la cassa Lightning di un negozio, dipende dal proprio gestore. I saldi stanno sul nodo di quest’ultimo e, dopo un reset delle chiavi, ogni app collegata a un wallet LNbits, per esempio un account LNDHub o una Bolt Card, ha bisogno delle nuove chiavi. Il caso di BitTipBot mostra la posta in gioco: il gestore ha detto che coprirà quanto è stato prelevato.
Un altro allarme sul fronte Lightning, a una settimana da quello di BTCPay Server
La chiamata di LNbits arriva una settimana dopo che BTCPay Server, il software per i pagamenti dei commercianti, il 1° novembre ha chiesto a tutti i suoi gestori di spegnere i sistemi quando erano stati svuotati degli hot wallet, come abbiamo raccontato nel nostro articolo sui furti di BTCPay Server. Il giorno dopo abbiamo riferito la stima di un preprint secondo cui il 71% dei nodi LND esposti usava ancora software vecchio. A ottobre Eclair, un’altra implementazione di nodo Lightning, ha rilasciato una patch che impedisce alle pagine web di inviare comandi ai suoi nodi. Bitcoin.com ha citato anche dati di newhedge.io secondo cui la capacità pubblica di Lightning è calata di oltre 1.100 BTC da fine luglio.
Questi casi hanno cause diverse e nulla li lega. Hanno in comune lo strato colpito: il software autogestito che piccoli commercianti e appassionati fanno girare attorno alla rete di pagamento di bitcoin, spesso su server domestici, senza un team di sicurezza.
L’incidente non muove il mercato. Il bitcoin scambiava intorno a 73.730 dollari alle 08:09 UTC di lunedì, in calo del 2,75% in 24 ore, mentre la capitalizzazione totale delle crypto perdeva il 6,68%, una discesa iniziata prima della notizia su LNbits. Il prossimo passo da seguire è il rapporto tecnico completo promesso da LNbits, che dovrebbe spiegare come sono entrati gli attaccanti e se altre istanze abbiano perso fondi.