Une vulnérabilité dans BTCPay Server, le processeur de paiement Bitcoin open-source auto-hébergé, a été activement exploitée pour vider les fonds des nœuds Lightning Network de marchands, déclenchant un avertissement de sécurité urgent de la part des développeurs de la plateforme.

BTCPay Server, lancé en 2017 comme alternative résistante à la censure aux processeurs de paiement centralisés, permet aux marchands d'accepter des paiements Bitcoin directement sans intermédiaires. Il s'intègre au Lightning Network, une solution de mise à l'échelle de couche 2 construite au-dessus de la blockchain Bitcoin qui permet des transactions plus rapides et moins coûteuses via des canaux de paiement hors chaîne. L'adoption de Lightning a connu une croissance régulière depuis le lancement du réseau, avec des milliers de nœuds acheminant des paiements à l'échelle mondiale, ce qui signifie que les failles de sécurité dans des implémentations largement utilisées peuvent affecter un grand nombre de marchands et d'utilisateurs.

Dans un avis de sécurité, BTCPay a exhorté tous les utilisateurs exécutant l'implémentation LND (Lightning Network Daemon) à mettre immédiatement à jour leurs serveurs vers la version 2.4.2 ou à les déconnecter entièrement. Selon les développeurs, les attaquants ont obtenu l'accès à des identifiants pouvant être utilisés pour contrôler les portefeuilles Lightning connectés et déplacer des fonds sans autorisation. La vulnérabilité est particulièrement significative car les configurations auto-hébergées comme BTCPay sont souvent choisies précisément pour leurs propriétés d'auto-conservation — les marchands contrôlent leurs propres clés privées plutôt que de s'appuyer sur un dépositaire tiers — pourtant cette faille démontre que la sécurité opérationnelle au niveau applicatif reste un risque critique même dans des configurations non-custodiales.

LND, développé par Lightning Labs, est l'une des trois principales implémentations du Lightning Network aux côtés d'Eclair et c-lightning. C'est l'implémentation la plus largement adoptée parmi les déploiements BTCPay Server, ce qui rend l'impact de toute vulnérabilité spécifique à LND proportionnellement plus important au sein de cet écosystème.

L'avis a demandé aux utilisateurs concernés de suivre plusieurs étapes de diagnostic :

• Vérifier les paiements qu'ils n'ont pas initiés.
• Repérer les fermetures de canaux inattendues ou les connexions avec des pairs inconnus.
• Comparer les soldes on-chain et de canaux avec leurs propres registres.
• Examiner toute activité qui ne peut être justifiée.

Cet incident est le dernier d'une série de problèmes de sécurité affectant l'infrastructure de paiement Bitcoin, mettant en évidence les risques qui existent au-delà de la blockchain Bitcoin elle-même. À mesure que les marchands dépendent de plus en plus de logiciels tiers et de nœuds Lightning pour traiter les paiements, les vulnérabilités dans ces couches de support peuvent exposer les fonds au vol, même lorsque le protocole Bitcoin sous-jacent reste sécurisé. Les divulgations précédentes affectant LND et d'autres implémentations Lightning ont déclenché des efforts de correctifs coordonnés, soulignant que la sécurité des paiements basés sur Lightning dépend non seulement de l'intégrité de la couche de base Bitcoin, mais aussi de la maintenance continue des logiciels que les marchands et les opérateurs de nœuds choisissent d'exécuter.