Si vous gérez un serveur de paiement $Bitcoin, arrêtez de lire après cette phrase et arrêtez-le. BTCPay Server, le processeur de paiement Bitcoin auto-hébergé le plus utilisé, a confirmé que des attaquants vidangent les hot wallets sur les installations plus anciennes et a demandé à chaque opérateur de mettre son instance hors ligne jusqu'à la fin de l'enquête.
Qu'est-ce qui s'est passé avec BTCPay Server ?
Samedi soir, le 1er novembre, l'équipe BTCPay Server a publié une alerte d'urgence : elle recevait des signalements de wallets chauds connectés à des instances BTCPay vidés par des attaquants non autorisés. L'instruction était claire : arrêtez votre serveur avec le script ./btcpay-down.sh et attendez.
D'ici dimanche, l'équipe de réponse à l'incident avait réduit le vecteur d'attaque. Selon le projet, les installations affectées exécutent la version 2.4.1, publiée le 23 juillet 2026, ou une version antérieure. Il n'existe aucun rapport crédible de wallets vidés sur la version actuelle 2.4.7.
Le cofondateur Nicolas Dorier a ajouté un détail inquiétant : l'attaquant a réussi à se connecter aux instances affectées avec des privilèges d'administrateur. La manière dont cet accès a été obtenu reste inconnue. Les serveurs publics du projet, qui exécutent la version 2.4.7, n'ont pas été touchés.
Combien de bitcoin ont été volés lors du piratage de BTCPay ?
Personne ne le sait encore, et BTCPay Server n'a pas publié de chiffre. L'équipe n'a pas révélé combien de serveurs ont été compromis ni combien d'opérateurs ont déclaré des pertes. Les utilisateurs concernés sont invités à envoyer les détails de l'incident et les journaux serveur à l'équipe de sécurité afin que l'enquête puisse établir l'ampleur.
Les fournisseurs d'hébergement ont agi rapidement. LunaNode et d'autres ont commencé à arrêter automatiquement les anciennes instances, donc si votre tableau de bord BTCPay est soudainement devenu noir pendant le week-end, c'est peut-être la raison.
Est-ce la même vulnérabilité BTCPay qu’en août ?
Pas exactement, mais le schéma est familier. En août, BTCPay Server a averti d’une faille activement exploitée permettant aux attaquants de voler les identifiants d’administrateur LND et d’accéder aux wallets Lightning connectés. Ce bug a été corrigé dans la version 2.4.2, et le projet a offert une récompense de récupération de 10 % des fonds récupérés, plafonnée à 3 BTC.
La faille d'août n'a pas explicitement touché les wallets chauds sur chaîne. Celle-ci le fait. Et elle intervient six semaines après que Core Lightning ait averti que des attaquants cherchaient des nœuds Lightning plus anciens et non corrigés. Le message issu de trois incidents distincts en trois mois est le même : l'infrastructure de paiement Bitcoin qui n'est pas mise à jour est activement scannée et attaquée.
Que doivent faire les opérateurs de BTCPay Server dès maintenant ?
- Arrêtez l'instance jusqu'à ce que BTCPay Server donne le feu vert, même si vous utilisez une version récente. Le projet indique que la version 2.4.7 n'est pas concernée, mais la cause racine de la connexion administrateur reste inconnue.
- Vérifiez les soldes de votre wallet chaud et transférez ce qui reste vers un stockage à froid. BTCPay recommande depuis longtemps de ne conserver que le montant nécessaire au fonctionnement dans un wallet chaud.
- Gardez vos journaux. Si vous voyez des transactions non expliquées, ne supprimez pas le serveur. Envoyez les journaux à l'équipe de sécurité de BTCPay.
- Mettez à jour avant de redémarrer. Lorsque vous ramenez l'instance, utilisez la version 2.4.7 ou toute version corrigée qui la suit.
- Modifiez les informations d'identification pour chaque compte administrateur sur le serveur, ainsi que pour tout service ayant partagé un mot de passe avec celui-ci.