De dreiging met LNbits is zo urgent geworden dat het LNbits-project operators oproept om hun servers nu offline te halen. Volgens het project gaat het om een nieuwe golf aanvallen op de gratis, open-source Bitcoin Lightning wallet-software. Tot er beveiligingsfixes zijn, moeten beheerders volgens de waarschuwing stoppen met het draaien van hun LNbits-instanties.
Wat de situatie extra scherp maakt: er zijn meldingen van exploit-gebruik waarmee geld kon worden opgenomen nog vóórdat de eerste, gerichte waarschuwing werd opgevolgd.
Waarom LNbits operators om offline halen vraagt
LNbits stelt dat iedereen die LNbits draait, zo snel mogelijk moet stoppen. De reden is een reeks aanvallen waar het project actief op reageert. Tegelijk geeft LNbits aan dat er meerdere beveiligingsverbeteringen in voorbereiding zijn en dat operators voorzichtig moeten blijven totdat die zijn doorgevoerd.
Het project publiceerde daarnaast dat het zelf ook zijn cloud-instanties van LNbits voor gebruikers heeft uitgezet. Daarmee wilde LNbits verdere risico’s voor zijn hosted omgeving beperken terwijl het werkt aan herstel.
Wat er volgens meldingen is misgegaan
Een van de operators die verlies meldde, zegt dat zijn server al was gecompromitteerd voordat de shutdown-notice rondging. In zijn rapportage op X beschreef hij een periode waarin aanvallen konden plaatsvinden, en dat hij pas kon ingrijpen nadat er schade was aangericht.
Volgens de bron kwam de aanval aan het licht nog voordat de eerste waarschuwing werd uitgegeven. Die eerste melding was bovendien gerichter van aard dan de latere oproep om volledige servers uit te zetten.
Tijdsverloop: van gerichte waarschuwing naar volledige shutdown
De projectcommunicatie verliep in twee stappen. Eerst kwam er een eerdere, meer beperkte waarschuwing. Die vroeg operators om een add-on genaamd Paywall te uitschakelen, in afwachting van onderzoek naar een mogelijke bug.
Later volgde de bredere shutdown-oproep. Die kwam ongeveer tachtig minuten na de eerste waarschuwing. In die daaropvolgende boodschap roept LNbits alle operators op om hun LNbits-walletservers uit te zetten, omdat het risico niet langer beperkt werd tot één specifieke component.
Op het moment dat de brontekst werd opgesteld, had LNbits nog geen vaste versie uitgebracht. Wel gaf een ontwikkelaar een verwachting over wanneer patches samen kunnen worden gevoegd en beschikbaar kunnen zijn.
Beveiligingspatches: wanneer kunnen operators weer veilig draaien?
LNbits gaf aan dat de benodigde patches naar verwachting binnen een korte termijn beschikbaar konden zijn. In de bron wordt gesproken over een bandbreedte van 24 tot 48 uur voor het beschikbaar maken van updates, gerekend vanaf een ontwikkelaarsschatting.
Belangrijk: totdat die fixes er zijn, is de kernboodschap van het project helder. Beheerders moeten niet wachten met het uitschakelen van hun servers, omdat aanvallen al eerder plaatsvonden en waarschuwingen niet altijd op tijd leidden tot mitigatie.
Cloudservice: LNbits heeft eigen instanties uitgezet
Naast de oproep aan externe operators, kondigde LNbits ook aan dat het zijn eigen hosted omgeving heeft stilgezet. Dit betrof LNbits-instances die gebruikers gebruiken via de cloudservice. In de hosted-service update stelde het project dat de diensten binnen een dag weer terug zouden zijn, of uiterlijk op een door LNbits genoemd tijdstip.
Voor operators is dit relevant omdat het laat zien dat het project de impact serieus neemt en de risico’s niet beperkt tot één losse installatie.
Welke exploit en add-on zijn precies gebruikt?
In latere meldingen stelde een operator dat zijn server was uitgebuit met een specifieke extensie. De bron vermeldt dat een ontwikkelaar en een team van security testers hebben bevestigd welke exacte extension exploit is gebruikt.
Toch werden in de berichten op dat moment nog niet alle details publiek gemaakt. De bron geeft aan dat noch de operator noch het project op het moment van schrijven de naam van de extensie noemde. Ook werd niet duidelijk of de eerder genoemde Paywall-add-on daadwerkelijk de bewuste component was waarvoor de eerste waarschuwing werd afgegeven.
Dat betekent voor beheerders: ga er niet vanuit dat “alleen Paywall” het probleem was. De shutdown-oproep is juist de stap die aangeeft dat het risico breder kan zijn dan één add-on.
Geldterugbetaling en beperkingen voor getroffen gebruikers
De operator die verlies rapporteerde, beloofde gebruikers van een Telegram-bot (BitTipBot) te compenseren. Tegelijk stond in de bron dat gebruikers zolang de problemen niet zijn opgelost mogelijk niet bij hun tegoeden kunnen.
Dit onderstreept het praktische probleem bij dit soort incidenten: zelfs als compensatie wordt toegezegd, kan toegang tot fondsen tijdelijk geblokkeerd blijven totdat de oorzaak is verholpen en het systeem veilig kan worden herstart.
Wat kun je nu als operator doen?
De bron is vrij stellig: de aanbevolen actie is om LNbits-walletservers offline te zetten zolang de fixes niet beschikbaar zijn. Daarnaast geldt dat je extra alert moet zijn op mogelijke eerdere compromittering. Omdat de bron ook beschrijft dat aanvallen al begonnen vóórdat de eerste waarschuwing rondging, is snelle mitigatie cruciaal.
- Volg de shutdown-oproep direct voor je LNbits-omgeving.
- Wacht niet alleen op één add-on-waarschuwing; onderzoek moet breder kunnen zijn.
- Plan herstart pas na de beveiligingsfixes en nadat LNbits een stabiele versie heeft gepubliceerd.
Heb je te maken met bredere zorgen rond kwetsbaarheden en het tempo van updates? Dan kan ook het onderwerp van dreiging en patchvertraging je helpen om de juiste prioriteiten te stellen. Zie bijvoorbeeld dreiging en patchvertraging in 2026.
Gericht op LNbits, niet op Lightning nodes
De shutdown-oproep heeft betrekking op LNbits servers. In de bron wordt expliciet vermeld dat er geen melding is gedaan over Lightning nodes of andere walletsoftware. Voor beheerders betekent dit dat de actie zich vooral richt op de LNbits-infrastructuur die je zelf runt of host.
Wel blijft het verstandig om ook je bredere keten te bekijken: welke componenten communiceren met je LNbits-installatie en hoe worden transacties verwerkt.
Conclusie: dreiging met LNbits vraagt directe actie
De dreiging met LNbits heeft geleid tot een duidelijke oproep: haal LNbits-walletservers nu offline totdat het project beveiligingsfixes heeft vrijgegeven. De gemelde tijdlijn laat zien dat aanvallen al konden plaatsvinden vóórdat waarschuwingen volledig waren opgevolgd, wat het belang van snel handelen vergroot.
Wie LNbits beheert, doet er daarom goed aan om de mitigatie-aanpak van LNbits te volgen, herstart uit te stellen tot updates beschikbaar zijn en extra aandacht te geven aan de omgeving rond wallettoegang en extensies.
Wil je meer achtergrond over aanvallen op wallet- of accountgerelateerde omgevingen? Lees dan ook BOSSAI AI-agents: diefstal noodoproepdata voor een voorbeeld van hoe aanvallers data en toegang kunnen misbruiken.
Bron: https://thehackernews.com/2026/11/lnbits-urges-all-operators-to-shut-down.html
