BTCPay Server a publié une alerte de sécurité d'urgence après des signalements d'attaquants vidant des Bitcoin de portefeuilles chauds hébergés sur son infrastructure de paiement, exhortant les opérateurs à arrêter leurs serveurs pendant que les enquêteurs s'efforcent de déterminer l'ampleur de la compromission.

L'alerte, publiée le 1er novembre, concernait initialement toutes les installations. Les constatations ultérieures ont depuis restreint le vecteur d'attaque suspecté aux versions 2.4.1 et antérieures de BTCPay Server, et le projet indique n'avoir reçu aucun signalement crédible de vol de portefeuille chaud impliquant sa dernière version 2.4.7. Le montant total volé, le nombre de commerçants touchés et la méthode exacte utilisée pour compromettre les serveurs restent non divulgués.

Des vidages de portefeuilles attribués à des logiciels obsolètes

BTCPay Server a demandé aux opérateurs de mettre immédiatement leurs instances hors ligne à l'aide de la commande ./btcpay-down.sh après des signalements de retraits non autorisés depuis des portefeuilles connectés à Internet.

Ce processeur de paiement open source permet aux commerçants d'accepter des paiements en Bitcoin et via le Lightning Network sans dépendre de dépositaires centralisés. Cependant, sa fonctionnalité optionnelle de portefeuille chaud stocke les credentials de signature sur le serveur lui-même, exposant potentiellement les fonds si des attaquants obtiennent un accès administrateur. Les portefeuilles chauds maintiennent ces clés en ligne pour que les paiements puissent être traités automatiquement, tandis que le stockage à froid les conserve hors ligne — un compromis qui laisse les commerçants auto-dépositaires sans intermédiaire entre leurs clés et un attaquant.

Le fondateur Nicolas Dorier a déclaré que les enquêtes préliminaires montraient que des attaquants s'étaient connectés avec succès aux serveurs concernés en tant qu'administrateurs, bien que la méthode utilisée pour obtenir cet accès soit encore à l'examen. Les installations compromises semblaient exécuter des versions publiées avant août 2026, lorsque BTCPay Server avait introduit la version 2.4.2 pour corriger plusieurs faiblesses de sécurité.

L'équipe a ensuite identifié un vecteur d'attaque affectant les versions 2.4.1 et antérieures, tout en notant que ses propres serveurs accessibles publiquement exécutant la dernière version n'avaient pas été compromis. Cependant, comme le logiciel est auto-hébergé, l'application des correctifs dépend de l'action individuelle des opérateurs suivant les avis du projet — aucun fournisseur central ne peut mettre à jour les serveurs au nom des commerçants.

Ces constatations sont intervenus quelques jours après la publication de la version 2.4.7 par BTCPay Server le 29 octobre, qui corrigeait 85 constats de sécurité identifiés via le programme de scan de sécurité open source d'Anthropic. Ces correctifs couvraient un problème critique, 13 problèmes de gravité élevée, 52 de gravité moyenne et 19 de gravité faible, touchant l'authentification, le traitement des paiements, l'accès API et d'autres composants. La version est disponible sur GitHub, et le projet a partagé son avertissement via X.

Bien qu'aucune perte de portefeuille chaud ne soit confirmée pour la dernière version, l'enquête n'a pas encore établi quelle vulnérabilité spécifique a permis les attaques de novembre.

L'infrastructure de paiement Bitcoin sous pression sécuritaire renouvelée

L'incident fait suite à une violation en août impliquant l'intégration Lightning Network de BTCPay Server. Des attaquants avaient précédemment exploité une vulnérabilité permettant un accès non autorisé aux credentials administratifs de LND, pouvant leur permettre de contrôler des nœuds Lightning connectés et de transférer des fonds. Cette faiblesse avait été identifiée lors d'une revue de sécurité Bitcoin plus large et corrigée dans la version 2.4.2, et l'incident antérieur avait affecté des fonds connectés à LND plutôt que les portefeuilles chauds on-chain standard de BTCPay Server.

Les préoccupations de sécurité s'étendent également à d'autres applications Bitcoin. En août, Core Lightning a demandé aux opérateurs de nœuds de se déconnecter pendant que les développeurs préparaient des mises à jour de sécurité. Plus récemment, Electrum a corrigé une vulnérabilité de portefeuille activement exploitée après que des attaquants ont manipulé des données de transaction pour rediriger des paiements Bitcoin.

BTCPay Server demande désormais aux opérateurs concernés de se manifester avec les journaux pertinents et les détails de l'incident. Les utilisateurs sont invités à maintenir leurs installations à jour, à minimiser les fonds conservés dans les portefeuilles chauds et à transférer les actifs restants vers un stockage à froid sécurisé si nécessaire. Certains hébergeurs ont proactivement suspendu les instances clients exécutant des logiciels vulnérables pour éviter d'autres pertes.

L'enquête se poursuit, sans chiffres de récupération confirmés ni explication technique complète publiés à ce jour. Bien que le dernier logiciel semble non affecté par le vecteur d'attaque identifié, l'incident souligne les risques d'une infrastructure de paiement auto-hébergée obsolète, en particulier lorsque les clés privées restent accessibles sur des serveurs connectés à Internet. L'attention se porte désormais sur la question de savoir si le projet publiera un post-mortem technique complet et combien de commerçants touchés signaleront des pertes à mesure que les journaux arrivent.