Критична уязвимост в Alby Hub може да позволи на атакуващи да поемат контрол над биткойн портфейли, достъпни през интернет

Компанията за биткойн портфейли Alby предупреди за критична уязвимост в Alby Hub, която би могла да позволи на атакуващ да поеме контрол над портфейл и да прехвърли наличните средства, но само в случаите, когато собственикът е направил Hub достъпен от интернет.

Alby Hub представлява Lightning портфейл на самостоятелен хостинг, което означава, че собственикът го управлява на собствен компютър или сървър и той съхранява неговите биткойни. Уязвимостта засяга версии от v1.7.0 до v1.18.5, всички пуснати преди август 2025 г., като от Alby заявяват, че до момента има засегнат един потребител.

Версии v1.19.0 и по-нови не съдържат тази уязвимост. Първата версия с включена корекция за сигурност е публикувана на 29 август 2025 г., така че Hub, обновен до която и да е версия, издадена след тази дата, не е засегнат.

Alby препоръчва на всеки, който все още използва по-стара версия, първо да ограничи външния достъп до административния интерфейс на Hub — уеб страницата, използвана за управление на портфейла. Следващата стъпка е обновяване до v1.24.0, която е актуалната версия.

Компанията все още не е разкрила точното естество на уязвимостта. Заявено бе, че пълните подробности ще бъдат публикувани по-късно в съответствие с добрите практики за отговорно разкриване на уязвимости, като беше изразена благодарност към изследователите, съобщили за други проблеми, коригирани в последната версия.

От Alby посочват, че по техни данни е засегнат един потребител, без да уточняват дали той е загубил средства. Потвърдено е, че потребителят сам е докладвал подробностите на компанията.

Какво да направите сега

1. Проверете версията, която работи на Вашия Hub.
2. Ако тя е v1.18.5 или по-стара, първо прекратете достъпа до Hub извън Вашата собствена мрежа. При Docker конфигурация това означава портът да бъде публикуван като 127.0.0.1:8080:8080, а не 8080:8080. На облачен сървър това означава правилото във защитната стена (firewall) за порт 8080 да разрешава само Вашия собствен IP адрес, а не произволни адреси.
3. Обновете до v1.24.0.
4. Ако Вашият Hub е използвал засегната версия и е бил достъпен от интернет, променете паролата си за отключване след обновяването и се свържете с security@getalby.com.

От Alby не уточниха дали самото инсталиране на корекции за сигурност прекратява евентуален достъп, който атакуващ вече е получил до компрометиран Hub. Тяхната препоръка за смяна на паролата за отключване се отнася точно за тази група потребители, но в нито един от публикуваните източници не се обяснява какви действия цели да отмени тази промяна.

Как един Hub се озовава в интернет

Alby Hub е проектиран да работи в частна мрежа. Неговият уеб интерфейс изисква вход, а официалната документация на проекта вече изрично предупреждава собствениците да не го излагат в публичния интернет, тъй като сървърът слуша на всички мрежови интерфейси на машината, а не само локално.

Това предупреждение е ново. То бе добавено с промяна в документацията, одобрена на 7 септември, където в описанието се отбелязва, че няколко от ръководствата за инсталация неправилно са описвали сървъра като „работещ на localhost, докато в действителност той слуша на всички мрежови интерфейси“.

Същата промяна актуализира и Docker файла на проекта, така че порт 8080 вече не се публикува към всички адреси, а се ограничава само до самата машина.

Преди това ръководството за стартиране на Alby Hub върху Linux сървър посочваше, че Hub работи на localhost, и препоръчваше обратен прокси сървър (reverse proxy) за всеки, който иска да го направи публичен. Файлът README, включен в най-старата и в най-новата засегната версия, не съдържаше такова предупреждение, както и този в настоящата версия.

Към 9 септември, денят на публикуване на предупреждението, собствените ръководства на Alby за инсталиране на Hub върху облачен сървър все още описваха конфигурация, отворена към интернет.

Ръководството за DigitalOcean съветваше потребителя да остави публичния адрес на сървъра включен, тъй като той е „необходим, за да можете да отворите Alby Hub във Вашия браузър“, и след това да отвори Hub на този адрес.

Ръководството за Hetzner описваше стъпките за създаване на правило във защитната стена за порт 8080 с източник „Всеки IPv4 и Всеки IPv6, или Вашият собствен IP адрес за по-добра сигурност“, а примерният Docker файл публикуваше порта към всички адреси.

Предишен случай на поемане на контрол над изложен Hub

Това не е първият случай, при който контролът върху Alby Hub е поет, след като е бил оставен отворен. През ноември 2025 г., в отговор на потребител, чийто Hub е бил изпразнен, от Alby заявиха, че машината е била „публично достъпна в отворената мрежа (clearnet), така че до нея е можело да се осъществи достъп отвън“.

Според Alby тогава се е касаело за различен проблем, а не за настоящата уязвимост: настройката на Hub никога не е била завършена, поради което не е съществувала парола за отключване, и киберпрестъпникът сам е завършил процеса по конфигуриране.

След този incident промяна в приложението на Umbrel постави Alby Hub зад собствената система за автентикация на Umbrel, която дотогава е била изключена за него. Каталогът с приложения на Umbrel вече инсталира v1.24.0, а собствената страница на Alby в Umbrel инсталира v1.21.4 — и двете версии са по-нови от коригираната, макар че това описва какво инсталират тези магазини днес, а не каква версия използва конкретен Hub.

Два въпроса, които предупреждението оставя без отговор, са от значение за цели групи потребители. То съветва потребителите да проверят инсталираната версия, което не показва дали Alby Cloud вече не е отстранил уязвимостта вместо тях. Освен това посочва v1.7.0 като начало на засегнатия диапазон, без да разяснява какво е състоянието на версиите преди нея, които стигат до v1.0.2.

Изданието The Hacker News е отправило и двата въпроса към Alby, заедно с въпроса какво точно цели да отмени промяната на паролата.