BTCPay Server, le logiciel libre et open source utilisé par les entreprises pour accepter les paiements en Bitcoin, a exhorté dimanche les opérateurs à éteindre leurs instances après des signalements d'attaquants vidant des hot wallets connectés aux serveurs exécutant la plateforme.

Le projet a ensuite indiqué que l'attaque ciblait les instances exécutant la version 2.4.1 ou une version antérieure, et qu'il n'avait reçu aucun signalement fiable de hot wallets vidés parmi les utilisateurs de la dernière version, la 2.4.7.

L'alerte a été publiée sur X à 22 h 25, heure de l'Est, le 1er novembre :

🚨 We are receiving reports of hot wallets on BTCPay Servers being swept by unauthorized attackers.

If you're running an instance, please shut it down (./btcpay-down.sh) until we complete the investigation.

— BTCPay Server (@BtcpayServer) November 1, 2026

La commande citée dans l'alerte, ./btcpay-down.sh, éteint une instance BTCPay en cours d'exécution. Environ deux heures plus tard, le fondateur de BTCPay, Nicolas Dorier, a déclaré que les signalements semblaient concerner des versions antérieures à la 2.4.2, et que l'attaquant s'était connecté aux serveurs affectés avec un accès administrateur.

Plus tard dans la journée de dimanche, le projet a indiqué dans une publication de suivi sur X que son enquête avait identifié un vecteur d'attaque ciblant les instances exécutant la version 2.4.1, publiée le 23 juillet, ou une version antérieure. « We have no credible reports of hot wallet drains for users running the latest 2.4.7 release », a-t-il déclaré, exhortant chacun à maintenir son logiciel à jour et demandant aux utilisateurs affectés d'envoyer des détails et des journaux à son équipe de sécurité.

Certains hébergeurs, dont LunaNode, ont automatiquement éteint des instances BTCPay pour empêcher l'exploitation des versions obsolètes, a indiqué le projet. BTCPay n'a pas révélé combien de serveurs avaient été touchés ni combien de Bitcoin avait été volé. L'ampleur totale de l'incident reste incertaine. L'alerte initiale du projet liait la recommandation d'extinction à l'achèvement de son enquête, si bien que les opérateurs affectés attendaient l'issue de l'examen avant de remettre leurs instances en ligne.

Hot wallets et mise à jour d'urgence de BTCPay

BTCPay étant auto-hébergé, chaque commerçant exécute le logiciel sur son propre serveur, et il n'existe aucun opérateur central capable d'éteindre les instances sur l'ensemble du réseau. Cette architecture distribuée laisse également la mise à jour aux opérateurs individuels, les correctifs n'atteignant le réseau qu'au fur et à mesure de leur application par chaque propriétaire de serveur. Les commerçants peuvent choisir d'exécuter un hot wallet, qui stocke la seed du wallet sur le serveur connecté à Internet afin de pouvoir signer les transactions automatiquement. Le « sweeping » — la manœuvre décrite dans l'alerte du projet — transfère l'intégralité du solde d'un wallet vers une adresse contrôlée par l'attaquant. Les cold wallets, en revanche, conservent les clés de signature hors ligne et ne peuvent pas signer les transactions automatiquement. La propre documentation de BTCPay étiquette la fonctionnalité de hot wallet « DANGER » et avertit qu'elle « comes with security implications ».

Ces attaques surviennent quelques jours après la publication par BTCPay, jeudi, de la version 2.4.7, une mise à jour d'urgence corrigeant une vulnérabilité critique et plusieurs vulnérabilités de gravité moyenne, que le projet a déclaré avoir été portées à son attention grâce au scanner de logiciels open source de pointe d'Anthropic. Le projet n'a pas précisé si les attaquants avaient exploité l'une de ces failles.

Ce n'est pas la première alerte de sécurité pour le projet cette année. En août, BTCPay avait averti qu'une vulnérabilité critique affectant toutes les versions antérieures à la 2.4.2 était activement exploitée, et avait demandé aux utilisateurs de mettre à jour ou d'éteindre leurs serveurs. Les soutiens du projet ont ensuite financé une prime de récupération garantissant 10 % des fonds volés restitués aux victimes, dans la limite de 3 BTC.