BTCPay Server, la plateforme de paiement en bitcoin, a demandé aux opérateurs d'arrêter leurs serveurs après avoir reçu des signalements d'attaquants vidant des hot wallets. Lundi, le projet a indiqué que le vecteur d'attaque identifié visait les instances sous la version 2.4.1 ou antérieure.
Ce qu'a déclaré BTCPay Server
Dans un premier avertissement, le projet a demandé aux opérateurs d'éteindre leurs instances le temps d'enquêter sur les signalements de retraits non autorisés. BTCPay a aussi partagé des instructions pour mettre les serveurs hors ligne.
Lundi, dans un message de suivi, BTCPay a indiqué que son enquête avait identifié un vecteur d'attaque visant les instances sous la version 2.4.1 ou antérieure. La version 2.4.1 a été publiée le 23 juillet 2026.
Le projet affirme n'avoir reçu aucun signalement crédible de hot wallets vidés chez les utilisateurs de sa dernière version, la 2.4.7, et appelle les opérateurs à mettre à jour leurs installations.
Quelles versions sont visées
Version de BTCPay Server | Position de BTCPay |
|---|---|
2.4.1 ou antérieure | Visée par le vecteur d'attaque identifié |
2.4.7 (dernière) | Aucun signalement crédible de vol |
La seule recommandation explicite du projet est de passer à la version 2.4.7. BTCPay n'a pas annoncé de correctif distinct de cette mise à jour et n'a pas décrit publiquement le fonctionnement de l'attaque.
Que faire si vous utilisez BTCPay
- Éteignez votre serveur, comme demandé dans le premier avertissement, si vous êtes sous la version 2.4.1 ou antérieure
- Mettez à jour votre installation vers la 2.4.7, la version pour laquelle BTCPay n'a reçu aucun signalement crédible de vol
- Si vous avez été touché, transmettez informations et journaux à l'équipe de sécurité de BTCPay
Ce que l'on ignore encore
BTCPay n'a pas encore divulgué trois éléments clés sur l'incident :
- Le nombre d'opérateurs touchés
- La valeur des fonds volés
- Les détails techniques sur la manière dont les attaquants ont accédé aux wallets
L'incident survient moins de trois mois après la restriction par BTCPay de l'accès Lightning à distance, à la suite d'une attaque en août. Cette attaque exploitait une faille pour obtenir des identifiants Lightning Network Daemon (LND) et voler des fonds.
On ignore si ce nouveau vecteur d'attaque est lié à la faille d'août.