Piratage de BTCPay Server : des hot wallets bitcoin vidées, les serveurs à couper

Si vous exploitez un serveur de paiement $Bitcoin, lisez cette phrase jusqu’au bout, puis coupez-le. BTCPay Server, le service de paiement bitcoin auto-hébergé le plus utilisé, confirme que des attaquants vident des hot wallets sur des installations anciennes. Tous les exploitants doivent mettre leur instance hors ligne jusqu’à la fin de l’enquête.

Piratage de BTCPay Server : que s’est-il passé ?

Tard dans la soirée du samedi 1er novembre, l’équipe de BTCPay a lancé une alerte d’urgence : elle recevait des signalements selon lesquels des hot wallets reliées à des instances BTCPay étaient vidées par des tiers non autorisés. La consigne était sans ambiguïté : arrêter le serveur avec le script ./btcpay-down.sh et attendre.

Dimanche, l’équipe de réponse aux incidents avait circonscrit le vecteur d’attaque. Selon le projet, sont concernées les installations en version 2.4.1 du 23 juillet 2026 ou antérieure. Pour la version actuelle 2.4.7, aucun signalement crédible de portefeuille vidé n’a été reçu.

Le cofondateur Nicolas Dorier a ajouté un détail inquiétant : l’attaquant s’est connecté aux instances touchées avec des droits d’administrateur. La manière dont il a obtenu cet accès reste inconnue. Les serveurs publics du projet tournent eux-mêmes sous 2.4.7 et ont été épargnés.

Combien de bitcoins ont été volés lors du piratage de BTCPay ?

Personne ne le sait pour l’instant, et BTCPay Server n’a avancé aucun chiffre. On ignore aussi bien le nombre de serveurs compromis que celui des exploitants ayant subi des pertes. Les victimes sont invitées à transmettre les détails de l’incident et les journaux du serveur à l’équipe de sécurité, afin que l’ampleur puisse seulement être chiffrée.

Les hébergeurs ont réagi vite. LunaNode et d’autres ont coupé automatiquement les instances anciennes. Si votre tableau de bord BTCPay s’est soudain éteint ce week-end, c’est probablement la raison.

S’agit-il de la même faille BTCPay qu’en août ?

Pas tout à fait, mais le schéma est connu. En août, BTCPay Server avait alerté sur une faille activement exploitée, qui permettait à des attaquants de récupérer des accès administrateur LND et d’atteindre les portefeuilles Lightning connectés. Le défaut avait été corrigé avec la version 2.4.2, et le projet avait promis une récompense de 10 % des fonds récupérés, plafonnée à 3 BTC.

La faille d’août ne touchait expressément pas les hot wallets on-chain. Celle-ci, si. Elle survient six semaines après l’avertissement de Core Lightning sur des attaquants qui recherchent de façon ciblée les nœuds Lightning anciens et non corrigés. Trois incidents en trois mois, un seul message : l’infrastructure de paiement bitcoin qui n’est pas mise à jour est la cible d’attaques actives.

Que doivent faire les exploitants de BTCPay Server maintenant ?

• Couper l’instance jusqu’à ce que BTCPay Server lève l’alerte, même si vous êtes sur une version récente. Selon le projet, la 2.4.7 n’est pas concernée, mais l’origine de la connexion administrateur n’est pas élucidée.
• Vérifier les avoirs de la hot wallet et transférer tout ce qui reste vers un stockage à froid. BTCPay recommande depuis toujours de ne garder dans la hot wallet que le fonds de roulement nécessaire.
• Conserver les journaux. Si vous constatez des transactions inexpliquées, ne réinitialisez pas le serveur. Envoyez les journaux à l’équipe de sécurité de BTCPay.
• Mettre à jour avant le redémarrage. Ne relancez l’instance qu’en version 2.4.7 ou dans une version corrigée ultérieure.
• Renouveler les identifiants de chaque compte administrateur du serveur et de chaque service qui utilise le même mot de passe.