核心摘要
- LNbits 于 2026 年 11 月 8 日发布紧急安全警告，要求所有用户立即停止运行服务器，等待官方安全补丁发布。
- 项目方先后于 12:33 UTC 与 13:56 UTC 发出两轮警告，处置范围从禁用 Paywall 扩展扩大至全量实例关停。
- 已确认至少出现未授权账户创建并提走资金的攻击，荷兰运营商 Bittipbot 自报损失 2,285,545 satoshi（约 0.0229 BTC）。
- 官方托管服务 my.lnbits.com 已暂停全部实例，核心贡献者 Ben Arc 预计 24 至 48 小时内推出修复补丁。
- 事件局限于 LNbits 软件层，不涉及比特币主链或闪电网络协议本身；V12 今年早前审计发现的缺陷与本次攻击暂无已知关联。
本文由 Aiying 艾盈合规团队原创，转载需授权。
事件时间线：两轮警告与关停范围
2026 年 11 月 8 日，开源比特币闪电网络钱包与支付平台 LNbits 遭遇一系列攻击。项目方于当天 12:33 UTC 首先提醒使用其 Paywall（付费墙）扩展的运营者立即禁用该功能，随后在 13:56 UTC 通过官方 X 账号发布覆盖范围更广的紧急指令，要求所有 LNbits 用户立即停止运行服务器。这并非”有空再打补丁”的常规建议，而是一道完整的停运令：无论实例是否启用了特定扩展，亦不豁免任何资金来源配置，均需离线。
核心贡献者 Ben Arc 在社交平台重申了停运指令，并表示开发团队预计在 24 至 48 小时内合并并发布修复补丁。需要明确的是，这是一个预估而非官方的解除重启时间表，截至本文成稿，项目方尚未发布允许运营者重新上线的正式通知。作为预防措施，LNbits 同时关停了其官方托管服务 my.lnbits.com 的全部实例。
已确认的损失与仍未解开的疑问
目前唯一被公开确认的损失来自荷兰运营者 Kevin Ravensberg，其 LNbits 实例支撑着基于 Telegram 的小费服务 Bittipbot。据其自述，攻击者在 11 月 8 日 9:22 至 14:00 UTC（约五小时窗口）期间于其实例中创建了新账户并提走 2,285,545 satoshi，约合 0.02285545 BTC（按当时比特币价格约 75,800 美元计，价值约 1,730 美元）。Ravensberg 表示将个人补偿受影响的 Bittipbot 用户，但在补丁发布前相关资金仍处于无法取回的状态。
需要提醒您的是，这一数字是单一运营者对其自身实例的自报损失，并非本次事件的全球 totals。项目方尚未披露总损失金额、受害实例数量或受影响版本清单，也未说明攻击者具体如何入侵或移动资金。LNbits 的 GitHub 发布页在事发当日仍停留在 9 月 18 日的 v1.6.2（一个 PostgreSQL 备份热修补），尚无针对 11 月 8 日攻击的正式构建。今年早前由 V12 进行的外部审计曾发现身份验证缓存绕过与 PayPal 集成缺陷（已在 v1.6.0 修复），但截至目前，这些早期缺陷与本次攻击之间未被确认存在关联。
为何必须全量关停而非仅禁用扩展
首轮警告仅针对 Paywall 扩展，约 80 分钟后即升级为全量关停，这一升级本身就释放了一个关键信号：安全隐患很可能并不局限于单个扩展。在攻击路径与受影响组件尚未查明之前，仅禁用某一个扩展并不能保证其他实例的安全，这正是 LNbits 要求运营者彻底停运、而非”部分关闭”的根本原因。
这一处置方式也与 LNbits 的架构特性直接相关。LNbits 并非闪电网络节点，而是运行在节点或资金来源（如闪电服务提供商）之上的账户与钱包系统，支持数十个可选扩展——支付终端、小费服务、API、付费墙等。这种模块化设计既是其产品价值所在，也意味着每一处扩展都是额外的代码攻击面。当实例暴露于公网且账户注册处于开放状态时，风险被显著放大。
对自托管钱包运营者的合规启示
本事件再次凸显了一个在加密货币安全中反复出现的结构性区分：一个运转正常的支付网络，并不等于构建于其上的每一个应用都安全。LNbits 底层连接的 LND、Core Lightning 等闪电软件本身未受波及，但应用层的账户管理与授权机制暴露出了可以被利用的缺口。
对于运行任何 LNbits 实例的运营者，当前明确动作是：立即将实例离线，并持续关注官方 @lnbits 账号的补丁公告；待官方修复版本发布后，仅升级至官方渠道提供的补丁，警惕社群中流传的非官方”修复”；同时在所连接的节点或资金来源侧核对余额与日志，排查是否存在异常账户或提现。对依赖第三方实例的终端用户而言，理解资金所经历的托管链条——从应用到底层节点——是评估自身风险的前提。
常见问题（FAQ）
问：普通用户资金是否安全？使用 LNbits 实例的用户应如何处理？
答：若您通过某一 LNbits 实例（例如某个 Telegram 小费机器人或商户收银台）持有或接收资金，应假定该实例当前可能处于风险之中，直至运营者确认已升级至官方修复版本。最稳妥的做法是暂停通过该实例收发资金，并直接向该实例的运营者核实其是否已下线并已完成补丁升级。LNbits 官方建议所有实例保持离线，直至补丁经验证发布。
问：事件是否影响比特币或闪电网络本身？
答：不影响。项目方与多家独立媒体报道均指出，事件局限于 LNbits 软件层，比特币主链与闪电网络协议本身未受波及。不过，2026 年闪电网络基础设施整体面临较多安全事件（Core Lightning、LDK、Eclair 等均有漏洞修复），运营者应将此类密集的安全事件纳入自身的威胁模型，而非仅关注单一平台。
信息来源
- 吴说区块链：LNbits 发布紧急安全警告：要求所有用户立即停止运行服务器，等待补丁发布
- Bitcoin.com News：Lightning Network Security Scare Forces LNbits Servers Offline
- MabonChain：LNbits Tells All Operators to Shut Down Servers After Wave of Attacks Drains Funds
- TFTC：LNbits Orders Emergency Shutdown After Active Attacks Drain Sats
- Bitcoin Insider：LNbits Tells Operators to Shut Down Their Servers After Attackers Drain Funds