事件经过
2026 年 11 月 8 日，LNbits 项目（开源比特币闪电网络钱包与账户系统）发布紧急通告，要求所有自托管 LNbits 服务器立即停服。通告称平台正遭受一波攻击，项目方有多个安全补丁待推送，在补丁发布前，停服是最稳妥的处置。
通告分两步升级：11 月 8 日约 12:33 UTC，项目方先发出较窄的警告，要求运营者禁用 Paywall 扩展（付费墙插件），同时排查一个可能的安全问题；约 80 分钟后，警告升级为覆盖全部运营者的停服指令。此前已有运营者报告资金被盗：一名运营者称，攻击者通过新创建的账户，在 11 月 8 日 09:22 至 14:00 UTC 期间从其服务器提走了 2,285,545 聪（约 0.023 枚比特币），攻击开始时间比项目方首条警告早三个多小时。
项目方随后关闭了其托管服务 my.lnbits.com 上的全部实例，并给出 24 小时内恢复的预估时间。截至本轮核查（2026 年 11 月 10 日），项目方尚未发布取消停服通告或重启许可。
影响范围
受影响的是所有自托管运行的 LNbits 服务器，不限于启用了某一扩展的实例。项目方托管服务 my.lnbits.com 上的实例已由项目方统一停用。通告范围仅限 LNbits 服务器本身，不涉及闪电网络节点或其他钱包软件。
截至本轮核查，本次事件尚未分配 CVE 编号，也没有 CVSS 评分；项目方尚未公开确认被利用的具体组件。首条较窄警告中提到的 Paywall 扩展，只是排查对象之一，不能据此认定它就是被利用的组件。相关事实以项目方后续通告为准。
修复状态
截至本轮核查（2026 年 11 月 10 日），LNbits 尚未发布修复版本：GitHub 上最新稳定版仍为 2026 年 9 月 18 日发布的 v1.6.2，也未新增针对本次事件的安全公告。11 月 9 日有一项安全相关改动（PR #4310）合并进了开发分支，内容包括集中处理服务端请求伪造防护、拦截指向自身的请求、默认禁止新建账户，但这只是一次开发分支合并，不是已发布的修复版本，也未被确认为本次攻击的针对性修复，不能据此重启服务。
项目方开发者此前预估补丁在 24 至 48 小时内推出，这只是一个时间估计，不是发布通知。运营者应等待官方正式发布修复版本并给出明确的重启指引后再恢复服务，不要按预估时间自行安排重启。
自查与处置步骤
- 仍在运行 LNbits 服务器的，立即停止服务，直至官方发布修复版本与重启指引。
- 核查 11 月 8 日前后的账户变动：是否有非本人创建的新账户出现，重点关注攻击时段（11 月 8 日 09:22 至 14:00 UTC）内新建的账户。
- 核对钱包余额与提现记录，确认有无未经授权的提现；如发现异常，先保留日志与记录，再联系项目方渠道反馈。
- 不要仅凭开发分支的某次合并就认定已修复：以 GitHub 正式发布的新版本号与项目方重启许可为准，升级后再次核对余额，确认无异常后再恢复对外服务。
- 关注官方通告渠道（LNbits 官方账号与 GitHub 发布页），等待正式的修复版本、受影响组件说明与重启指引。
需要注意
本次事件尚未进入 CISA 已知被利用漏洞目录（KEV），也没有 CVE 编号，属于项目方自行确认的在野利用事件。不要把同期新闻中提到的 IBM API Connect 批量 CVE 与 LNbits 事件混为一谈，两者无关。运营者在官方修复版本发布前保持停服，是目前唯一稳妥的做法。