LNbits 1.7.0rc4 появилась на PyPI: тестовый пакет ещё не означает восстановление сервиса
Публикация источника: 2026-11-10 · Редакционный анализ опубликован: 2026-11-10
Пакет от 10 ноября появился после изменений безопасности 9 ноября. PyPI отмечает его предварительной версией; стабильный релиз GitHub проверяют отдельно.
Новый пакет уже доступен для проверки
LNbits 1.7.0rc4 загрузили в официальный пакет проекта на PyPI 10 ноября в 01:51 UTC. Это конкретное развитие после экстренного призыва остановить серверы 8 ноября: операторы и разработчики получили новую опубликованную версию для проверки. PyPI прямо отмечает её как предварительную, которая может быть нестабильной для рабочего использования. Буквы rc означают release candidate — кандидата, который ещё проверяется перед обычным стабильным релизом.
До этого 1.7.0rc2 загрузили 9 ноября в 14:46 UTC. В тот же день LNbits объединила изменения безопасности №4310 и №4313. Это разные свидетельства: внесение изменений в код, публикация пакета и доступность конкретного сервиса пользователям не являются одним событием. Сам новый пакет не подтверждает восстановления всех затронутых установок.
Проверьте, какой список версий читаете
На момент нашей проверки 10 ноября последним опубликованным стабильным релизом GitHub оставался v1.6.2 от 18 сентября. Он описывает исправление резервного копирования PostgreSQL. Позиция «последний» в списке GitHub не превращает его в новый патч ноябрьского инцидента. И наоборот, появление 1.7.0rc4 на PyPI не означает объявления обычного стабильного 1.7.0 на GitHub.
Это важно, поскольку операторы устанавливают LNbits разными способами. Доступная версия в одном канале не доказывает изменения другого канала или хостингового сервиса. Нужны точный номер и статус предварительного релиза, а не общая отметка stable или место страницы в поиске. Реально установленная оператором версия — ещё один отдельный факт для каждого сервиса.
Что меняет работа над безопасностью
Объединённые изменения централизуют проверку исходящих запросов и усиливают защиту от направления сервера на самого себя или частные адреса. Такой класс проблем называют SSRF: приложение могут убедить сделать запрос от чужого имени. Названия изменений и история кода подтверждают работу над этой защитой, но не являются полным расследованием всех атак, о которых сообщалось во время инцидента.
Мы также прочитали опубликованный архив кода rc4, не запуская программу. Параметр разрешения новых учётных записей по умолчанию выключен, а метаданные требуют Python от 3.10 до версий ниже 3.14. Значение по умолчанию в новом коде не доказывает то же значение в сохранённых настройках действующей установки. Оператору нужно понимать реально используемую конфигурацию и совместимость своего установленного ПО.
Почему майнеру важно приложение кошелька
LNbits — прикладной слой Bitcoin и Lightning, а не правила сети Bitcoin или прошивка ASIC. Новость относится к майнеру, когда его настоящий маршрут выплат или получения использует LNbits. Она не означает, что каждому Bitcoin-майнеру нужно устанавливать этот пакет, менять пул или обычный получатель в блокчейне, не зависящий от LNbits.
При проверке платежа разделите этапы: зачёл ли пул работу, отправил ли выплату и может ли принимающее приложение её учесть и показать. Работающий майнер сам по себе не подтверждает исправности сервиса получения. Равным образом перерыв такого сервиса не означает автоматического прекращения принятой работы ASIC. Сохраните соответствующие записи пула и платежа прежде, чем делать вывод.
Полезный вопрос оператору
Для хостинговой учётной записи LNbits спросите оператора, какая точная версия установлена и какие указания действуют для восстановления этого сервиса. Время публичной загрузки пакета не отвечает за оператора. Для собственного сервера стоит хранить вместе версию, способ установки, настройки и сведения о резервных копиях, чтобы тестирование или восстановление начинались с известного состояния.
Не публикуйте секреты кошелька или административные ключи при обращении за помощью. Реквизит платежа, статус и время можно сохранить для проверки, не раскрывая полномочий управлять средствами. Цель — сверить настоящий маршрут конкретной выплаты, а не предположить, что новый номер версии уже восстановил каждую учётную запись или вернул ранее отсутствовавшие деньги.
Прогресс с точно названным статусом
Свежее развитие — доступность rc4 как датированного тестового пакета и видимые изменения безопасности в коде проекта. Проверка кандидата в изолированной установке может показать совместимость, но отличается от решения вновь открыть сервис, работающий с деньгами. В этом материале мы не запускали LNbits, не проверяли атаку и не сертифицировали пакет как безопасный.
Прежде чем считать инцидент закрытым для конкретного сервера, сверяйте текущие официальные указания проекта и сообщение его оператора. Объединённое исправление, опубликованный кандидат, установленное обновление и доступный клиентам сервис — разные этапы. Точные названия позволяют майнерам следить за реальным восстановлением, не принимая запись в каталоге пакетов за подтверждение работы собственного получателя.
Источник: LNbits / PyPI and official source ↗ · Official GitHub releases ↗ · Merged security change 4310 ↗ · Merged security change 4313 ↗ · Versioned PyPI metadata ↗
Калькулятор майнинга ↗
