Portefeuille Lightning : cinq alertes de sécurité depuis août, comment protéger votre nœud

Un portefeuille Lightning n’est pas plus sûr que le serveur qui héberge ses clés. Si vous détenez du bitcoin sur Lightning uniquement dans une application mobile répandue, les alertes de sécurité des trois derniers mois ne vous ont pas directement concerné. Si vous exploitez en revanche votre propre nœud Lightning, un BTCPay Server, Alby Hub ou LNbits, vous avez reçu cinq alertes depuis début août, et des fonds ont effectivement été dérobés dans au moins deux cas. La leçon est la même pour les cinq : une mise à jour comble la faille, mais seuls de nouveaux identifiants et un faible solde sur le serveur rendent Lightning à nouveau sûr.

Lightning est au bitcoin ce que la carte bancaire est au livret d’épargne : un moyen de paiement rapide pour les petits montants. C’est précisément pour cette raison que des clés y sont stockées sur des machines connectées en permanence à Internet. Cet article réunit les différents cas, explique le schéma commun et indique quel solde il est raisonnable de laisser sur un nœud Lightning. Le fonctionnement technique du réseau est présenté dans notre texte d’introduction au réseau Lightning de Bitcoin.

Failles de sécurité Lightning depuis août : cinq alertes en trois mois

La série commence le 7 août 2026. BTCPay Server, un logiciel libre très répandu qui permet aux commerçants d’accepter eux-mêmes des paiements en bitcoin, a publié la version 2.4.2 en tant que correctif d’urgence. Selon l’avis de sécurité du projet, un attaquant pouvait récupérer sans authentification les fichiers d’autorisation d’un nœud LND connecté. Le projet confirme que des attaquants ont exploité la faille et dérobé des fonds.

Le 28 août, Core Lightning, l’une des trois grandes implémentations du protocole Lightning, a suivi avec la version 26.06.7. La mise à jour a corrigé plusieurs vulnérabilités confirmées. Ceux qui ne pouvaient pas mettre à jour immédiatement devaient redémarrer leur nœud avec l’option --offline. Aucune perte n’avait alors été signalée. Les utilisateurs de Docker ont connu un épilogue : jusqu’au 1er septembre, quatre images diffusaient une version qui s’annonçait comme la 26.06.7 sans contenir les correctifs. Les détails figurent dans notre article sur la faille de sécurité de Core Lightning.

Le 8 septembre, BTCPay Server a signalé un nouveau risque. Des programmes automatisés sondaient de manière ciblée les serveurs sur lesquels des exploitants avaient rouvert à la main l’accès à l’interface LND fermé en août. Le lendemain, Alby Hub, un logiciel permettant d’exploiter son propre nœud Lightning à domicile ou sur un serveur loué, a lancé une alerte : les versions v1.7.0 à v1.18.5 étaient vulnérables si l’interface d’administration était accessible depuis l’Internet public. Un utilisateur a été confirmé comme touché.

Le cas le plus récent concerne LNbits. Le 8 novembre, le projet a découvert une faille par laquelle des attaquants ont siphonné des fonds d’instances auto-hébergées. La version 1.7.0 est parue le 10 novembre, assortie d’une consigne : ne plus démarrer aucun serveur avec une version antérieure. Ce qui s’est passé précisément est décrit dans notre article sur la faille de sécurité de LNbits.

Les cinq cas en un coup d’œil

• 7 août, BTCPay Server 2.4.2 : fichiers d’autorisation de nœuds LND exposés, vols confirmés.
• 28 août, Core Lightning 26.06.7 : plusieurs vulnérabilités, aucune perte signalée, images Docker défectueuses jusqu’au 1er septembre.
• 8 septembre, BTCPay Server 2.4.4 : des robots recherchent des accès LND rouverts, aucune prise de contrôle réussie signalée.
• 9 septembre, Alby Hub : interface d’administration accessible publiquement et vulnérable, un cas confirmé.
• 8 au 10 novembre, LNbits 1.7.0 : vols dans des portefeuilles Lightning, préjudice total inconnu.

Portefeuille Lightning et hot wallet : où sont stockées les clés

Un portefeuille Lightning envoie et reçoit du bitcoin via le réseau Lightning au lieu d’inscrire chaque paiement séparément dans la blockchain. Pour cela, un nœud ouvre des canaux de paiement vers d’autres nœuds. Un canal de paiement est un montant que deux parties bloquent ensemble dans une transaction bitcoin et grâce auquel elles peuvent ensuite se payer mutuellement autant de fois qu’elles le souhaitent.

Pour que le nœud puisse relayer des paiements en quelques secondes, il doit pouvoir signer à tout moment. Ses clés sont donc stockées sur une machine connectée à Internet. C’est exactement la définition d’un hot wallet : un portefeuille dont les clés sont disponibles en ligne. Son pendant est le cold wallet, dont les clés se trouvent sur un appareil sans connexion permanente, comme un portefeuille matériel.

D’où la différence essentielle avec la conservation à long terme. Personne ne peut déplacer via Internet une réserve de bitcoins stockée sur un portefeuille matériel tant que la phrase de récupération est en lieu sûr. Un nœud Lightning, lui, peut déplacer tout ce qui se trouve dans ses canaux et dans son portefeuille on-chain dès qu’un attaquant dispose des bons identifiants. LNbits l’écrit explicitement dans son avis : le logiciel est un hot wallet, et avec les attaques assistées par l’IA, le risque n’a jamais été aussi élevé.

Portefeuille Lightning conservé par un tiers ou nœud personnel : qui les failles ont touché

Lightning existe sous deux formes. Avec un portefeuille Lightning conservé par un tiers, un prestataire exploite le nœud et vous ne voyez qu’un solde dans l’application. Avec un portefeuille en auto-conservation, vous exploitez le nœud vous-même ou laissez une application faire tourner un petit nœud sur votre téléphone. Les cinq alertes concernaient toutes des logiciels que les exploitants installent eux-mêmes : sur un serveur domestique, une solution clés en main comme Umbrel ou Start9, ou une machine louée.

Entre les deux se trouve un troisième groupe, facilement oublié. Si l’on vous a remis une Bolt Card lors d’une rencontre bitcoin, si vous avez payé via une caisse Lightning dans un café ou reçu un portefeuille en cadeau par lien, vous utilisez souvent un compte sur le serveur LNbits de quelqu’un d’autre. Ces utilisateurs ne peuvent pas installer de mise à jour et dépendent de la réaction de l’exploitant.

Il en résulte une répartition simple entre les trois groupes :

• Uniquement un portefeuille applicatif ou une plateforme : pas directement concerné. Mettre l’application à jour ne fait toutefois jamais de mal.
• Compte sur le serveur LNbits d’un tiers : demander à l’exploitant si la version 1.7.0 tourne et si les clés ont été réémises. D’ici là, uniquement de petits montants.
• Nœud personnel, BTCPay Server, Alby Hub ou LNbits : vérifier la version, fermer les accès, renouveler les identifiants.

Accès d’administration ouverts : le schéma commun derrière BTCPay, Alby Hub et LNbits

Les cinq cas ont des causes techniques différentes, mais les trois alertes de BTCPay et d’Alby Hub suivent le même schéma. Une interface destinée au seul exploitant était accessible depuis Internet ou pouvait être sollicitée sans authentification. Chez BTCPay, il s’agissait en août des fichiers d’autorisation du nœud LND, en septembre d’un point d’accès de changement de mot de passe que certains exploitants avaient eux-mêmes rouvert vers l’extérieur. Chez Alby Hub, c’était l’interface d’administration. Chez LNbits, le vecteur d’attaque n’a pas encore été divulgué ; un rapport dédié doit suivre. On sait que, selon Cointelegraph, des attaquants ont créé de nouveaux comptes et s’en sont servis pour siphonner environ 2,3 millions de satoshis d’une seule instance, soit 0,023 bitcoin.

Un satoshi est la cent-millionième partie d’un bitcoin. Le préjudice individuel connu est donc faible. Le préjudice qui aurait été possible ne l’est pas : quiconque détient les identifiants d’un nœud peut déplacer, dans la limite des canaux, la totalité du solde sortant, et pas seulement celui d’un sous-compte.

Concrètement, la protection la plus efficace ne coûte rien. Une interface d’administration accessible uniquement depuis le réseau domestique ou par un tunnel chiffré comme Tor ou WireGuard n’était vulnérable dans aucun des cas d’Alby Hub ni dans celui de BTCPay en septembre. La marche à suivre pour Alby Hub est détaillée dans notre article sur la faille de sécurité d’Alby Hub, et pour BTCPay Server dans le guide pour sécuriser l’accès Lightning.

Macaroons, clés API et clés de portefeuille : pourquoi une mise à jour ne suffit pas

Une mise à jour ferme la voie par laquelle un attaquant est entré. Ce qu’il a emporté auparavant reste valable. BTCPay Server et LNbits insistent tous deux sur ce point. Dans son avis sur la version 1.7.0, LNbits écrit que des identifiants dérobés avant la mise à jour peuvent encore donner accès à un attaquant après celle-ci.

Dans LND, ces identifiants s’appellent des macaroons. Un macaroon est un fichier de clé assorti de droits gradués. Le macaroon administrateur est la clé maîtresse : il permet de déclencher des paiements et de fermer des canaux. LNbits utilise en outre ses propres clés de portefeuille pour chaque sous-compte, ainsi que les identifiants de la source de fonds, c’est-à-dire le nœud ou le service de paiement par lequel l’instance fait transiter son solde.

Le travail après un incident suit donc toujours le même ordre. D’abord la mise à jour, ensuite la révocation et la régénération de toutes les clés, et seulement alors la reprise des paiements par le serveur. LNbits cite six extensions dont les exploitants doivent supprimer puis recréer les connexions : NWC Provider, LNDHub, Bolt Cards, TPOS, Bleskomat et FOSSA. NWC désigne Nostr Wallet Connect, un procédé qui autorise des applications à déclencher à distance un paiement depuis un portefeuille. Une connexion NWC oubliée peut rester une porte ouverte alors que le serveur est à jour depuis longtemps.

En cas de soupçon d’intrusion, les deux projets recommandent un système neuf. LNbits conseille d’installer le logiciel sur un nouveau serveur après avoir sauvegardé les journaux de l’ancien. BTCPay Server recommande de contrôler les paiements sortants, les fermetures de canaux inattendues et les pairs inconnus, et de comparer les soldes avec vos propres relevés.

Recherche de failles assistée par l’IA : les logiciels Lightning sous pression

Un facteur relie les cas au-delà de la technique. L’équipe de Core Lightning a indiqué fin août avoir traité pendant des semaines un nombre inhabituellement élevé de signalements de vulnérabilités générés avec des outils d’IA, dont plusieurs se sont révélés fondés. En novembre, LNbits a explicitement justifié sa recommandation de ne garder que peu d’argent en ligne par la multiplication des attaques assistées par l’IA.

Pour les exploitants, le rythme change. Des failles qui restaient autrefois inaperçues pendant des mois apparaissent plus vite, chez les défenseurs comme chez les attaquants. Les logiciels Lightning libres sont souvent maintenus par de petites équipes. Chez LNbits, deux jours ont séparé la découverte du correctif, et les attaques étaient déjà en cours pendant ce temps. Exploiter son propre nœud exige donc un moyen d’être informé de ces alertes : s’abonner aux canaux d’annonce des logiciels utilisés, vérifier les mises à jour automatiques et ne pas laisser le serveur tourner des mois sans surveillance.

Pour la plupart des investisseurs, c’est un argument contre le serveur personnel. Si vous n’utilisez Lightning que pour des paiements occasionnels, une application bien entretenue vous servira généralement mieux. Les logiciels adaptés figurent dans notre comparatif des portefeuilles logiciels.

Hot wallet et cold wallet : combien de bitcoins laisser sur un nœud Lightning

La règle peut-être la plus importante figure à la fin de l’avis de LNbits et vaut pour tout portefeuille Lightning : seul l’argent nécessaire au fonctionnement courant doit être en ligne. Contrôlez régulièrement les soldes et les paiements sortants, et transférez les excédents vers un portefeuille on-chain dont les clés sont conservées hors ligne.

Le montant de fonctionnement approprié dépend de l’usage. Pour un portefeuille Lightning personnel, ce que vous comptez dépenser dans les prochaines semaines suffit, comme l’argent liquide dans votre porte-monnaie. Un commerçant équipé d’une caisse Lightning a besoin d’une capacité sortante suffisante pour les remboursements et la monnaie à rendre, le reste rejoignant le cold wallet le soir ou chaque semaine. Un nœud qui relaie des paiements pour d’autres a besoin de davantage de capacité de canal, et donc aussi de davantage d’attention.

Le cold wallet lui-même devrait être un portefeuille matériel dont la phrase de récupération est conservée à l’écart de l’appareil. Les appareils adaptés sont comparés dans notre comparatif des portefeuilles matériels. L’essentiel est la séparation : la phrase de récupération de votre réserve n’a rien à faire sur le serveur Lightning, pas même sous forme de fichier dans un dossier de sauvegarde.

Lightning au quotidien : Bolt Card, caisse en magasin et portefeuille applicatif sans serveur personnel

Qui paie avec Lightning sans exploiter de serveur utilise le plus souvent l’une de trois formes. Un portefeuille applicatif sur le téléphone fait tourner le nœud lui-même ou se connecte à un service. Une Bolt Card est une carte NFC qui permet de payer en caisse via Lightning ; le solde se trouve sur le serveur qui a émis la carte. Une caisse Lightning en magasin fonctionne chez le commerçant.

Avec la Bolt Card et les portefeuilles offerts par lien, le risque repose sur l’exploitant. S’il a émis de nouvelles clés après l’incident LNbits, les anciennes cartes et les anciens liens ne valent plus rien. Dans le pire des cas, un attaquant les connaît aussi. Une nouvelle carte ou un nouveau lien fourni par l’exploitant remplace donc toujours l’ancienne version. En l’absence de réponse, un tel compte ne devrait pas contenir plus que le prix d’un café.

Si vous achetez en revanche du bitcoin sur une plateforme et l’y conservez, les failles Lightning des logiciels auto-hébergés ne vous concernent pas. Dans l’UE, un tel prestataire doit disposer depuis la fin de la période transitoire d’un agrément au titre du règlement européen MiCA. Les plateformes qui l’ont obtenu figurent dans notre comparatif des plateformes crypto réglementées. La conservation chez un prestataire ne remplace pas l’auto-conservation : le risque repose alors sur une entreprise supervisée.

Sécuriser un nœud Lightning : cinq réglages par ordre de priorité

Les cinq alertes permettent de dégager un ordre fixe, valable pour tout logiciel Lightning auto-hébergé :

1. Version : BTCPay Server 2.4.4 ou plus avec LND 0.21.1 ou plus, Core Lightning 26.06.7 ou plus avec une image Docker vérifiée, Alby Hub v1.24.0 ou plus, LNbits 1.7.0 ou plus.
2. Accessibilité : interfaces d’administration et interfaces LND uniquement sur le réseau domestique ou via un tunnel ; supprimer les redirections bricolées.
3. Identifiants : après chaque incident, régénérer macaroons, clés API, clés de portefeuille et mots de passe, et recréer les connexions des applications.
4. Solde : uniquement l’argent de fonctionnement sur le nœud, excédents transférés régulièrement vers le cold wallet.
5. Contrôle : examiner une fois par semaine les paiements sortants, les nouveaux comptes et les fermetures de canaux.

Cette liste ne remplace pas l’avis de chaque projet, elle se contente de les ordonner. En cas de nouvel incident, ce qu’écrivent les développeurs eux-mêmes prime toujours.

Utiliser un portefeuille Lightning en sécurité : seul l’argent de fonctionnement va sur le serveur

1. Mettez votre logiciel Lightning à jour, puis renouvelez tous les identifiants. Pour la réserve conservée hors du serveur, vous trouverez un appareil adapté dans le comparatif des portefeuilles matériels.
2. Demandez-vous si vous avez vraiment besoin d’un nœud personnel. Pour des paiements occasionnels, une application bien entretenue issue du comparatif des portefeuilles logiciels suffit souvent.
3. Conservez les montants importants chez un prestataire supervisé ou hors ligne. Les plateformes agréées MiCA sont recensées dans le comparatif des plateformes crypto réglementées.

(Au 12 novembre 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)