В Alby Hub обнаружили уязвимость с риском кражи биткоинов
Проблема затрагивает старые версии самостоятельного Lightning-кошелька, если его интерфейс управления был доступен из интернета. По данным Alby, известен один пострадавший пользователь.
Компания Alby предупредила о критической уязвимости в самостоятельном Lightning-кошельке Alby Hub. Она могла позволить злоумышленнику получить контроль над кошельком и перевести хранящиеся в нём средства — но только в случае, если владелец открыл доступ к Hub из интернета.
Уязвимости подвержены версии Alby Hub от v1.7.0 до v1.18.5 включительно. В версиях v1.19.0 и новее проблемы нет: первый релиз с исправлением вышел 29 августа 2025 года. Актуальная на момент предупреждения версия — v1.24.0; Alby рекомендует обновиться до неё всем пользователям.
Компания не раскрыла технические подробности ошибки, объяснив это практикой ответственного раскрытия уязвимостей. Alby известно об одном пострадавшем пользователе, однако информации о возможной потере средств компания не опубликовала.
Пользователям старых версий советуют прежде всего закрыть внешний доступ к интерфейсу управления Hub, а затем установить v1.24.0. Владельцам уязвимых экземпляров, которые были доступны из интернета, также рекомендуют после обновления сменить пароль разблокировки и связаться с командой безопасности Alby.
Alby Hub предназначен для работы в частной сети, однако в документации проекта ранее встречались инструкции по развёртыванию на облачных серверах с открытым доступом к порту 8080. Как пишет The Hacker News, 7 сентября в документацию добавили предупреждение против публикации Hub в интернете и изменили пример Docker-конфигурации так, чтобы порт по умолчанию был доступен только с самого сервера.