LNbits, le logiciel open source largement utilisé pour exploiter des portefeuilles du Lightning Network de Bitcoin, a demandé à tous les utilisateurs d'éteindre leurs serveurs. L'alerte a été publiée le 8 novembre 2026, après plusieurs signalements faisant état d'attaquants créant de nouveaux comptes sur des instances LNbits et retirant des fonds sans autorisation.

Ce qui s'est passé

L'alerte a fait suite à une série d'exploitations réussies. Selon les signalements, les attaquants ont pu ouvrir de nouveaux comptes sur des instances LNbits, puis retirer des fonds qu'ils n'étaient pas autorisés à toucher.

L'un des exemples publics les plus clairs vient de @KevinR4v, qui exploite BitTipBot. L'opérateur a signalé une perte d'environ 2 285 545 sats, soit environ 0,0229 BTC. Pour les lecteurs qui ne comptent pas en sats : un sat est la plus petite unité de Bitcoin, soit un cent-millième d'une pièce. Les utilisateurs du Lightning Network raisonnent généralement en sats car le réseau est conçu pour des paiements rapides et de petits montants.

L'attaque contre BitTipBot se serait déroulée sur une fenêtre d'environ cinq heures. Elle a commencé vers 9 h 22 UTC et s'est poursuivie jusqu'à environ 14 h 00 UTC.

L'opérateur de BitTipBot a déclaré qu'il s'engageait à rembourser les utilisateurs concernés. Les fonds restent inaccessibles jusqu'à l'application des correctifs de sécurité, et les utilisateurs attendent donc LNbits avant d'être indemnisés.

Le calendrier des correctifs

Après avoir demandé aux utilisateurs de couper leurs serveurs, LNbits a indiqué travailler sur plusieurs correctifs de sécurité. Le projet prévoit de les publier dans les 24 à 48 heures suivant l'alerte.

Cette fenêtre constitue l'échéance concrète à surveiller. Le redémarrage des instances arrêtées comme les remboursements promis par BitTipBot dépendent des correctifs ; le prochain point de contrôle sera donc de savoir si la publication arrive à temps.

LNbits a également demandé à la communauté de diffuser l'avis le plus largement possible. Pour un outil décentralisé et auto-hébergé, cette demande est logique. LNbits ne dispose d'aucun commutateur central permettant de protéger toutes les instances. Chaque opérateur gère son propre serveur ; chacun doit donc recevoir l'avertissement et agir individuellement.

Ce n'est pas la première fois que LNbits doit traiter des problèmes de sécurité. Des vulnérabilités antérieures avaient été corrigées en septembre 2026 avec la publication de la version 1.6.0, à la suite d'un audit réalisé par V12.

Contexte : pourquoi LNbits est important

LNbits permet aux utilisateurs de gérer plusieurs portefeuilles et comptes au sein d'une couche auto-hébergée qui repose sur le Lightning Network. Les opérateurs peuvent créer des bots de pourboires, des systèmes de point de vente ou des portefeuilles partagés pour des groupes, sans confier la garde des fonds à une grande entreprise.

Le calendrier apporte du contexte. D'autres projets liés au Lightning Network, notamment Electrum et Core Lightning, ont déployé leurs propres mises à jour de sécurité début novembre 2026. Aucun lien précis entre ces mises à jour et les vulnérabilités de LNbits n'a été confirmé.

Ce que cela signifie

Comme les instances LNbits peuvent héberger des bots de pourboires, des systèmes de point de vente et des portefeuilles partagés, la demande d'arrêt signifie que ces services sont hors ligne jusqu'à ce que chaque opérateur applique les correctifs et redémarre. Le cas BitTipBot illustre le coût humain de cet arrêt. Même un opérateur disposé à rembourser les utilisateurs ne peut le faire tant que le logiciel n'est pas corrigé, laissant les utilisateurs finaux dans l'incertitude sans qu'ils en soient responsables.

Aucune réaction immédiate du marché n'a été observée. Les pertes signalées à ce jour sont modestes en termes de Bitcoin, et l'incident concerne un outil auto-hébergé plutôt qu'une grande plateforme d'échange ou un dépositaire.

Pour l'heure, le message de LNbits est sans appel. Éteignez le serveur, attendez le correctif, et demandez à toutes les personnes que vous connaissez qui l'utilisent d'en faire autant.