Falha crítica no Alby Hub permite invasão e envio de fundos

A Alby, empresa por trás do Alby Hub, carteira de bitcoin autocustódia, confirmou nesta quarta-feira uma vulnerabilidade crítica em versões antigas do software. A falha permite que um invasor assuma o controle do hub sem autorização e mova os fundos do usuário para fora. O alerta foi publicado nos canais oficiais da companhia, com orientações a operadores.

A falha que expõe o hub

O Alby Hub funciona como nó da Lightning e carteira, conecta aplicativos e recebe pagamentos sem intermediário. A proposta é manter o usuário no controle das chaves. O ponto explorado fica na interface de gestão do programa, a management API usada para administrar a carteira, abrir canais e autorizar pagamentos. Em uma instalação exposta à internet, um atacante que alcance esse endpoint obtém acesso sem autorização e pode enviar fundos a partir da conta.

O problema atingiu as versões v1.7.0 a v1.18.5, lançadas antes de agosto de 2025. Quem mantém o hub acessível pela internet pública fica vulnerável, porque um atacante que alcance o painel de administração consegue entrar sem permissão e mover o saldo para outra carteira.

Sem exposição pública, o defeito não tem superfície de ataque, pois a porta de entrada usada pelo invasor só existe em instalações alcançáveis de fora da rede local.

As versões a partir da v1.19.0 não são afetadas pela falha. A v1.19.0, primeira versão sem o defeito, saiu em 29 de agosto de 2025. A companhia informou que, até o momento, tem conhecimento de um único usuário impactado, que relatou o problema à equipe.

Em comunicado, a Alby pediu desculpas a quem foi afetado e disse que a divulgação completa dos detalhes técnicos virá depois, seguindo a prática de divulgação responsável, em que a correção é publicada antes da exposição pública da brecha. Os agradecimentos da empresa citaram os grupos Bitcoin Team Red e Project Loupe, cujos relatos de falhas entraram nas correções da atualização mais recente.

Como se proteger

O primeiro passo é descobrir qual versão está em uso. A consulta às configurações do programa mostra o número instalado e indica onde procurar por atualizações.

Quem estiver em uma versão afetada deve cortar o acesso externo à área de administração e instalar a v1.24.0 o quanto antes, já que ela traz a correção da falha. O cuidado vale também para instalações domésticas.

Para quem rodou uma versão vulnerável que ficou acessível pela internet, a recomendação inclui trocar a senha de desbloqueio depois da atualização. A troca evita que credenciais eventualmente comprometidas continuem valendo após a correção. A empresa disponibilizou um endereço de contato para dúvidas de segurança.

Mesmo quem não foi afetado deve atualizar para a última versão disponível, que reúne as correções de segurança entregues depois da descoberta da falha.

O próprio hub avisa quando há atualização disponível, e o usuário não deve ignorar os avisos. Manter o software desatualizado foi o que deixou as versões antigas vulneráveis por mais de um ano sem correção.

A recomendação permanente da Alby é não deixar o hub acessível pela internet. O projeto orienta manter o programa dentro de uma rede interna protegida por firewall. O protocolo de comunicação central do hub, o Nostr Wallet Connect (NWC), permite que a carteira funcione sem exposição pública, inclusive em servidores domésticos como os da plataforma Umbrel.

O caso soma-se a outros alertas de segurança na infraestrutura da Lightning nos últimos meses. Em agosto, os mantenedores do Core Lightning, software aberto de nós, orientaram operadores a manter servidores desligados até a chegada de um reparo de emergência, e o BTCPay Server confirmou a exploração de uma brecha que expôs credenciais de usuários e drenou carteiras. A recorrência mostra que a operação da segunda camada depende da atualização rápida de quem roda a infraestrutura.

Para o usuário comum, a falha não exige mudança de comportamento no uso diário, desde que a atualização seja feita. O cuidado maior está em quem roda o próprio nó e decide como deixar o serviço acessível.

A correção já está disponível e as versões atuais não carregam o defeito. A v1.24.0 inclui melhorias de segurança adicionais além do reparo.