Beveiligingswaarschuwing van Lightning: Alby onthult kritieke kwetsbaarheid in de hub

Lightning-project Alby bevestigt kritieke kwetsbaarheid in oudere Hub-versies

Het team maakte het probleem woensdag bekend op het sociale mediaplatform X en verklaarde: “We hebben een kritieke kwetsbaarheid bevestigd in Alby Hub v1.7.0–v1.18.5 (releases van vóór augustus 2025) wanneer de Hub openbaar toegankelijk is via het internet.”

Deze kwetsbaarheid, zo schreef het officiële Alby X-account, zou een aanvaller die toegang heeft tot de beheer-API van de Hub in staat stellen om zonder toestemming binnen te dringen en geld over te maken.

Alby vervolgde:

“Alby Hub v1.19.0 (uitgebracht op 29 augustus 2025) of nieuwer is niet getroffen. Zoals bij elk incident van deze aard betreuren we dit ten zeerste — vooral voor de getroffen gebruikers. Voor zover wij nu weten, is één gebruiker getroffen en heeft deze gelukkig de details gemeld. We hebben al onze energie en middelen van de afgelopen jaren in dit project gestoken, en een probleem als dit raakt ons hard.”

Voor mensen die mogelijk door de bug zijn getroffen, raadt Alby aan om allereerst te controleren welke versie ze hebben geïnstalleerd. Als een gebruiker een getroffen versie gebruikt, moet hij of zij ervoor zorgen dat de openbare toegang tot de beheerinterface van de Hub wordt geblokkeerd en onmiddellijk updaten naar v1.24.0, de nieuwste release van Alby Hub. Alby bedankte ook de ontwikkelaars van het Bitcoin Red Team die „verschillende problemen hebben gemeld, die in de nieuwste release zijn verholpen.“

Getroffen gebruikers die aan het internet waren blootgesteld, moeten na de update ook hun ontgrendelingswachtwoord wijzigen. Dit nieuws volgt op het recente probleem met Boltz, een ander op het Lightning Network gericht protocol dat een non-custodial bridge biedt. Het platform verplaatst in wezen bitcoin tussen de hoofdketen, het Lightning Network en het Liquid Network met behulp van atomic of submarine swaps, die op HTLC zijn gebaseerd. Op 3 augustus 2026 heeft Boltz de swaps offline gehaald.

Door AI ondersteunde aanvallen zetten Lightning-projecten onder druk

Het bedrijf verklaarde destijds dat het niet om één enkele bug ging, maar om maandenlange geautomatiseerde, door kunstmatige intelligentie (AI) ondersteunde tests, enkele beperkte exploits en vervolgens een scherpe versnelling. Zoals ze in hun officiële verklaring aangaven, werken aanvallers “nu sneller dan een team van onze omvang kan opsporen en repareren”.

Na het uitvoeren van hun eigen AI-ondersteunde scans zei het Boltz-team dat ze de swaps niet veilig weer konden inschakelen terwijl „meerdere vindingrijke groepen“ zich actief op hen richtten. Feit is dat AI sneller dan ooit tevoren in de geschiedenis bugs ontdekt in het hele cryptocurrency-ecosysteem.

Beide projecten zijn gerelateerd aan Lightning, open-source en gebaseerd op het "you keep the keys"-principe. Het team van Alby benadrukt dat gebruikers voortaan de nieuwste versie van de Hub moeten gebruiken. Het bedrijf adviseert gebruikers ook om te voorkomen dat hun Hub in contact komt met het openbare internet. "We raden aan om de Hub achter een firewall of binnen een privénetwerk te draaien," benadrukte Alby.