BTCPay Server avertit d'une faille active exploitée menaçant les fonds des utilisateurs

BTCPay Server a demandé à tous les utilisateurs d'installer immédiatement la version 2.4.2 après avoir confirmé que des attaquants exploitent activement une vulnérabilité critique susceptible d'entraîner le vol de fonds.

Mise à jour immédiate requise

Le 7 août, BTCPay Server a publié une alerte via son compte officiel X, qualifiant la vulnérabilité de critique et avertissant qu'une exploitation réussie pourrait entraîner des pertes financières directes.

« Il existe une vulnérabilité critique activement exploitée sur BTCPay Server, qui peut entraîner la perte de fonds », a déclaré le projet.

Les administrateurs de serveurs ont été invités à accéder au tableau de bord d'administration (Admin Dashboard), puis à naviguer vers Server, suivi de Maintenance et Update. Après avoir terminé le processus, les opérateurs doivent vérifier que le numéro de version affiché dans le pied de page du serveur indique 2.4.2.

Pour les utilisateurs incapables d'appliquer le correctif immédiatement, BTCPay Server a recommandé d'éteindre entièrement leurs serveurs jusqu'à ce que la version mise à jour puisse être installée. Cette précaution vise à empêcher tout accès non autorisé supplémentaire aux serveurs qui pourraient rester vulnérables.

Le projet n'a pas précisé quelles versions antérieures sont affectées, comment les attaquants exploitent la vulnérabilité, combien de serveurs ont pu être compromis, ni si des pertes ont déjà été confirmées. La retenue des détails techniques s'inscrit dans les pratiques de divulgation coordonnée des vulnérabilités, où les projets limitent les détails publics jusqu'à ce qu'un nombre suffisant d'opérateurs aient appliqué le correctif, réduisant ainsi le risque d'imitation contre les systèmes non corrigés.

L'infrastructure de paiement Bitcoin auto-hébergée menacée

BTCPay Server est un processeur de paiement open source qui permet aux marchands d'accepter des paiements en Bitcoin et via le Lightning Network grâce à leur propre infrastructure auto-hébergée. Contrairement aux plateformes de paiement dépositaires, les opérateurs assument l'entière responsabilité de la maintenance et de la sécurisation de leurs installations individuelles.

Cette architecture auto-hébergée réduit la dépendance à l'égard des fournisseurs de paiement centralisés, mais transfère la charge de la maintenance logicielle directement aux marchands et aux administrateurs de serveurs. Étant donné que chaque instance est exploitée indépendamment, il n'existe aucun mécanisme central pour pousser les mises à jour automatiquement — chaque opérateur doit appliquer le correctif manuellement, créant un décalage inhérent pendant lequel les serveurs vulnérables restent exposés. Selon l'ampleur de la vulnérabilité, une installation compromise pourrait exposer les opérations de paiement et d'autres fonctions sensibles du serveur.

La directive du projet d'éteindre les serveurs souligne la gravité de la menace. BTCPay Server ayant confirmé qu'une exploitation active est en cours, il est déconseillé aux opérateurs de laisser les systèmes affectés en marche en attendant une fenêtre de maintenance planifiée.

Les utilisateurs doivent obtenir la mise à jour exclusivement via l'interface de maintenance officielle du serveur et confirmer la chaîne de version 2.4.2. Le projet n'a approuvé ni les téléchargements tiers ni les correctifs non officiels.

Surveillance sécurité renforcée à travers l'écosystème Bitcoin

Cette divulgation intervient dans un contexte de préoccupations sécuritaires accrues entourant l'infrastructure de paiement Bitcoin. Comme l'a rapporté crypto.news, Zeus Wallet a récemment mis son infrastructure hors ligne après avoir contenu une cyberattaque et a lancé un audit de ses systèmes avant de reprendre ses services.

Zeus a déclaré qu'aucun fonds client n'avait été perdu ni mis en danger, et que son investigation n'avait identifié aucune vulnérabilité dans le logiciel de nœud Lightning. Aucune preuve ne suggère actuellement un lien entre l'incident de Zeus et la vulnérabilité de BTCPay Server.

Les évaluations de sécurité se sont intensifiées à travers l'écosystème Bitcoin suite à plusieurs incidents récents. Crypto.news a rapporté le 6 août que le Bitcoin Red Team, composé de bénévoles, avait identifié 4 962 problèmes potentiels lors de son examen de 390 projets liés au Bitcoin. Parmi ceux-ci, 720 constatations ont été classées comme étant de gravité élevée ou critique. L'examen du groupe couvrait les portefeuilles Bitcoin, les bibliothèques cryptographiques et les logiciels d'infrastructure, bien qu'il n'ait pas nommé publiquement les projets présentant des failles critiques non résolues. Ces résultats mettent en évidence que l'audit de sécurité des outils Bitcoin open source reste un effort communautaire continu, de nombreux projets reposant sur des examens bénévoles plutôt que sur des équipes de sécurité dédiées.

Actions recommandées pour les opérateurs

Les opérateurs BTCPay Server devraient aborder la mise à niveau comme une intervention de sécurité d'urgence plutôt que comme une tâche de maintenance de routine. Les serveurs doivent rester hors ligne si les administrateurs ne peuvent pas confirmer que la version 2.4.2 a été installée avec succès.

Il est également conseillé aux marchands d'examiner les journaux d'activité du serveur pour détecter tout signe d'accès non autorisé. Cependant, BTCPay Server n'a pas encore publié d'indicateurs de compromission ni de détails techniques permettant aux opérateurs de déterminer si leurs systèmes ont été spécifiquement ciblés.

Des informations supplémentaires pourraient être divulguées une fois qu'un nombre suffisant d'utilisateurs auront appliqué le correctif et qu'une divulgation publique plus large ne augmentera plus le risque pour les serveurs non corrigés. Dans l'intervalle, les recommandations du projet restent claires : mettre à jour vers v2.4.2 ou éteindre le serveur.