LNbits 官方于北京时间 2026 年 11 月 11 日 22:21 发布 v1.7.1 安全补丁，发布页标题即为“v1.7.1 SECURITY PATCH”，并明确要求“ALL LNBITS USERS SHOULD UPDATE IMMEDIATELY”（所有 LNbits 用户应立即更新）。本次更新的核心变化是轮换认证密钥（Rotates auth keys）。
事件背景
11 月 8 日，LNbits 发生攻击事件，官方随后要求所有用户全部停服，并于 11 月 10 日发布 v1.7.0 紧急安全更新。v1.7.1 是在 v1.7.0 发布约一天后推出的后续安全补丁，发布页仍链接同一份官方安全更新指引，说明升级与密钥轮换工作尚未收尾。
受影响范围
官方措辞覆盖所有 LNbits 用户：仍在运行 v1.7.0 及更早版本的实例均应升级到 v1.7.1。截至本轮核查，该事件没有公开的 CVE 编号，也未列入 CISA 已知利用漏洞目录（KEV），防御依据以官方发布页与安全更新指引为准。
修复版本
升级到 LNbits v1.7.1。该版本由官方于 2026 年 11 月 11 日发布，发布说明仅列出“轮换认证密钥”一项变化，并附 v1.7.0 至 v1.7.1 的完整变更对比链接。升级后请在后台核对版本号，确认已运行 v1.7.1。
自查与处置步骤
1. 立即升级：所有实例尽快升级到 v1.7.1，不要停留在 v1.7.0 或更早版本。
2. 更换服务器前保留相关日志与记录：官方指引要求在替换旧服务器之前先保存日志，便于后续核查攻击者是否已经获得权限。
3. 轮换用户密钥：如果在 11 月 8 日事件后尚未轮换过用户密钥，以超级管理员身份进入 Settings → Users，执行 Reset Wallet Keys。执行后旧密钥立即失效，已接入的应用与集成需要用新密钥重新配置。
4. 更换资金来源凭证：在资金来源侧撤销并更换凭证，例如 API 密钥、macaroons 等，具体取决于所用的资金来源类型。
5. 未完成升级与密钥轮换之前，不要恢复对外服务；完成上述步骤并确认版本号为 v1.7.1 后再重新开放。
来源与说明
事实来源：LNbits GitHub 官方发布页（v1.7.1，2026-11-11 发布）与 LNbits 官方安全更新指引页。本指南只讲防御：受影响版本、修复版本与自查步骤，不涉及利用细节。后续如官方发布新的修复版本或事件进展，将另行更新。