LNbits 1.7.1 llega a PyPI tras la actualización de seguridad 1.7.0
Publicación de la fuente: 2026-11-11 · Análisis editorial publicado: 2026-11-11
El paquete del 11 de noviembre sigue a la versión estable de seguridad. LNbits también pide renovar las credenciales de carteras, fuentes de fondos y aplicaciones conectadas.
Hay un paquete posterior en PyPI
LNbits 1.7.1 llegó a PyPI el 11 de noviembre a las 13:41 UTC, un día después de la versión estable de seguridad 1.7.0. La etiqueta del código fuente 1.7.1 aparece en el repositorio del proyecto. Al comprobar GitHub, el último lanzamiento publicado seguía siendo 1.7.0. El aviso para operadores indica 1.7.0 como la versión mínima tras la vulnerabilidad del 8 de noviembre.
PyPI registra la subida del paquete para quienes instalan mediante Python. La comparación entre etiquetas en GitHub incluye desactivar la dirección predeterminada del servicio de reseñas pagadas de extensiones. Es parte de los cambios posteriores. El aviso del incidente y las medidas de renovación de credenciales explican por separado la respuesta que pide el proyecto.
La versión estable está disponible
LNbits publicó la versión estable 1.7.0 el 10 de noviembre. Tras la vulnerabilidad comunicada el 8 de noviembre, el proyecto pide instalarla antes de arrancar el servicio LNbits. PyPI registra la subida estable a las 16:20 UTC y GitHub sitúa el lanzamiento a las 17:09 UTC. Son canales distintos de la misma versión estable. El paquete que cubrimos antes era una versión de prueba.
LNbits ayuda a gestionar pagos de Bitcoin, incluidos los pagos Lightning que se tramitan fuera de la cadena principal. Un minero que cobra de un pool a través de un servicio basado en LNbits puede depender de él para crear una factura o recibir un abono. El lanzamiento da al operador una versión que instalar y un plan de recuperación. El estado de un servicio de pagos concreto depende de su operador.
Renovar el acceso en cada lugar que lo usaba
El aviso pide renovar todas las claves de carteras de usuarios. El administrador principal puede usar Reset Wallet Keys en Settings → Users. Rotar una clave significa cancelar la anterior y emitir otra. Las credenciales anteriores dejan de funcionar tras el restablecimiento. Las aplicaciones conectadas necesitan claves nuevas, de modo que un fallo de acceso durante la transición puede deberse a un restablecimiento previsto.
La fuente de fondos requiere su propia revisión. Es el sistema que realmente tramita el dinero, por ejemplo un nodo Lightning. El operador revoca la credencial de API en la fuente, consigue otra y actualiza la configuración de LNbits. Algunos sistemas usan un macaroon, una credencial que otorga permisos específicos en un nodo. Restablecer la clave de una cartera de LNbits no revoca esa credencial independiente.
Ante la sospecha de acceso al servidor
El proyecto prefiere instalar 1.7.0 en un servidor nuevo cuando se sospecha una intrusión. Pide conservar los registros pertinentes antes de sustituir el servidor anterior. Una actualización cambia el programa que se ejecuta. Si alguien obtuvo acceso al propio servidor o copió un secreto, el operador aún tiene que cerrar ese acceso.
LNbits también aconseja reemplazar otros secretos guardados en la configuración y reconstruir las conexiones de extensiones. Cita NWC Provider y LNDHub, que pueden conectar carteras o aplicaciones al sistema de pagos. Hay que revocar las conexiones anteriores y volver a establecerlas con credenciales nuevas. El operador puede dejar constancia de qué servicio usaba cada clave y cuándo dejó de funcionar el acceso anterior.
Qué puede comprobar quien espera un pago
Un usuario del pool suele tener a la vista su cuenta, una factura y la cartera receptora. Si el operador pausa los pagos para trabajar en LNbits, la página de estado o el aviso del pool ofrecen la información pertinente sobre su reapertura. El lanzamiento confirma que existe una actualización. Por sí solo no liquida un pago pendiente ni fija cuándo volverá a pagar un proveedor concreto.
Cuando el proveedor confirma la vuelta del servicio, el historial del pool y la cartera receptora permiten comprobar el resultado. Una factura puede estar creada mientras el pago sigue pendiente. Un operador que haya reconectado una cartera puede verificar un pago pequeño y controlado antes de volver al uso normal. Así prueba el recorrido actual después de cambiar claves y ajustes.
Comprobar el paquete y el entorno
PyPI indica que el paquete 1.7.0 requiere Python desde 3.10 y por debajo de 3.14. Importa a quien instala mediante Python. Puede ser necesario cambiar un entorno antiguo para cargar el paquete. Tras actualizar, conviene verificar la versión que informa el servicio en ejecución. Un archivo descargado indica qué se puede instalar, mientras que la versión en ejecución indica qué tramita los pagos.
La versión estable incluye autenticación de dos factores con códigos que cambian con el tiempo. Un código corto añade una comprobación al iniciar sesión. Las credenciales del backend y las claves de las aplicaciones son vías de acceso distintas. Antes de restaurar una conexión, conviene revisar qué permisos necesita cada aplicación para su tarea.
Qué información queda por publicar
LNbits presenta 1.7.0 como la versión que incorpora correcciones en respuesta al incidente. Dice que publicará por separado los detalles completos de la explotación. Los documentos actuales respaldan la versión requerida y las medidas de recuperación. No detallan qué pasó en una cuenta concreta ni qué fondos devolverá un proveedor.
El proyecto recuerda que LNbits funciona como cartera caliente. Las credenciales necesarias para pagar están disponibles en un servicio en línea, lo que facilita las operaciones habituales. Recomienda dejar en línea solo el saldo necesario, revisar los saldos y los pagos salientes, y trasladar el excedente a una cartera con las claves de gasto fuera de línea.
Fuente: LNbits / PyPI, GitHub and operator advisory ↗ · LNbits v1.7.0 stable GitHub release ↗ · LNbits v1.7.0 to v1.7.1 source comparison ↗ · LNbits security and recovery advisory ↗ · LNbits 1.7.0 on PyPI ↗ · ASIC.tools coverage of the earlier release candidate ↗
Calculadora de minería ↗
