LNbits-beveiligingslek: versie 1.7.0 stopt diefstallen uit Lightning-wallets

Wie een eigen LNbits-server beheert, moet nu in actie komen: alle versies vóór 1.7.0 bevatten een beveiligingslek waarmee aanvallers bitcoin uit Lightning-wallets hebben weggehaald. Het project bracht op 10 november 2026 versie 1.7.0 uit en schrijft daarbij dat een update alleen niet volstaat als inloggegevens al zijn uitgelekt. Beheerders moeten daarom ook alle walletsleutels resetten en de inloggegevens van hun geldbron vervangen.

Voor beleggers die bitcoin alleen op een exchange of in een gewone app aanhouden, verandert er niets. Getroffen zijn mensen en organisaties die LNbits zelf hebben geïnstalleerd, en iedereen die een Lightning-account op de LNbits-server van een ander gebruikt, bijvoorbeeld via een Bolt Card of een kassa in een winkel.

LNbits-beveiligingslek: wat er sinds 8 november bekend is

Het lek werd volgens het project ontdekt op zondag 8 november 2026. Volgens Cointelegraph raadde LNbits die dag eerst aan de extensie Paywall uit te schakelen zolang het onderzoek liep. Ongeveer een uur later volgde het veel dringender verzoek om alle LNbits-servers direct uit te zetten, omdat er een golf van aanvallen gaande was.

In de officiële beveiligingsmelding bij versie 1.7.0 staat dat tegoeden op alle oudere versies risico lopen op diefstal. Hoe de aanval technisch precies verloopt, heeft LNbits nog niet bekendgemaakt. Een afzonderlijk rapport met de details van de exploit volgt nog. Een exploit is een aanvalsroute die een concrete zwakke plek in software benut om iets te doen wat de beheerder niet heeft toegestaan.

Daarmee is ook onduidelijk welke van de vele wijzigingen in 1.7.0 precies de gebruikte route afsluit. Vakplatform SpendNode wijst erop dat de release notes die koppeling niet leggen. Voor beheerders betekent dat: of de eigen instantie via precies dit lek is aangevallen, valt niet met zekerheid vast te stellen. Wie een oudere versie online had, gaat beter uit van het ongunstigste geval.

Lightning-software LNbits: één server voor veel kleine accounts

LNbits is vrije software die bovenop een Lightning-geldbron draait en daarmee een onbeperkt aantal subaccounts beheert. Het Lightning Network is een betaalnetwerk boven op de bitcoin-blockchain, waarover kleine bedragen in seconden en voor een paar satoshi aan kosten worden verstuurd. Een satoshi is het honderdmiljoenste deel van een bitcoin.

Als geldbron (in het project ‘funding source’ genoemd) dient een eigen Lightning-node met LND of Core Lightning, een betaaldienstverlener of een andere LNbits-instantie. LNbits zelf bewaart geen privésleutels voor de bitcoin op de blockchain. Het bewaart wel de inloggegevens van de geldbron en de sleutels van de afzonderlijke wallets. Wie die gegevens buitmaakt, kan binnen het saldo betalingen uitvoeren.

Juist daarom is de software populair: een vereniging, een café of een winkelier kan met één node veel accounts, kassa’s en kaarten bedienen. LNbits-oprichter Ben Arc zei in mei dat zo’n 200.000 mensen de software zelf draaien; Cointelegraph citeert dat getal. Onafhankelijk controleren valt het niet, maar het geeft de orde van grootte aan.

Wie zijn coins liever zonder eigen server bewaart, kiest een goed onderhouden app-wallet; de verschillen per aanbieder zijn groot. Bitcoin zelf noteerde op de ochtend van 11 november volgens CoinGecko rond 73.800 dollar; de inschatting op langere termijn staat in onze bitcoin koers verwachting.

Noodstop: LNbits haalde de eigen gehoste instanties offline

Naast de waarschuwing aan zelfhostende beheerders greep LNbits ook bij zichzelf in. Volgens Cointelegraph haalde het project zijn eigen gehoste installaties offline. Wie daar een account heeft, kon tijdelijk niet bij zijn saldo, maar was ook beschermd tegen verdere uitstroom via het lek.

Bij een hot wallet is hard uitschakelen de enige maatregel die direct werkt. Een hot wallet is een wallet waarvan de sleutels op een computer met internetverbinding staan en die daarom altijd betalingen kan uitvoeren. Zolang de aanvalsroute openstaat, voorkomt alleen een uitgeschakelde server dat er meer satoshi wegvloeien.

Beveiligingsupdate 1.7.0: inloggen, extensies en betalingen herzien

De nieuwe versie verscheen op 10 november 2026 op GitHub. LNbits omschrijft haar daar als kritieke beveiligingsupdate met uitgebreide verharding en belangrijke correcties van kwetsbaarheden. De wijzigingen betreffen drie gebieden: het inloggen, het beheer van extensies en de afhandeling van betalingen. Boven de release staat de oproep dat alle gebruikers direct moeten updaten.

Nieuw is onder meer een functie waarmee de superbeheerder alle walletsleutels van een instantie in één keer kan resetten. Volgens SpendNode komen er ook inloggen met twee factoren via een TOTP-app en automatische updates voor extensies bij. TOTP staat voor tijdgebaseerde eenmalige wachtwoorden, zoals authenticator-apps die elke 30 seconden opnieuw aanmaken.

LNbits eist dat er geen server meer met een oudere versie wordt gestart. Pas met 1.7.0 mag de instantie weer draaien.

Schade door de exploit: 2,3 miljoen satoshi bij één beheerder

Een totaalbedrag heeft LNbits niet genoemd, net zo min als het aantal getroffen instanties. Openbaar gedocumenteerd is tot nu toe één geval: een beheerder vertelde volgens Cointelegraph dat aanvallers via nieuw aangemaakte accounts zo’n 2,3 miljoen satoshi uit zijn instantie haalden voordat hij de server kon uitschakelen. Dat is 0,023 bitcoin, tegen de koers van 11 november zo’n 1.700 dollar.

De route via nieuw aangemaakte accounts is opmerkelijk. Veel waarnemers zien die als aanwijzing dat aanvallers binnen de instantie rechten verkregen die hun niet toekwamen. LNbits heeft die lezing niet bevestigd. Ben Arc sprak volgens Cointelegraph van uitdagende dagen waarin het team versie 1.7 afrondde, nadat gebruikers en het project zelf verliezen hadden geleden.

Afgezet tegen grote exchange-hacks is de bekende schade klein. Voor beheerders telt echter iets anders: een LNbits-server die toegang heeft tot een Lightning-node, kan in het ergste geval het volledige uitgaande saldo van die node verliezen, niet alleen het geld van één account.

Zo bescherm je je tegen de LNbits-exploit

Wat er gebeurde: op 8 november 2026 werd een beveiligingslek in LNbits ontdekt, waarmee aanvallers tegoeden uit zelf beheerde Lightning-instanties weghaalden. Getroffen zijn alle versies vóór 1.7.0; de oplossing verscheen op 10 november. Een totaal schadebedrag is niet bekend, één beheerder meldde volgens Cointelegraph zo’n 0,023 bitcoin verlies (peildatum 11 november).

Ben je getroffen? Ja, als je tussen de bekendmaking en je update een LNbits-server met een versie vóór 1.7.0 hebt gedraaid of een account op zo’n server gebruikt. Nee, als je bitcoin alleen op een exchange, in een gewone wallet-app of op een hardware wallet aanhoudt en geen dienst die je gebruikt op LNbits draait. Of een instantie daadwerkelijk is aangevallen, blijkt uit ongebruikelijke nieuwe accounts en uitgaande betalingen die niemand heeft uitgevoerd.

1. Update naar 1.7.0: start je LNbits-server pas weer nadat je versie 1.7.0 hebt geïnstalleerd, en laat oudere versies blijvend uitgeschakeld.
2. Nieuwe server bij twijfel: zie je onbekende accounts of onverklaarbare betalingen, zet LNbits 1.7.0 dan op een vers ingerichte server en maak vooraf een back-up van de logbestanden van het oude systeem.
3. Walletsleutels resetten: open als superbeheerder onder instellingen het onderdeel Users, kies ‘Reset Wallet Keys’ en geef alle gebruikers daarna de nieuwe sleutels voor hun gekoppelde apps.
4. Geldbron opnieuw beveiligen: trek bij de Lightning-node of betaaldienst alle API-sleutels en macaroons in die LNbits gebruikt, maak nieuwe aan en vul die in bij de instellingen van de funding source.
5. Tegoeden weghalen: laat op de server alleen het geld voor de dagelijkse werking staan en maak de rest over naar een on-chain wallet waarvan de sleutels offline liggen.

De basis van veilige opslag legt onze gids crypto veilig bewaren uit, geschikte apparaten zet de hardware wallet-vergelijking naast elkaar.

Extensies NWC, LNDHub en Bolt Cards: koppelingen opnieuw aanmaken

LNbits draait op extensies, en juist daar zit een deel van het nawerk. De beveiligingsmelding noemt zes extensies waarvan beheerders de bestaande koppelingen moeten intrekken of verwijderen en met nieuwe inloggegevens opnieuw moeten aanmaken: NWC Provider, LNDHub, Bolt Cards, TPOS, Bleskomat en FOSSA.

Achter die namen gaan heel praktische toepassingen schuil. NWC staat voor Nostr Wallet Connect, een methode waarmee apps een wallet op afstand een betaling mogen laten doen. LNDHub koppelt mobiele wallet-apps aan de server. Bolt Cards zijn NFC-kaarten waarmee je aan de kassa via Lightning betaalt, TPOS is een kassa-extensie voor winkeliers. Bleskomat en FOSSA zijn bitcoinautomaten die via LNbits zijn aangesloten.

Elk van die koppelingen heeft eigen sleutels. Wie alleen de walletsleutels reset, maar een oude NWC-koppeling of een uitgegeven Bolt Card laat doorlopen, laat mogelijk een deur openstaan. Ook alle overige geheime waarden in de LNbits-instellingen beschouwt het project als gecompromitteerd; het raadt aan ze te vervangen.

Wie naast LNbits een BTCPay Server draait, past dezelfde basisregels toe op de Lightning-toegang van die server: eigen sleutels per koppeling en zo min mogelijk rechten.

Hot wallet op de server: alleen bedrijfsgeld hoort online

Misschien wel de belangrijkste les staat aan het eind van de LNbits-melding en geldt ver buiten dit geval. LNbits is een hot wallet, staat er. Op de server hoort daarom alleen het geld voor de dagelijkse werking te staan. Beheerders moeten saldi en uitgaande betalingen regelmatig controleren en overschotten naar een on-chain wallet met offline bewaarde sleutels verplaatsen.

Voor een winkelier met een Lightning-kassa betekent dat een vaste routine: de opbrengsten verzamelen zich overdag op de node, ’s avonds of wekelijks gaat het overschot naar een cold wallet. Een cold wallet is de tegenhanger van de hot wallet, de sleutels staan op een apparaat zonder vaste internetverbinding. Hoe de gangbare apparaten daarvoor verschillen, laat de vergelijking van hardware wallets zien.

Wie helemaal geen eigen server wil onderhouden, is met een goed onderhouden app-wallet vaak beter af. Een eigen Lightning-server geeft onafhankelijkheid, maar vraagt dat iemand updates als deze op zondagavond oppikt.

Bolt Card en verenigingskas: accounts op andermans LNbits-servers

Veel Lightning-gebruikers draaien LNbits niet zelf, maar hebben er alleen een account. Typisch zijn bitcoin-meetups die hun leden Bolt Cards geven, cafés met een Lightning-kassa of diensten die een wallet via een link weggeven. Deze gebruikers kunnen de update niet zelf installeren; alles hangt ervan af of de beheerder reageert.

Verstandig is het de beheerder rechtstreeks te vragen: draait de server op 1.7.0, zijn de sleutels gereset en was er verdachte uitstroom? Tot het antwoord er is, hoort er geen groter bedrag op zo’n account. Krijg je na de reset een nieuwe toegangslink of een nieuwe kaart, gebruik dan uitsluitend die. Oude links en kaarten zijn daarna waardeloos, in het ergste geval kent een aanvaller ze ook.

Wie bitcoin daarentegen koopt en aanhoudt bij een exchange met een vergunning in de EU, heeft geen last van dit lek. Welke aanbieders een licentie onder de Europese MiCA-verordening hebben, laat onze vergelijking van gereguleerde cryptobeurzen zien.

LNbits 1.7.0: pas nieuwe sleutels maken de update effectief

1. Installeer versie 1.7.0, reset alle walletsleutels en vervang de inloggegevens van je funding source voordat de server weer betalingen accepteert. Voor de reserves buiten de server is een apparaat uit de hardware wallet-vergelijking geschikt.
2. Maak de koppelingen voor NWC, LNDHub, Bolt Cards, TPOS, Bleskomat en FOSSA opnieuw aan. Voor dagelijks gebruik zonder eigen server kies je bij voorkeur een app-wallet die regelmatig updates krijgt.
3. Houd de aangekondigde foutanalyse van LNbits in de gaten en laat tot die tijd alleen bedrijfsgeld online. Wie bitcoin liever bij een aanbieder met vergunning aanhoudt, vindt die in de vergelijking van MiCA-gereguleerde beurzen.

(Per 11 november 2026. Dit artikel is geen beleggingsadvies. Koersen en tarieven veranderen; controleer de voorwaarden bij de aanbieder voordat je koopt.)