Faille de sécurité LNbits : la version 1.7.0 met fin aux vols sur les portefeuilles Lightning

Si vous exploitez votre propre serveur LNbits, il faut agir maintenant : toutes les versions antérieures à la 1.7.0 contiennent une faille de sécurité que des attaquants ont utilisée pour retirer des bitcoins de portefeuilles Lightning. Le projet a publié la version 1.7.0 le 10 novembre 2026 et précise qu’une mise à jour ne suffit pas si des identifiants ont déjà fuité. Les exploitants doivent donc également réinitialiser toutes les clés de portefeuille et remplacer les identifiants de leur source de financement.

Pour les investisseurs qui détiennent leurs bitcoins uniquement sur une plateforme ou dans une application classique, rien ne change. Sont concernés les particuliers et organisations qui ont installé LNbits eux-mêmes, ainsi que tous ceux qui utilisent un compte Lightning sur le serveur LNbits d’un tiers, par exemple via une Bolt Card ou une caisse en magasin.

Faille de sécurité LNbits : ce que l’on sait depuis le 8 novembre

Selon le projet, la vulnérabilité a été découverte le dimanche 8 novembre 2026. D’après Cointelegraph, LNbits a d’abord conseillé ce jour-là de désactiver l’extension Paywall pendant l’analyse. Environ une heure plus tard est venue la demande, bien plus pressante, d’arrêter immédiatement tous les serveurs LNbits, une vague d’attaques étant en cours.

L’avis de sécurité officiel relatif à la version 1.7.0 indique que les fonds de toutes les versions antérieures sont exposés à un risque de vol. LNbits n’a pas encore révélé le fonctionnement technique exact de l’attaque. Un rapport distinct détaillant l’exploit doit suivre. Un exploit est une méthode d’attaque qui tire parti d’une faiblesse précise d’un logiciel pour faire quelque chose que l’exploitant n’a pas autorisé.

On ignore donc aussi laquelle des nombreuses modifications de la 1.7.0 ferme précisément la voie utilisée. Le site spécialisé SpendNode souligne que les notes de version n’établissent pas ce lien. Pour les exploitants, cela signifie qu’il est impossible de déterminer avec certitude si leur propre instance a été attaquée par cette faille précise. Quiconque avait une version plus ancienne en ligne a intérêt à envisager le pire.

Le logiciel Lightning LNbits : un serveur pour de nombreux petits comptes

LNbits est un logiciel libre qui s’appuie sur une source de financement Lightning pour gérer un nombre illimité de sous-comptes. Le Lightning Network est un réseau de paiement construit au-dessus de la blockchain Bitcoin, par lequel de petits montants circulent en quelques secondes pour quelques satoshis de frais. Un satoshi est la cent-millionième partie d’un bitcoin.

La source de financement (« funding source » dans le projet) peut être un nœud Lightning propre sous LND ou Core Lightning, un prestataire de paiement ou une autre instance LNbits. LNbits ne détient lui-même aucune clé privée pour les bitcoins sur la blockchain. Il conserve en revanche les identifiants de la source de financement et les clés des différents portefeuilles. Quiconque s’empare de ces données peut déclencher des paiements dans la limite du solde.

C’est précisément ce qui fait le succès du logiciel : une association, un café ou un commerçant peut gérer de nombreux comptes, caisses et cartes avec un seul nœud. Le fondateur de LNbits, Ben Arc, a déclaré en mai qu’environ 200 000 personnes exploitaient elles-mêmes le logiciel ; Cointelegraph cite ce chiffre. Il n’est pas vérifiable de manière indépendante, mais il donne un ordre de grandeur.

Si vous préférez par principe conserver vos cryptos sans serveur propre, le comparatif des wallets logiciels présente les différences entre portefeuilles applicatifs. Le bitcoin s’échangeait le matin du 11 novembre autour de 73 800 dollars selon CoinGecko ; la mise en perspective à plus long terme figure dans notre prévision du cours du bitcoin.

Arrêt d’urgence : LNbits a mis hors ligne ses propres instances hébergées

Outre l’avertissement adressé aux exploitants auto-hébergés, LNbits a aussi agi chez lui. Selon Cointelegraph, le projet a mis hors ligne ses propres installations hébergées. Les titulaires d’un compte n’avaient donc temporairement plus accès à leur solde, mais étaient aussi protégés contre de nouvelles sorties par la faille.

Pour un hot wallet, l’arrêt pur et simple est la seule mesure efficace dans l’immédiat. Un hot wallet est un portefeuille dont les clés se trouvent sur un ordinateur connecté à internet et qui peut donc déclencher des paiements à tout moment. Tant que la voie d’attaque reste ouverte, seul un serveur éteint empêche de nouveaux satoshis de s’échapper.

Mise à jour de sécurité 1.7.0 : connexion, extensions et paiements remaniés

La nouvelle version est parue sur GitHub le 10 novembre 2026. LNbits la présente comme une mise à jour de sécurité critique, avec un durcissement étendu et des corrections importantes de vulnérabilités. Les changements portent sur trois domaines : la connexion, la gestion des extensions et le traitement des paiements. La publication s’ouvre sur un appel à mettre à jour immédiatement.

Parmi les nouveautés figure une fonction permettant au super-administrateur de réinitialiser d’un coup toutes les clés de portefeuille d’une instance. Selon SpendNode, s’y ajoutent une connexion à deux facteurs par application TOTP et des mises à jour automatiques des extensions. TOTP désigne les mots de passe à usage unique basés sur le temps, que les applications d’authentification régénèrent toutes les 30 secondes.

LNbits exige qu’aucun serveur ne soit plus démarré avec une version antérieure. Ce n’est qu’avec la 1.7.0 que l’instance peut de nouveau fonctionner.

Préjudice de l’exploit : 2,3 millions de satoshis chez un exploitant

LNbits n’a communiqué ni montant total ni nombre d’instances touchées. Un seul cas est à ce jour documenté publiquement : selon Cointelegraph, un exploitant a raconté que des attaquants avaient retiré environ 2,3 millions de satoshis de son instance par le biais de comptes nouvellement créés, avant qu’il puisse éteindre le serveur. Cela représente 0,023 bitcoin, soit environ 1 700 dollars au cours du 11 novembre.

Le passage par des comptes nouvellement créés est remarquable. De nombreux observateurs y voient l’indice que les attaquants ont obtenu au sein de l’instance des droits qui ne leur revenaient pas. LNbits n’a pas confirmé cette lecture. Selon Cointelegraph, Ben Arc a évoqué des journées difficiles au cours desquelles l’équipe a achevé la version 1.7, après que des utilisateurs et le projet lui-même eurent subi des pertes.

Au regard des grands piratages de plateformes, le préjudice connu est modeste. Pour les exploitants, l’essentiel est ailleurs : un serveur LNbits ayant accès à un nœud Lightning peut, dans le pire des cas, perdre la totalité du solde sortant de ce nœud, et pas seulement l’argent d’un compte.

Comment vous protéger de l’exploit LNbits

Ce qui s’est passé : le 8 novembre 2026, une faille de sécurité a été découverte dans LNbits, par laquelle des attaquants ont retiré des fonds d’instances Lightning auto-hébergées. Toutes les versions antérieures à la 1.7.0 sont concernées, le correctif est paru le 10 novembre. Aucun montant total du préjudice n’est connu ; un exploitant a signalé selon Cointelegraph une perte d’environ 0,023 bitcoin (au 11 novembre).

Êtes-vous concerné ? Oui, si vous avez exploité un serveur LNbits sous une version antérieure à la 1.7.0 entre la révélation de la faille et votre mise à jour, ou si vous utilisez un compte sur un tel serveur. Non, si vous détenez vos bitcoins uniquement sur une plateforme, dans une application de portefeuille classique ou sur un portefeuille matériel, et qu’aucun service que vous utilisez ne tourne sous LNbits. Des comptes nouveaux inhabituels et des paiements sortants que personne n’a déclenchés indiquent qu’une instance a effectivement été attaquée.

1. Mise à jour vers la 1.7.0 : ne redémarrez votre serveur LNbits qu’après avoir installé la version 1.7.0, et laissez définitivement éteintes les versions antérieures.
2. Nouveau serveur en cas de doute : si vous constatez des comptes inconnus ou des paiements inexpliqués, installez LNbits 1.7.0 sur un serveur fraîchement configuré, après avoir sauvegardé les fichiers journaux de l’ancien système.
3. Réinitialiser les clés de portefeuille : en tant que super-administrateur, ouvrez la section Users dans les paramètres, choisissez « Reset Wallet Keys », puis transmettez à tous les utilisateurs les nouvelles clés pour leurs applications connectées.
4. Sécuriser à nouveau la source de financement : révoquez auprès du nœud Lightning ou du service de paiement toutes les clés API et tous les macaroons utilisés par LNbits, créez-en de nouveaux et saisissez-les dans les paramètres de la funding source.
5. Retirer les fonds : ne laissez sur le serveur que l’argent nécessaire au fonctionnement courant et transférez le reste vers un portefeuille on-chain dont les clés sont conservées hors ligne.

Notre guide conserver ses cryptos en sécurité explique les bases d’une conservation sûre, et le comparatif des portefeuilles matériels présente les appareils adaptés.

Extensions NWC, LNDHub et Bolt Cards : recréer les connexions

LNbits vit de ses extensions, et c’est là que se situe une partie du travail de suivi. L’avis de sécurité cite six extensions dont les exploitants doivent révoquer ou supprimer les connexions existantes, puis les recréer avec de nouveaux identifiants : NWC Provider, LNDHub, Bolt Cards, TPOS, Bleskomat et FOSSA.

Ces noms recouvrent des usages très concrets. NWC signifie Nostr Wallet Connect, un procédé qui permet à des applications de déclencher à distance un paiement depuis un portefeuille. LNDHub relie des applications de portefeuille mobiles au serveur. Les Bolt Cards sont des cartes NFC permettant de payer en Lightning à la caisse, TPOS est une extension de caisse destinée aux commerçants. Bleskomat et FOSSA sont des distributeurs de bitcoins raccordés via LNbits.

Chacune de ces connexions dispose de ses propres clés. Qui se contente de réinitialiser les clés de portefeuille mais laisse fonctionner une ancienne connexion NWC ou une Bolt Card déjà émise laisse peut-être une porte ouverte. Le projet considère également comme compromises toutes les autres valeurs secrètes des paramètres LNbits et recommande de les remplacer.

Si vous exploitez un BTCPay Server en plus de LNbits, vous trouverez les règles de base des accès Lightning dans notre article sur la sécurisation des accès Lightning de BTCPay.

Un hot wallet sur le serveur : seuls les fonds d’exploitation ont leur place en ligne

La leçon la plus importante figure peut-être à la fin de l’avis de LNbits et vaut bien au-delà de ce cas. LNbits est un hot wallet, y lit-on. Seul l’argent nécessaire au fonctionnement courant doit donc se trouver sur le serveur. Les exploitants doivent contrôler régulièrement les soldes et les paiements sortants, et transférer les excédents vers un portefeuille on-chain dont les clés sont conservées hors ligne.

Pour un commerçant équipé d’une caisse Lightning, cela implique une routine fixe : les recettes s’accumulent dans la journée sur le nœud, et chaque soir ou chaque semaine l’excédent part vers un cold wallet. Un cold wallet est l’inverse du hot wallet : ses clés se trouvent sur un appareil sans connexion internet permanente. Les différences entre les appareils courants sont présentées dans le comparatif des portefeuilles matériels.

Si vous ne souhaitez pas entretenir de serveur, une application de portefeuille bien maintenue est souvent un meilleur choix. Un serveur Lightning propre apporte de l’indépendance, mais suppose que quelqu’un remarque ce type de mise à jour un dimanche soir.

Bolt Card et caisse associative : les comptes sur des serveurs LNbits tiers

De nombreux utilisateurs de Lightning n’exploitent pas LNbits eux-mêmes, mais y ont seulement un compte. C’est typiquement le cas des rencontres bitcoin qui remettent des Bolt Cards à leurs membres, des cafés dotés d’une caisse Lightning ou des services qui offrent un portefeuille par lien. Ces utilisateurs ne peuvent pas installer la mise à jour eux-mêmes : tout dépend de la réaction de l’exploitant.

Il est judicieux d’interroger directement l’exploitant : le serveur tourne-t-il sous la 1.7.0, les clés ont-elles été réinitialisées et y a-t-il eu des sorties suspectes ? En attendant la réponse, aucun montant important n’a sa place sur un tel compte. Si vous recevez un nouveau lien d’accès ou une nouvelle carte après la réinitialisation, utilisez exclusivement ceux-ci. Les anciens liens et cartes n’ont plus de valeur, et dans le pire des cas un attaquant les connaît aussi.

Si vous achetez et conservez vos bitcoins sur une plateforme agréée dans l’UE, vous n’êtes en revanche pas concerné par cette faille. Les prestataires titulaires d’une licence au titre du règlement européen MiCA figurent dans le comparatif des plateformes crypto réglementées.

LNbits 1.7.0 : seules de nouvelles clés rendent la mise à jour efficace

1. Installez la version 1.7.0, réinitialisez toutes les clés de portefeuille et remplacez les identifiants de votre funding source avant que le serveur n’accepte de nouveau des paiements. Pour les réserves conservées hors du serveur, un appareil du comparatif des portefeuilles matériels convient.
2. Recréez les connexions pour NWC, LNDHub, Bolt Cards, TPOS, Bleskomat et FOSSA. Pour un usage courant sans serveur propre, le comparatif des wallets logiciels aide à choisir une application bien entretenue.
3. Suivez l’analyse des erreurs annoncée par LNbits et, d’ici là, ne laissez en ligne que les fonds d’exploitation. Si vous préférez détenir vos bitcoins auprès d’un prestataire agréé, vous le trouverez dans le comparatif des plateformes réglementées MiCA.

(Au 11 novembre 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)