BTCPay Server : des attaquants vident les portefeuilles chauds de commerçants aux serveurs obsolètes
BTCPay Server, un logiciel libre et gratuit qui permet aux boutiques et aux commerçants d'accepter le bitcoin sans prestataire de paiement intermédiaire, a mis en garde ses utilisateurs contre des vols. Des attaquants ont vidé les « portefeuilles chauds » de serveurs auto-hébergés fonctionnant avec des versions obsolètes. Selon le projet, la version actuelle 2.4.7 n'est pas concernée.
Ce qui s'est passé
Le projet a reçu des signalements de portefeuilles chauds vidés, c'est-à-dire de portefeuilles dont les clés privées sont stockées directement sur le serveur de paiement. Des bitcoins et des litecoins ont été volés. BTCPay a d'abord conseillé à tous les opérateurs d'éteindre leurs serveurs pendant l'enquête. Le projet a ensuite annoncé avoir identifié un vecteur d'attaque visant les instances en version 2.4.1 (publiée le 23 juillet 2026) ou antérieure. Les attaquants auraient obtenu des droits d'administrateur en exploitant des failles corrigées dans des versions ultérieures.
Dès le 29 octobre, le projet avait révélé une faille critique et publié la version 2.4.7 en mise à jour d'urgence. Pour cette version, aucun signalement crédible de portefeuille vidé n'a été reçu à ce jour. Le nombre de commerçants touchés et le montant volé n'ont pas été communiqués. On ignore aussi si ces vols sont liés à une attaque en août, après laquelle BTCPay avait restreint l'accès à distance aux nœuds Lightning.
Qui est concerné
Les vols concernent les commerçants et opérateurs qui exploitent leur propre BTCPay Server, y utilisent un portefeuille chaud et n'avaient pas mis le logiciel à jour. Dans les configurations où le serveur ne connaît que la clé publique d'un portefeuille externe, par exemple un portefeuille matériel, aucune clé privée permettant de dépenser des fonds ne se trouve sur le serveur.
Ce que les commerçants doivent faire maintenant
- Mettre à jour immédiatement : installez la version 2.4.7 via Paramètres du serveur → Maintenance → Mise à jour. Pour les installations Docker, le script de mise à jour du répertoire btcpayserver-docker fait de même.
- Mettre hors ligne les serveurs obsolètes : si vous utilisez la version 2.4.1 ou antérieure et ne pouvez pas mettre à jour tout de suite, éteignez le serveur.
- Vérifier vos paramètres : assurez-vous qu'aucun compte administrateur inconnu n'existe et que le portefeuille de réception n'a pas été modifié.
- Garder peu ou rien dans le portefeuille chaud : si possible, connectez un portefeuille matériel en lecture seule, afin que les paiements arrivent directement dans un portefeuille dont les clés ne sont pas sur le serveur.
- Signaler les pertes : les opérateurs touchés sont invités à contacter l'équipe de sécurité de BTCPay et à porter plainte auprès de la police.
Pourquoi c'est important
BTCPay Server est un pilier des paiements en bitcoin au quotidien : il permet aux boutiques d'accepter le bitcoin sans frais versés à des tiers et sans perdre le contrôle. Mais héberger soi-même implique aussi d'assumer les mises à jour. Comme lors de la récente faille d'Electrum, c'est un logiciel obsolète qui a été le point faible, pas Bitcoin lui-même. Les commerçants qui maintiennent leur serveur à jour et gardent leurs clés hors du serveur sont du bon côté.
Sources
