BTCPay Server a déclaré qu'elle versera 10 % des fonds récupérés, jusqu'à 3 BTC, après que des attaquants ont dérobé des identifiants LND et vidé les portefeuilles Lightning des commerçants la semaine dernière.

BTCPay Server — un processeur de paiement Bitcoin open source et auto-hébergé, utilisé par des commerçants du monde entier pour accepter les BTC sans dépendre de prestataires de paiement tiers — a annoncé mardi qu'elle finançait une récompense pour la restitution du bitcoin dérobé auprès des commerçants la semaine dernière, offrant 10 % de tout montant récupéré, dans la limite de 3 BTC — soit environ 190 000 $ aux cours actuels. L'offre s'adresse à toute personne disposant d'informations utiles, y compris l'attaquant lui-même. Le projet a invité les personnes concernées à écrire à son adresse de sécurité et a indiqué que des canaux de communication sécurisés sont disponibles sur demande.

Si plusieurs signalements contribuent à une récupération, la récompense sera répartie entre les informateurs et les victimes proportionnellement au montant des pertes de chacun et à l'utilité des informations fournies.

Le vol résultait d'une vulnérabilité qui a permis à des attaquants d'obtenir des identifiants pour LND — le logiciel le plus utilisé pour faire fonctionner un nœud Lightning Network — et de vider les portefeuilles qui y étaient connectés. Le Lightning Network est la principale solution de mise à l'échelle de couche 2 de Bitcoin, permettant des transactions quasi instantanées et à faible coût via des canaux de paiement hors chaîne dont les commerçants dépendent pour le commerce quotidien. Le fabricant de portefeuilles matériels Foundation et la publication Bitcoin Citadel21 ont tous deux publiquement signalé des pertes de fonds. Ni BTCPay ni les victimes concernées n'ont divulgué de montant total de pertes à ce stade.

La vulnérabilité a été identifiée par des chercheurs associés au Bitcoin Red Team, une équipe bénévole qui a commencé à diriger des modèles d'IA vers les bases de code Bitcoin ce mois-ci. Le groupe a déposé des milliers de rapports de bugs sur des centaines de projets, dont la découverte qui a conduit au correctif de cette faille. L'épisode constitue l'un des premiers cas documentés dans lesquels une révision de code assistée par IA a mis au jour une vulnérabilité critique exploitée en conditions réelles sur l'infrastructure de paiement Bitcoin. BTCPay a confirmé qu'elle indemnise les chercheurs qui ont découvert le problème, en versant 0,21 BTC chacun au développeur Craig Raw et au fonds du Bitcoin Red Team.

We're donating 0.21 BTC to @craigraw and 0.21 BTC to the Bitcoin Red Team for their responsible security disclosure of the recent critical vulnerability. In addition, friends and supporters of the BTCPay Server project have committed to funding a bounty to recover the stolen… pic.twitter.com/qhs8zwoCvM
— BTCPay Server (@BtcpayServer) August 10, 2026

Dans une publication distincte, BTCPay a déclaré que des plateformes d'échange, des sociétés d'analyse blockchain et les forces de l'ordre avaient toutes proposé leur assistance pour retracer les fonds dérobés. Le projet a exhorté les commerçants concernés à déposer plainte auprès de la police locale et auprès de tout service vers lequel les fonds auraient été tracés. BTCPay a également conseillé aux commerçants de conserver la majeure partie de leurs avoirs en cold storage et de transférer régulièrement les excédents hors des hot wallets, « en particulier durant cette période de changement rapide, piloté par l'IA ».

Source : CoinDesk