LNbits 1.7.1已上传PyPI，接续1.7.0安全更新
来源发布日期: 2026-11-11 · 编辑分析发布日期: 2026-11-11
11月11日的软件包接续正式安全更新。LNbits的恢复公告还要求更换钱包、资金来源和已连接应用使用的凭据。
PyPI已有后续安装包
LNbits 1.7.1于11月11日13:41 UTC上传PyPI，接续前一天发布的1.7.0正式安全更新。项目的GitHub仓库也有1.7.1源代码标签。核验时，GitHub最新的正式发布仍为1.7.0。运营者公告把1.7.0列为11月8日漏洞披露后运行服务所需的最低版本。
PyPI记录的是通过Python安装时可用的软件包。GitHub两版标签的代码对比显示，后续版本禁用了扩展付费评价服务的默认地址。这只是更新内容的一部分。处理漏洞事件仍要查看项目的安全公告，按实际情况更换凭据和恢复应用连接。仓库里出现代码标签和发布渠道提供安装包，也是分别可以核实的两条记录。
正式版本已经可以安装
LNbits在11月10日发布1.7.0正式版。针对11月8日披露的漏洞，项目要求运营者先安装这个版本，再运行自己的LNbits服务。PyPI记录正式包在16:20 UTC上传，GitHub则把正式发布记录在17:09 UTC。这是同一个正式版本经两个渠道发布的时间。本站此前报道的是候选测试包。已经在测试环境尝试过候选版的管理员，现在有了项目正式指定的升级版本，也有了随版本一起公布的恢复步骤。
LNbits用来管理比特币支付，其中包括在主链之外处理的闪电网络支付。如果矿池通过一个使用LNbits的服务发放奖励，矿工可能依赖该服务生成账单或入账。正式发布给服务运营者提供了可以部署的版本。具体哪家服务何时恢复，仍要看它自己的公告和状态。矿工可以先弄清楚平时是从矿池直接收钱，还是经过另一家支付服务，再找对应的运营者更新。
每一处用过的访问凭据都要处理
安全公告要求更换所有用户钱包密钥。实例的超级管理员可以打开Settings中的Users页面，选择Reset Wallet Keys。这里的更换是使旧密钥失效，然后发放新的密钥。已经连接的钱包应用和其他程序需要配置新密钥才能恢复访问。如果某个应用突然连不上，运营者可以先对照密钥重置的时间，看看它是否还在使用此前的凭据。
资金来源一侧需要单独处理。资金来源就是实际执行收付款的后端，例如一个闪电网络节点。运营者要到该后端撤销原来的API凭据，换发新的，再把LNbits里的设置更新为新值。有些后端把能访问节点以及可以做什么写在一种叫macaroon的凭据里。只在LNbits里重置钱包密钥，不会自动撤销后端签发的这一份凭据。把这两步分别记录下来，能避免只换了应用一侧的钥匙。
怀疑服务器被访问过怎么办
项目建议在怀疑服务器遭到入侵时，选择一台干净的服务器来安装1.7.0。更换旧服务器前，要先保留相关日志和记录。版本更新能改变服务器上运行的程序，但如果有人此前已经获得系统访问权限或复制了密钥，运营者还要处理已有的访问。这也是为什么公告把安装正式版和后续恢复工作放在一起。日志能够帮助服务方把异常时间与配置、账户和支付记录联系起来。
LNbits还建议更换存放在设置里的其他敏感凭据，并重新建立扩展的连接。公告列举了NWC Provider和LNDHub等例子，它们可以把钱包或应用接到支付系统。先撤销原连接，再用更新过的凭据建立新连接。运营者可以在恢复记录里注明哪些服务用过哪些凭据、旧权限何时失效，以及哪些应用已经恢复。这也有助于解释为什么管理界面已经起来，某个外部应用却仍未连通。
等待矿池付款的人可以核对什么
矿池用户通常能看到矿池账户、付款账单和接收钱包。如果运营者在处理LNbits期间暂停了付款，矿池自己的状态页或支持公告才会说明服务何时开放。软件正式版发布，证明可用的更新已经出现。单笔待付奖励有没有支付、具体服务几点恢复，还要查看服务自己的记录。两家使用同一套软件的服务，可以在不同时间完成更新与验证。
服务方确认恢复之后，可以用矿池的付款历史和接收钱包核对结果。看到生成了一份账单时，支付本身还可能处于等待状态。重新接好钱包的运营者，可以在恢复正常使用前核对一笔小额、受控的支付，确认更换密钥和配置后的路径能够走通。查看记录时，将账单创建、矿池发出支付和收款端入账放在各自的位置，可以判断应该联系哪一方。
核对安装包与正在运行的环境
PyPI标明，1.7.0需要Python 3.10或更新版本，但低于3.14。通过Python安装的服务要先看运行环境是否满足这个范围。旧环境可能需要先调整，才能加载这个包。管理员下载了正确文件后，还可以核对重启后的服务实际报告哪个版本。文件在磁盘上，表示它可以用于安装。运行中的版本，才表示现在由哪个程序处理支付。若同一台机器上曾用不同方式启动过服务，这项核对能帮助确认实际使用的是准备好的那套环境。
正式发布还加入按时间生成代码的双因素身份验证。用户登录账户时，短代码可以增加一道检查。付款后端的凭据、应用使用的密钥则各自提供不同的访问路径。恢复连接前，可以逐项确认应用只需要查询、收款还是也要发起支付，再按实际工作恢复权限。这样一来，管理员能清楚记下哪些应用已经重新接通，也能分别核对账户登录和后台支付是否按预期工作。
还在等待哪些信息
LNbits将1.7.0称为回应这次事件的修复版本。项目说会另外公布漏洞如何被利用的完整细节。目前已有的资料给出了升级版本和恢复步骤。它们没有说明每一个账户具体发生了什么，也没有列出哪家服务会归还哪些资金。若涉及自己的一笔付款，仍要看对应服务的记录和答复。把项目公告的发布日期与自己使用的服务何时暂停、何时恢复区分开，能避免误把公共发布信息当成个人账户状态。
项目还提醒，LNbits属于热钱包系统。支付所需的凭据可供联网服务使用，日常收付款因此比较方便。公告建议在线仅保留日常运行需要的资金，定期核对余额和向外发出的付款，把超出所需的部分转到消费密钥离线保存的钱包。对需要经常结算的服务，保留多少在线资金要结合实际支付需求。查看余额时也可以顺手看看是否出现自己不认识的支出。
来源: LNbits / PyPI, GitHub and operator advisory ↗ · LNbits v1.7.0 stable GitHub release ↗ · LNbits v1.7.0 to v1.7.1 source comparison ↗ · LNbits security and recovery advisory ↗ · LNbits 1.7.0 on PyPI ↗ · ASIC.tools coverage of the earlier release candidate ↗
挖矿计算器 ↗
