Das Open-Source-Projekt LNbits veröffentlichte am 8. November 2026 eine dringende Sicherheitswarnung auf X. Nach einer Welle von Angriffen seien mehrere Sicherheitskorrekturen notwendig. Bis diese bereitstehen, sollten Betreiber ihre LNbits-Software stoppen.

Die Warnung betrifft die LNbits-Anwendung. Sie ist keine pauschale Aufforderung, sämtliche Lightning-Nodes oder die Rechner dahinter abzuschalten. LNbits ermöglicht es, Wallets und Zahlungsdienste auf einer angebundenen Finanzierungsquelle zu betreiben, etwa LND oder Core Lightning.

Warnung auf alle LNbits-Instanzen ausgeweitet

Zunächst hatte das Team dazu aufgerufen, die Paywall-Erweiterung sofort zu deaktivieren, während Entwickler einen möglichen Fehler untersuchten. Anschließend wurde die Warnung auf sämtliche LNbits-Instanzen ausgeweitet.

Welche Softwareversionen betroffen waren und wie die Angreifer vorgehen konnten, ging aus der Mitteilung nicht hervor. Ausnahmen für bestimmte Finanzierungsquellen nannte das Projekt ebenfalls nicht.

Auch die über my.lnbits.com gehosteten Instanzen wurden vorsorglich deaktiviert. Das Team stellte eine Wiederaufnahme des Betriebs innerhalb von 24 Stunden in Aussicht. LNbits-Mitwirkender Ben Arc erklärte, Sicherheitskorrekturen sollten innerhalb von 24 bis 48 Stunden verfügbar sein. Eine Bestätigung, dass die Probleme bereits behoben waren, enthielten die vorliegenden Berichte nicht.

Betreiber meldet Verlust von rund 2,29 Millionen Satoshis

Der Betreiber Kevin Ravensberg berichtete auf X, dass neu angelegte Konten rund 2,29 Millionen Satoshis von seiner LNbits-Instanz abgezogen hätten, bevor er sie stoppen konnte.

Ravensberg kündigte an, betroffene Nutzer seines Dienstes BitTipBot zu entschädigen. Bis zur Behebung der Sicherheitslücken könnten sie jedoch nicht auf ihre Guthaben zugreifen.

Eine Gesamtschadenssumme ist damit nicht bekannt. Der Bericht beschreibt einen einzelnen Vorfall und lässt keine verlässlichen Rückschlüsse auf Verluste anderer Betreiber zu.

Hinweis auf eine mutmaßliche Sammeladresse

Ein bislang nicht unabhängig bestätigter Hinweis nennt diese Bitcoin-Adresse als mögliche Sammeladresse der Angreifer:

bc1pr5ud2hgk9q7wrd6vfn5hgt4l4evkzqpeg98drlm9y64cexjy9h8qr03j9q

Die Adresse lässt sich im Blockexplorer mempool.space aufrufen. Eine öffentliche Bestätigung dieser Zuordnung durch LNbits liegt in den ausgewerteten Informationen nicht vor. Zahlungseingänge allein belegen weder die Herkunft der Gelder noch die Gesamthöhe des Schadens.

**