Уязвимости Уязвимость в кошельках Alby Hub позволяла похитить криптовалюту

[user]

Разработчики биткоин-кошелька Alby Hub Для просмотра ссылки Войди или Зарегистрируйся о критической уязвимости, которая позволяла атакующим захватить контроль над чужим кошельком и похитить средства. Баг затрагивал версии Alby Hub с 1.7.0 по 1.18.5. Однако воспользоваться уязвимостью можно было только в том случае, если интерфейс управления кошельком был доступен из интернета.

Alby Hub представляет собой self-hosted Lightning-кошелек, который владелец запускает на собственном компьютере или сервере. Технические подробности уязвимости пока не раскрываются, и разработчики Alby обещают опубликовать детали проблемы позже.


По данным разработчиков, пока известно только об одном пользователе, пострадавшем из-за обнаруженной уязвимости, однако не уточняется, понес ли он финансовые потери.

Интересно, что проблему исправили еще в Alby Hub версии 1.19.0 и более новых, то есть первый релиз с патчем вышел 29 августа 2025 года. Так как с тех пор вышло немало обновлений, в настоящее время пользователям рекомендуют переходить на актуальную версию Для просмотра ссылки Войди или Зарегистрируйся.

Всем, кто до сих пор использует версию 1.18.5 или более старые релизы, сначала советуют закрыть интерфейс управления от внешнего доступа и только после этого устанавливать обновление.

Если веб-страница, используемая для управления кошельком, действительно была доступна из интернета, после обновления рекомендуется сменить пароль разблокировки и связаться с командой безопасности Alby по адресу security@getalby.com. При этом разработчики не уточняют, достаточно ли просто обновить Alby Hub, чтобы перекрыть злоумышленнику уже полученный доступ к кошельку, а также не объясняют, для чего именно нужен сброс пароля.

Проблема усугубляется тем, что пользователи могли собственноручно открывать доступ к Alby Hub через интернет, в соответствии с Для просмотра ссылки Войди или Зарегистрируйся проекта. Хотя Alby Hub рассчитан на работу в приватной сети, его сервер по умолчанию привязывался не к 127.0.0.1, а к 0.0.0.0. Поэтому при соответствующих настройках Docker, файрвола или облачного сервера веб-интерфейс Alby Hub мог оказаться доступен из интернета.

Лишь 7 сентября 2026 года в документацию Для просмотра ссылки Войди или Зарегистрируйся явное предупреждение на этот счет, и разработчики признают, что ранее в инструкциях ошибочно утверждалось, будто сервер работает только на localhost.

Одновременно с этим изменили и Docker-конфигурацию: вместо проброса порта 8080 на все адреса хоста его стали привязывать только к 127.0.0.1.

При этом отдельные гайды по-прежнему описывают конфигурации, которые, по сути, открывают доступ к Alby Hub из интернета. Например, в Для просмотра ссылки Войди или Зарегистрируйся для DigitalOcean предлагается оставить публичный IP включенным, поскольку тот «необходим для открытия Alby Hub в браузере», а в Для просмотра ссылки Войди или Зарегистрируйся для Hetzner допускается открытие порта 8080 для любых IPv4- и IPv6-адресов (хотя в качестве более безопасного варианта предлагается ограничить доступ собственным IP-адресом).

Для просмотра ссылки Войди или Зарегистрируйся