BTCPay Server a récemment identifié un vecteur d’attaque touchant les versions plus anciennes de son logiciel de paiement suite à des rapports concernant le drainage des fonds des portefeuilles chauds des utilisateurs. Lundi, la plateforme de paiement Bitcoin a indiqué que son enquête avait révélé un vecteur d’attaque ciblant les instances fonctionnant avec la version 2.4.1 ou antérieure, publiée le 23 juillet 2026. Le projet a précisé n’avoir reçu aucun rapport crédible de drainage de portefeuilles chauds parmi les utilisateurs utilisant sa dernière version, la 2.4.7, et a fortement recommandé aux opérateurs de mettre à jour leurs installations.
Contexte et recommandations
Ces révélations font suite à un avertissement antérieur, au cours duquel BTCPay avait incité les opérateurs à arrêter leurs instances de serveur pendant l’investigation des retraits non autorisés. L’organisation a partagé des instructions pour aider les opérateurs à éteindre leurs serveurs. BTCPay n’a pas divulgué le nombre d’opérateurs affectés, la valeur des fonds volés ni les détails techniques précisant comment les attaquants ont accédé aux portefeuilles. Les utilisateurs touchés ont été invités à soumettre des informations et des logs à l’équipe de sécurité.
Incidents récents
Les rapports sur ces failles de sécurité interviennent moins de trois mois après que BTCPay a restreint l’accès à distance à Lightning, à la suite d’une attaque en août qui a exploité une vulnérabilité pour obtenir des informations d’identification du Daemon Lightning Network (LND) et voler des fonds. Pour l’instant, il reste flou de savoir si le dernier vecteur d’attaque est lié à la vulnérabilité d’août.