BTCPay Server, le logiciel libre et gratuit que les entreprises utilisent pour accepter le Bitcoin, a demandé dimanche aux opérateurs d’arrêter leurs instances après des signalements indiquant que des pirates vidaient les portefeuilles actifs sur les serveurs touchés, a rapporté Decrypt. Le projet a publié cet avertissement à 17 h 25, heure de l’Est, le 1er novembre 2026, indiquant qu’il recevait des signalements de portefeuilles actifs vidés et demandant aux opérateurs d’exécuter son script d’arrêt jusqu’à la fin de l’enquête.
Environ deux heures plus tard, le fondateur Nicolas Dorier a déclaré que les signalements semblaient concerner des versions antérieures à la version 2.4.2 et que l’attaquant s’était connecté aux serveurs touchés avec des droits d’administrateur. Le projet a ensuite indiqué que son enquête avait identifié un vecteur d’attaque visant les instances exécutant la version 2.4.1, publiée le 23 juillet, ou une version antérieure, selon sa mise à jour de suivi.
Points clés
• BTCPay Server a lancé son avertissement de mise à l’arrêt le dimanche 1er novembre 2026 à 17 h 25, heure de l’Est.
• Le projet a indiqué que le vecteur d’attaque visait la version 2.4.1, publiée le 23 juillet, ou les versions antérieures.
• BTCPay a publié jeudi la version 2.4.7 sous la forme d’une mise à jour d’urgence corrigeant une vulnérabilité critique et plusieurs vulnérabilités de gravité moyenne.
• Les failles de la version 2.4.7 ont été mises au jour par le scanner de logiciels open source de pointe d’Anthropic.
• Certains hébergeurs, dont LunaNode, ont automatiquement arrêté les instances BTCPay afin d’empêcher l’exploitation des anciennes versions.
Un logiciel auto-hébergé sans interrupteur central
Comme BTCPay est auto-hébergé, chaque commerçant l’exécute sur son propre serveur et aucun opérateur central ne peut désactiver les instances à sa place. C’est pourquoi le projet a lancé un appel public pour que les opérateurs interviennent eux-mêmes.
Le risque concerne la configuration facultative du portefeuille à chaud, dans laquelle la phrase de récupération du commerçant est stockée sur le serveur connecté à Internet afin que celui-ci puisse signer automatiquement les transactions. La documentation de BTCPay sur les portefeuilles qualifie elle-même cette fonctionnalité de « DANGER » et avertit qu’elle comporte des risques pour la sécurité. Le projet a déclaré n’avoir reçu aucun signalement crédible de vidage de portefeuilles à chaud chez les utilisateurs de la dernière version 2.4.7, et a demandé à toute personne touchée d’envoyer les détails et les journaux à son équipe de sécurité.
La mise à jour d’urgence a été publiée quelques jours avant la parution des signalements. BTCPay n’a pas précisé si les attaques avaient exploité l’une des failles corrigées dans la version 2.4.7, ni révélé combien de serveurs avaient été touchés ou quelle quantité de bitcoins avait été dérobée.
Un nouvel avertissement après celui d’août
Il s’agit de la deuxième alerte de sécurité qui touche le projet cette année. En août, BTCPay avait averti qu’une vulnérabilité critique dans toutes les versions antérieures à la 2.4.2 était activement exploitée et avait demandé aux utilisateurs de mettre leur logiciel à jour ou de l’arrêter. Des soutiens ont ensuite financé une prime de récupération équivalant à 10 % des fonds volés restitués, plafonnée à 3 BTC. Le dernier incident rappelle aux opérateurs le même remède que le projet préconise depuis le début de l’année : utiliser un logiciel à jour.
Pourquoi c’est important
Les commerçants qui acceptent le bitcoin sans passer par un prestataire dépositaire comptent sur BTCPay et des outils similaires pour détenir et transférer eux-mêmes leurs fonds. Une faille exposant les portefeuilles à chaud met donc directement en péril les revenus de leur activité. Cet épisode montre également à quel point un projet auto-hébergé doit rapidement compter sur le respect volontaire des consignes, puisque son seul levier consiste à dire aux opérateurs quoi faire. Pour les commerçants, la différence concrète se situe entre les portefeuilles à chaud automatisés et les configurations où les clés restent hors ligne.
Les éléments à surveiller
Les prochains éléments à suivre sont les conclusions de l’enquête de BTCPay, notamment pour savoir si les vidages sont liés aux vulnérabilités corrigées dans la version 2.4.7, ainsi que toute information sur le nombre de serveurs touchés ou les bitcoins dérobés. Le projet a demandé aux opérateurs concernés de lui transmettre leurs journaux, ce qui pourrait contribuer à établir les faits.
Publié initialement sur CoinPulseHQ : https://coinpulsehq.com/btcpay-server-hot-wallet-drains-shutdown/