Les utilisateurs de BTCPay Server invités à installer des correctifs après des vols de portefeuilles chauds

Le processeur de paiement en crypto-monnaie auto-hébergé BTCPay Server a émis un avertissement urgent à ses utilisateurs suite à des rapports confirmés de vols de fonds. Ces incidents impliquent des attaquants vidant des portefeuilles chauds contenant du Bitcoin et du Litecoin sur des serveurs exécutant des versions logicielles obsolètes. Les premières informations concernant ces exploits ont commencé à circuler autour du 1er novembre 2026, incitant les mainteneurs du projet à conseiller une remédiation immédiate pour toutes les instances affectées.

Ce qui s'est passé

L'équipe de sécurité de BTCPay Server a identifié que les attaques ciblaient spécifiquement les instances exécutant la version 2.4.1 ou antérieure. Cette version a été publiée le 23 juillet 2026. La vulnérabilité concernée a été corrigée dans la version 2.4.2, disponible depuis le 7 août 2026. Selon l'enquête, les attaquants ont employé une méthode distincte des exploits précédents pour compromettre ces installations anciennes. Bien que la date exacte du début de la campagne reste inconnue, la récente augmentation des signalements indique une exploitation active dans la nature.

Il est conseillé aux utilisateurs actuellement opérant sur les versions 2.4.1 ou antérieures de prendre des mesures drastiques. La recommandation ne consiste pas simplement à mettre à jour le logiciel, mais à migrer vers un serveur entièrement nouveau avec un nouveau portefeuille. Ce conseil s'applique même si l'utilisateur n'a pas encore détecté de fonds manquants. La logique derrière cette directive stricte est qu'une fois qu'un attaquant obtient l'accès, il peut avoir établi des backdoors persistants ou extrait des clés secrètes qui restent valides même après un correctif logiciel. Par conséquent, toute machine suspectée d'accès non autorisé doit être considérée comme entièrement compromise, nécessitant une réinitialisation totale des secrets et des identifiants.

Le projet a confirmé qu'il n'y a aucun rapport crédible de vols provenant d'utilisateurs exécutant la dernière version, la 2.4.7. Cette dernière mise à jour corrige une vulnérabilité critique et plusieurs vulnérabilités de sévérité moyenne découvertes grâce au scanner OSS d'Anthropic. Pour aider au suivi des actifs volés, BTCPay Server a publié deux adresses de portefeuille spécifiques liées aux incidents : une adresse Bitcoin commençant par bc1p0f7wmcnesrapznymf9ljdn04pudgmh96sqtrm9vmgqxdh666fh8qvn63r7 et une adresse Litecoin commençant par ltc1qp49tmfdueyaqrmgrx0uyx4uegyygt8yt02whee.

Détails clés

• Versions affectées : BTCPay Server 2.4.1 (publiée le 23 juillet 2026) et toutes les versions antérieures.
• Version corrigée : La version 2.4.2, publiée le 7 août 2026, a corrigé la vulnérabilité exploitée.
• Version sûre actuelle : La version 2.4.7 ne présente aucun rapport crédible de vidange de portefeuilles chauds.
• Action recommandée : Les utilisateurs sur des versions vulnérables doivent passer à un nouveau serveur avec un nouveau portefeuille, que le vol soit visible ou non.
• Périmètre de compromission : Toute violation suspectée nécessite de traiter la machine entière et tous les secrets stockés comme compromis.
• Actifs volés : Les vols confirmés impliquent du Bitcoin et du Litecoin provenant de portefeuilles chauds.

Contexte

BTCPay Server est une solution open-source populaire pour les marchands souhaitant accepter des paiements en crypto-monnaies sans dépendre de processeurs tiers. Il est généralement auto-hébergé, ce qui signifie que l'utilisateur gère l'infrastructure du serveur, les mises à jour de sécurité et les clés de portefeuille. Un « portefeuille chaud » dans ce contexte fait référence à un portefeuille de crypto-monnaies connecté à Internet et stocké sur le serveur lui-même. Cette configuration permet un traitement automatisé des paiements mais comporte un risque plus élevé que le « stockage à froid », où les clés sont conservées hors ligne.

La vulnérabilité exploitée lors de ces récentes attaques permettait un accès non autorisé aux fichiers d'identifiants, spécifiquement les fichiers .macaroon utilisés par LND (Lightning Network Daemon). LND est une implémentation du Lightning Network, un protocole de couche 2 conçu pour rendre les transactions Bitcoin plus rapides et moins coûteuses. Dans une divulgation précédente en août 2026, l'équipe avait noté que les attaquants pouvaient utiliser ces identifiants pour prendre le contrôle d'un nœud LND et déplacer des fonds. Bien qu'il ne soit pas clair si la campagne actuelle utilise exactement le même vecteur, l'accent mis sur les versions anciennes et non corrigées suggère une dépendance similaire à des failles de sécurité connues et non traitées.

Pourquoi c'est important

Pour les équipes et les individus qui auto-hébergent des logiciels financiers, cet incident souligne l'importance cruciale d'une gestion rapide des correctifs. Contrairement aux services centralisés où le fournisseur gère les mises à jour de sécurité de manière transparente, les environnements auto-hébergés placent l'ensemble de la charge de maintenance sur l'opérateur. Prendre du retard dans les mises à jour, même de quelques mois, peut laisser les systèmes exposés à des campagnes d'exploitation actives. Le fait que les attaquants ciblent des versions datant de juillet 2026 suggère qu'ils recherchent des vulnérabilités connues que de nombreux opérateurs ont négligées.

De plus, la recommandation de reconstruire entièrement le serveur met en évidence la gravité des compromissions potentielles. En sécurité informatique traditionnelle, appliquer un correctif à une vulnérabilité est souvent considéré comme suffisant. Cependant, dans le contexte des crypto-monnaies, le vol de clés privées ou de jetons d'authentification signifie que l'attaquant conserve l'accès même après que la faille a été colmatée. Cela nécessite un protocole de réponse aux incidents plus rigoureux, incluant la rotation des clés et le remplacement de l'infrastructure, ce qui peut être opérationnellement coûteux et complexe pour les petites équipes.

Cet événement se produit également dans un contexte d'instabilité plus large dans le secteur des crypto-monnaies. Les derniers mois ont vu des violations importantes, notamment un vol de 6,43 milliards de dollars chez Binance attribué à des acteurs nord-coréens, une exploitation de 2,65 millions de dollars chez Polymarket, et des attaques sur la chaîne d'approvisionnement impliquant des portefeuilles matériels comme Trezor. Pour les administrateurs système gérant des outils crypto auto-hébergés, le paysage des menaces devient de plus en plus sophistiqué, exigeant une vigilance non seulement dans les mises à jour logicielles, mais aussi dans une hygiène de sécurité globale.

Que pouvez-vous faire

• Vérifiez votre version : Vérifiez immédiatement si votre instance BTCPay Server exécute la version 2.4.1 ou antérieure.
• Mettez à niveau ou migrez : Si vous êtes vulnérable, mettez à niveau vers la version 2.4.7 ou ultérieure. Si vous suspectez une compromission antérieure, migrez vers un nouveau serveur avec de nouvelles clés de portefeuille.
• Minimisez les fonds des portefeuilles chauds : Ne conservez que le minimum nécessaire de fonds dans les portefeuilles chauds en ligne pour les opérations quotidiennes. Stockez la majorité des actifs dans un stockage à froid avec les clés hors serveur.
• Surveillez les anomalies : Examinez les journaux du serveur et les historiques de transactions du portefeuille pour toute activité non autorisée, même si aucun fonds ne semble manquer initialement.
• Isolez les secrets : Assurez-vous que les fichiers d'identifiants sensibles, tels que les fichiers .macaroon, sont correctement protégés par des permissions et ne sont pas accessibles aux utilisateurs non authentifiés.
• Restez informé : Suivez les canaux officiels de BTCPay Server pour les futurs avis de sécurité et envisagez d'automatiser les vérifications de mise à jour lorsque cela est possible.