Des pirates vident les bitcoins des boutiques qui n'ont pas mis à jour leur logiciel BTCPay

Les premiers signalements sont arrivés le soir du 1er novembre. Des exploitants de BTCPay Server, un logiciel libre qui permet aux boutiques en ligne d'encaisser des paiements en bitcoins, voient leurs portefeuilles se vider. Des bitcoins et des litecoins partent vers des adresses inconnues, sans aucune autorisation.

Le projet a d'abord demandé à tous les exploitants de couper leur serveur le temps de l'enquête. Il a aussi demandé aux hébergeurs de serveurs privés virtuels (VPS) de mettre hors ligne, par précaution, les instances touchées. Le 2 novembre, selon BleepingComputer, l'équipe a identifié le point commun : toutes les victimes utilisaient la version 2.4.1, sortie le 23 juillet 2026, ou une version plus ancienne.

Une faille corrigée en août, exploitée en novembre

Selon BleepingComputer, l'enquête cherche à comprendre comment l'attaquant a pu se connecter comme administrateur sur des instances antérieures à la version 2.4.2, publiée le 7 août. D'après le rapport d'incident de BTCPay, les fonds volés venaient des « portefeuilles chauds », c'est-à-dire ceux dont la clé de dépense est stockée sur le serveur. Les portefeuilles dont les clés sont conservées ailleurs, par exemple sur un portefeuille matériel, n'ont pas été touchés.

Le projet n'en est pas à sa première alerte. Le 7 août, il avait demandé de passer d'urgence à la version 2.4.2. Une faille critique était alors exploitée pour voler des fonds sur des nœuds Lightning (LND), le réseau de paiements rapides de Bitcoin. Tous les exploitants n'ont visiblement pas suivi. Selon BleepingComputer, la version 2.4.7, la plus récente, est sortie en urgence après la publication d'une autre faille critique le 29 octobre. Celle-ci aurait été trouvée à l'aide d'un outil d'analyse de code d'Anthropic. Selon Nicolas Dorier, cité par le site, les indices pointent plutôt vers des failles des versions antérieures à la 2.4.2.

Le fondateur du projet, Nicolas Dorier, précise que les attaques ne visent pas les serveurs publics de BTCPay. Le projet affirme n'avoir « aucun signalement crédible » de vol chez les utilisateurs de la version 2.4.7. Ni le montant volé, ni le nombre de serveurs touchés n'ont été communiqués.

Que faire si vous exploitez un serveur BTCPay ?

Comme souvent, ces vols ne viennent pas d'une faille inconnue : ils visent des serveurs restés plusieurs mois sans mise à jour.

• Vérifiez votre version. En 2.4.1 ou plus ancienne, mettez l'instance hors ligne au plus vite.
• Passez en 2.4.7. Installation classique : menu Server Settings, puis Maintenance, puis Update. Installation Docker : connectez-vous en SSH, passez administrateur avec sudo su -, entrez dans le dossier avec cd btcpayserver-docker, puis lancez ./btcpay-update.sh.
• Considérez comme exposés les fonds d'un portefeuille chaud resté sur une ancienne version. Le projet recommande de transférer ce qu'il reste, puis de repartir sur un nouveau serveur avec un nouveau portefeuille, même en l'absence de vol. Il faut aussi changer les identifiants auxquels l'ancien serveur avait accès (hébergeur, SSH, API, Lightning).
• En cas de perte, écrivez à security@btcpayserver.org avec les détails, et portez plainte.

Ce n'est pas le premier logiciel de cryptomonnaies à servir de porte d'entrée cet automne, comme l'a montré l'outil piégé de Polymarket. La question à suivre : combien de serveurs tournaient encore sur une version de juillet, et quelles sommes ont été volées ?