LNBits - Open Source - gehackt

Verdankenswerterweise hat Cercatrova den Hack und die Leerung der LNBits Wallets dokumentiert.

Vor allem der erste von ihm zitierte Fehler ist einfach krass: Sowas von ungenügender Prüfung lässt einem die Haare zu Berge stehen. Das ist ja grad so schlimm wie der ehedem langjährige Evergreen der SQL-Injection.

Open Source - von vielen geführt als "sicher" ... Quatsch. Es heisst nur, dass der Source eben öffentlich ist. Cerca zitiert einen Code-Ausschnitt ... so wie er das nun tut, kann es jeder - eben Open-Source. Aber es tun nur wenige, bzw. heute tun es die KIs.

Ich selbst hatte auch ein paar Sats bei ihm und dachte damals schon beim Studium des APIs, dass ich das nie so machen würde. Eine Hash als einzige ID. Aber eben, auch ich habe meine Beobachtung nicht weiterverfolgt. Es geht ja nur um einige wenige Sats, mit denen ich mal spielte.

Aber eben, so passiert's. Ein Gedanke, ein Input, nicht weitergeleitet - hätte ich, wär's vielleicht verbessert worden. Aber wer bin ich schon.

So ist es mit der Open Source. Unterlassungssünden schlechter Programmierer werden von der KI gefunden. Daher die Wellen von Hacks letztens.

Denn noch schlimmer wird's, wenn die Programmierer noch Frameworks benutzen, die sie nicht untersuchen, geschweige den verstehen.

Jahrzehnte lange Schludrigkeit ruft ihren Preis nun auf. Klar, klingt krass. Aber ich kenne dieses Metier von Pique auf. Und habe natürlich auch Fehler gemacht. Doch lernen ist nicht verboten, nie und für niemanden.

Wenn wir nun mit all den Kryptogeldern hantieren, gibt es keine Bank mehr, auf der man Risiken abladen kann. Die ev. aus Kulanz was machen oder zurückholen können.

Und bei Geld hört halt alles auf ... :-)

Also, an alle Programmierer und Entwickler, egal ob Legacy oder Vibe: untersucht das Security-Framework eurer Lösungen. Das Haifischbecken ist grad jenseits des Servers. Wer da nicht grandios alle Varianten von Angriffen überdenkt, handelt fahrlässig.

Cerca dokumentiert, was ihm passiert ist. Obwohl ich ihn kenne, weiss ich grad nicht, ob er mittlerweile Entwickler geworden ist. Er ist also eventuell auch Opfer. Und dokumentiert seine Befunde.

Wie eingangs erwähnt, verdankenswert. Auf dass Leute ihre eingesetzten Produkte, aka Supply-Chain, auch wenn sie nichts davon verstehen, vertrauenswerten Leuten zur Review geben. Wenn die dann abraten, sollte man das Produkt entsorgen. Oder besser noch - weil ja Open Source - verbessern und die Entwickler zumindest benachrichtigen.