BTCPay Server a demandé à tous les opérateurs de mettre leurs instances hors ligne dimanche, après des signalements indiquant que des tiers non autorisés avaient accédé à des hot wallets connectés à la plateforme de paiement Bitcoin et les avaient vidés.

Dans une annonce sur X, le projet a demandé à chaque administrateur d'instance de mettre son serveur hors ligne à l'aide de la commande d'arrêt et d'attendre la conclusion de son enquête.

« Nous recevons des signalements de hot wallets sur des serveurs BTCPay balayés par des attaquants non autorisés. Si vous exploitez une instance, veuillez l'arrêter (./btcpay-down.sh) jusqu'à ce que nous ayons terminé l'enquête », a déclaré BTCPay Server sur X.

BTCPay Server étant auto-hébergé, la responsabilité de l'arrêt incombe entièrement aux propriétaires de chaque serveur. Le projet n'a pas encore révélé la cause racine de l'incident, le nombre de serveurs concernés ni le montant total dérobé.

Pourquoi les hot wallets sont exposés

Selon la documentation de BTCPay Server, la fonctionnalité de hot wallet stocke la seed directement sur le serveur pour signer les transactions et permet des paiements rapides sans dépendre d'un matériel externe. Cette commodité a toutefois rendu les hot wallets nettement plus vulnérables que le stockage à froid.

Les hot wallets conservent les clés privées sur des systèmes connectés à Internet, de sorte que les attaquants qui compromettent l'infrastructure sous-jacente peuvent y accéder. Les cold wallets, en revanche, stockent les clés de signature hors ligne. Le compromis est la vitesse : les hot wallets privilégient la commodité et permettent aux commerçants de traiter les transactions plus rapidement, tandis que les cold wallets privilégient la sécurité.

Pour les entreprises utilisant BTCPay Server pour accepter des paiements en Bitcoin, un hot wallet compromis pourrait exposer des fonds destinés aux règlements des commerçants ou aux transactions des clients. Cet avertissement soulève donc la question de l'équilibre entre la commodité des paiements et la nécessité de protéger les clés privées contre tout accès non autorisé.

Samson Mow, PDG de JAN3, une entreprise technologique BTC, a commenté l'incident : « Je pense qu'il devrait être une priorité de faire travailler SamRock avec Indra au plus vite afin que les utilisateurs de BTCPay puissent recevoir directement sur Aqua Bitcoin et passer régulièrement en cold storage. »

Troisième incident de sécurité en quelques mois

Cet appel à l'arrêt constitue le troisième incident de sécurité frappant le projet en peu de temps. Quelques jours plus tôt, le 29 octobre, BTCPay Server avait publié une mise à jour d'urgence, la version 2.4.7, pour corriger cette vulnérabilité et d'autres.

En août, des attaquants avaient exploité une autre faille de sécurité, entraînant le vol de clés du Lightning Network et le vidage de plusieurs nœuds associés, dont un appartenant à Foundation, un fabricant de portefeuilles matériels. À l'époque, BTCPay Server avait assuré aux utilisateurs que leurs portefeuilles on-chain standard et leurs hot wallets intégrés étaient à l'abri de cette attaque. Le projet avait néanmoins demandé aux utilisateurs de mettre à jour leurs serveurs vers la version 2.4 ou, à tout le moins, de désactiver temporairement leurs instances jusqu'à ce qu'ils puissent le faire, réduisant ainsi le risque d'accès non autorisé.

Jusqu'à la fin de l'enquête en cours, les opérateurs sont invités à vérifier l'activité de leur serveur, les soldes de leurs portefeuilles et leurs historiques de transactions à la recherche de tout mouvement suspect. Ceux qui soupçonnent que leurs hot wallets ont été compromis ne doivent pas continuer à utiliser des clés de signature potentiellement exposées. L'incident souligne également pourquoi les sauvegardes doivent être sécurisées et pourquoi les soldes importants en Bitcoin doivent être conservés hors ligne plutôt que dans des portefeuilles connectés à l'infrastructure de paiement. La cause racine, le nombre de serveurs concernés et le montant total dérobé n'étant toujours pas divulgués, la conclusion de l'enquête de BTCPay Server est le développement immédiat que les commerçants et opérateurs de la plateforme doivent surveiller.

L'exploit Coldcard a causé au moins 116 millions de dollars de pertes

L'ensemble du secteur a connu des difficultés similaires. En août, Coldcard, un fabricant populaire de portefeuilles dédiés au Bitcoin, a été touché par un exploit ayant entraîné à ce jour au moins 116 millions de dollars de pertes confirmées.

Selon Ido Ben-Natan, PDG de Blockaid, l'incident Coldcard a révélé une faiblesse fondamentale de la crypto : la dépendance à des clés privées qui peuvent devenir un point de défaillance unique.

« C'est un type d'accès à usage unique. Il y a une beauté dans le fait que personne d'autre ne peut y accéder. La difficulté, c'est que c'est un point de défaillance unique », a déclaré Ben-Natan.

Il a ajouté : « La leçon ici, c'est que laisser vos actifs quelque part, les oublier et ne plus y penser n'est pas réellement la solution, car le rythme de la sécurité évolue. Vous devez soit être constamment paranoïaque, soit confier ce processus de prise de décision à quelqu'un d'autre. »

L'exploit provenait d'un bug grave du firmware permettant la corruption de la procédure d'initialisation des portefeuilles sur les appareils Coldcard. Cette faille supprimait le facteur de randomisation nécessaire pour créer des portefeuilles sécurisés, permettant aux attaquants de calculer les clés privées et de vider ces portefeuilles de leur Bitcoin. Plus de 7 000 adresses ont été touchées, selon la société de recherche K33.

Ce schéma est propre à tout le secteur : en moyenne, près des trois quarts des fonds dérobés lors d'exploits cryptos au premier semestre 2026 sont liés à des violations de clés privées.