LNbits 1.7.1 з’явилася на PyPI після випуску 1.7.0 з виправленнями безпеки
Публікація джерела: 2026-11-11 · Редакційний аналіз опубліковано: 2026-11-11
Пакет від 11 листопада вийшов слідом за стабільним випуском із виправленнями. LNbits також просить замінити ключі гаманців, джерел коштів і підключених застосунків.
На PyPI вийшов наступний пакет
LNbits 1.7.1 з’явилася на PyPI 11 листопада о 13:41 UTC, за день після стабільного випуску 1.7.0 з виправленнями безпеки. У репозиторії проєкту на GitHub видно тег вихідного коду 1.7.1. Під час перевірки останнім опублікованим релізом на GitHub залишалася 1.7.0. У порадах для операторів проєкт вказує 1.7.0 як мінімальну версію після вразливості від 8 листопада.
PyPI фіксує завантаження пакета для тих, хто встановлює через Python. Серед змін між двома тегами на GitHub — вимкнення типової адреси сервісу платних відгуків про розширення. Це частина наступного пакета. Як діяти після інциденту, проєкт пояснює окремо в рекомендаціях із заміни облікових даних і відновлення.
Стабільний випуск уже доступний
10 листопада LNbits опублікувала стабільну версію 1.7.0. Після повідомлення про вразливість 8 листопада проєкт просить операторів встановити її перед запуском сервісу. На PyPI стабільний пакет з’явився о 16:20 UTC, а GitHub показує публікацію релізу о 17:09 UTC. Це різні канали тієї самої стабільної версії. Раніше ми писали про тестовий пакет.
LNbits допомагає сервісам керувати платежами Bitcoin, зокрема платежами Lightning, які проходять поза основним ланцюгом. Майнер, який отримує виплати пулу через сервіс на LNbits, може залежати від нього під час створення рахунку або зарахування платежу. Оператор отримав версію для встановлення й план відновлення. Стан конкретного сервісу виплат залежить від його оператора.
Замініть доступ у кожному місці, де він використовувався
Рекомендації LNbits вимагають заміни всіх ключів гаманців користувачів. Головний адміністратор екземпляра має для цього команду Reset Wallet Keys у Settings → Users. Заміна означає відкликання старих ключів і видачу нових. Після скидання старі дані перестають діяти. Підключеним застосункам потрібні нові ключі, тож втрата доступу під час переходу може бути результатом запланованого скидання.
Окремо треба замінити доступ до джерела коштів — системи, яка фактично проводить платежі, наприклад вузла Lightning. Оператор відкликає старий ключ API на боці джерела, отримує заміну й оновлює налаштування LNbits. Деякі системи використовують macaroon, облікові дані з визначеними дозволами на вузлі. Скидання ключа гаманця LNbits не відкликає ці окремі облікові дані.
Якщо є підозра на доступ до сервера
За підозри на компрометацію проєкт радить розгорнути 1.7.0 на новому сервері й перед заміною старого зберегти доречні журнали та записи. Оновлення змінює програму, що виконується на сервері. Якщо хтось раніше отримав доступ до самого сервера чи скопіював секрет, оператору ще треба закрити цей доступ.
LNbits також радить замінити інші чутливі дані, які зберігалися в налаштуваннях, і створити підключення розширень заново. Серед прикладів — NWC Provider і LNDHub, через які гаманці чи застосунки можуть підключатися до платіжної системи. Старі підключення слід відкликати, а нові налаштувати з оновленими ключами. У записі про відновлення оператор може зафіксувати, який сервіс користувався яким ключем і коли попередній доступ закрили.
Що може перевірити одержувач виплати
Користувач пулу зазвичай бачить кабінет пулу, рахунок і гаманець, куди мають надійти гроші. Якщо оператор призупинив виплати на час робіт із LNbits, інформацію про відновлення слід шукати на сторінці статусу пулу або в його повідомленні. Реліз програми підтверджує доступність оновлення. Він сам собою не завершує поточну виплату й не встановлює час відновлення для конкретного провайдера.
Після того як провайдер підтвердить відновлення, історія виплат пулу й гаманець одержувача допоможуть перевірити результат. Рахунок може бути створений, поки платіж ще очікує виконання. Оператор, який під’єднав гаманець заново, може перевірити невеликий контрольований платіж перед поверненням до звичайного режиму. Це перевіряє платіжний шлях після заміни ключів і налаштувань.
Звірте пакет і середовище
Для пакета 1.7.0 PyPI вказує Python від 3.10 до версій нижче 3.14. Це важливо, якщо оператор встановлює через Python. Старе середовище може потребувати зміни, щоб завантажити пакет. Після оновлення варто перевірити версію, яку показує запущений сервіс. Завантажений файл свідчить, що є що встановити, а версія запущеної програми показує, що зараз обробляє платежі.
Стабільний реліз також містить двофакторну автентифікацію з кодами, які змінюються з часом. Короткий код додає перевірку під час входу до облікового запису. Ключі платіжного вузла й застосунків відкривають окремі шляхи доступу. Перед відновленням підключення варто звірити, які дозволи потрібні кожному застосунку для його роботи.
Яких відомостей ще бракує
LNbits описує 1.7.0 як випуск із виправленнями у відповідь на інцидент. Повний опис того, як використали вразливість, проєкт планує оприлюднити окремо. Поточні документи підтверджують потрібну версію й дії з відновлення. Що сталося з окремим обліковим записом і які кошти поверне конкретний сервіс, з них визначити не можна.
Проєкт також нагадує, що LNbits працює як гарячий гаманець. Дані для проведення платежів доступні онлайн-сервісу, що зручно для регулярних операцій. LNbits радить тримати онлайн лише потрібну для роботи суму, переглядати залишки й вихідні платежі, а надлишок переказувати на гаманець із ключами витрачання, які зберігаються офлайн.
Джерело: LNbits / PyPI, GitHub and operator advisory ↗ · LNbits v1.7.0 stable GitHub release ↗ · LNbits v1.7.0 to v1.7.1 source comparison ↗ · LNbits security and recovery advisory ↗ · LNbits 1.7.0 on PyPI ↗ · ASIC.tools coverage of the earlier release candidate ↗
Калькулятор майнінгу ↗
