Veille menaces / Attaque
BTCPay Server : des attaquants vident les portefeuilles chauds de serveurs de paiement auto-hébergés pas à jour
Le 1er novembre 2026, des exploitants de BTCPay Server, un processeur de paiement open source que les commerçants hébergent eux-mêmes, ont signalé des vols de bitcoins et de litecoins dans leurs portefeuilles chauds. Selon BTCPay, les attaques visaient des serveurs en version 2.4.1 ou antérieure et exploitaient, par une autre méthode, une vulnérabilité corrigée dans la 2.4.2 en août. La société d'analyse blockchain Bitquery a retracé au moins 1,63 M$ pris en 682 prélèvements.
- Secteur
- Tous secteurs
- Point d'entrée
- Faille logicielle
- Produit ou fournisseur
- BTCPay Server
- Comment c'est arrivé
- Selon BTCPay, les attaques visaient des serveurs en BTCPay Server 2.4.1 (sortie le 23 juillet 2026) ou antérieure, et les attaquants ont « utilisé une autre méthode pour exploiter la vulnérabilité corrigée dans la 2.4.2 », sortie le 7 août. Cette faille d'août permettait à un attaquant distant non authentifié d'obtenir des fichiers d'identifiants .macaroon pour LND. BTCPay n'a pas publié de détails techniques et dit ne pas savoir depuis quand la faille est exploitée.[1][2] Vérifié le 10 nov. 2026
- Ce qui a été volé
- Des bitcoins et des litecoins pris dans les portefeuilles chauds des serveurs touchés : 18,38 BTC et 3 405 LTC retracés par Bitquery. Selon BTCPay, les fonds dont les clés ne sont pas sur le serveur, dont les portefeuilles matériels, n'ont pas été signalés comme touchés.[1][3] Vérifié le 10 nov. 2026
- Qui est touché
- Les commerçants et exploitants qui font tourner BTCPay Server 2.4.1 ou antérieure avec un portefeuille chaud. Aucun nombre de victimes n'est public ; Bitquery précise qu'il compte des transactions, « pas des serveurs ni des victimes ».[1][3] Vérifié le 10 nov. 2026
- Acteur
- Non attribué
Chronologie
- BTCPay publie la 2.4.2 et demande une mise à jour immédiate : une faille permettait à un attaquant non authentifié d'obtenir des fichiers d'identifiants .macaroon de LND, et BTCPay indique qu'elle a été exploitée et que des fonds ont été volés. [2]
- Premier prélèvement que Bitquery attribue au voleur, à 8 h 22 UTC. [3]
- 87 % des fonds partent en une vague entre 14 h 12 et 22 h 16 UTC, selon Bitquery. BTCPay reçoit le premier signalement de vol à 20 h 56 UTC, demande à des hébergeurs dont LunaNode de couper des instances, et prévient la communauté à 22 h 25 UTC. [1][3]
- BTCPay indique que les versions 2.4.1 et antérieures sont touchées et demande à ces utilisateurs de passer sur un serveur neuf avec un nouveau portefeuille et une nouvelle seed, plutôt que de restaurer l'ancien. Bitquery retrace 1,63 M$ en 682 prélèvements, dont 267 arrivés après l'alerte de BTCPay. [1][3]