Les attaquants ont obtenu un accès administrateur à des instances obsolètes de BTCPay Server et ont vidé leurs wallets chauds, et les indices pointent vers des failles antérieures à un correctif d’août.
Les pertes touchent les opérateurs qui n’ont jamais mis à jour, et l’équipe n’a pas encore divulgué le montant total des pertes. BTCPay Server est un processeur de paiement gratuit et open-source que les Merchants hébergent eux-mêmes pour accepter le bitcoin. Dans une configuration de wallet à chaud, le serveur stocke lui-même les clés privées, ce qui permet au logiciel d’envoyer des fonds sans que l’opérateur doive signer chaque transaction. En conséquence, toute personne ayant un accès administrateur à un tel serveur peut déplacer ses pièces.
Quelles versions les attaquants ont-ils ciblées ?
L'équipe de BTCPay Server a d'abord levé l'alarme tardivement le 1er novembre. Elle a demandé à chaque opérateur d'arrêter son instance jusqu'à la fin de l'enquête.
Un suivi a ensuite restreint le périmètre. Le vecteur d'attaque cible la version 2.4.1, publiée le 23 juillet 2026, et toutes les versions antérieures. Entre-temps, l'équipe affirme ne pas avoir de rapports crédibles de retraits sur la version actuelle 2.4.7.
Le fondateur Nicolas Dorier a dit que l'attaquant s'était connecté en tant qu'administrateur sur les serveurs affectés, bien que l'équipe n'ait pas encore déterminé comment. Jusqu'à présent, l'enquête a révélé des traces de vulnérabilités antérieures à la version 2.4.2.
La violation marque au moins la deuxième fois en trois mois où des attaquants ont volé des fonds à partir d'instances BTCPay Server exécutant des versions antérieures à 2.4.2. Cette version a corrigé une faille critique en août, permettant à des attaquants distants de récupérer les identifiants du nœud Lightning et de vider les wallets connectés.
Même alors, le bogue était déjà sous exploitation active.
Une wallet chaude BTCPay Server vaut-elle le risque ?
Les fournisseurs d'hébergement ont également agi rapidement. LunaNode et d'autres ont peut-être arrêté automatiquement les instances clients pour bloquer les attaques sur les versions plus anciennes, selon l'équipe.
Dorier exécute la version 2.4.7 avec un wallet chaud lui-même. Toutefois, le fondateur a averti contre le maintien de grandes sommes sur n'importe quel serveur.
Ne mettez pas plus dans votre wallet chaud que ce que vous êtes prêt à perdre. Nous ne pouvons pas garantir que cela ne se reproduira pas.
Nicolas Dorier, X
L'incident s'inscrit dans un schéma plus large affectant l'infrastructure Bitcoin auto-hébergée. Core Lightning a récemment averti que les attaquants ciblent les nœuds non corrigés. Dans les deux cas, la correction existait avant le vol, ce qui signifie que le point le plus faible était un opérateur qui a installé une instance BTCPay Server une seule fois et ne l'a jamais mise à jour.
L'article Is Your BTCPay Server Safe? What the Hot Wallet Drain Investigation Shows est apparu en premier sur BeInCrypto.