BTCPay Server a conseillé aux utilisateurs d’anciennes versions de migrer après qu’une vulnérabilité a été exploitée pour dérober des fonds dans des portefeuilles chauds. Selon Odaily, le processeur de paiements Bitcoin open source a reçu plusieurs signalements le 1er novembre concernant des retraits non autorisés depuis des portefeuilles chauds Bitcoin et Litecoin. Le 2 novembre, l’équipe du projet a déclaré que les attaques visaient les serveurs exécutant la version 2.4.1 ou une version antérieure.

La vulnérabilité a été corrigée dans la version 2.4.2, le 7 août. Le fondateur de BTCPay Server, Nicolas Dorier, a déclaré que les serveurs exécutant des versions antérieures à la 2.4.2, en particulier la 2.4.1, étaient concernés ; aucun signalement crédible de pertes n’a été reçu de la part d’utilisateurs exécutant la dernière version, la 2.4.7. Certains fournisseurs de services, dont LunaNode, ont automatiquement mis hors service les anciennes instances à risque.

Le projet a conseillé aux utilisateurs de la version 2.4.1 ou antérieure de transférer les fonds restants des anciens portefeuilles actifs vers de nouveaux portefeuilles créés à l’aide de nouvelles phrases de récupération, de mettre hors ligne les anciens serveurs et de conserver les journaux pertinents. Les utilisateurs doivent ensuite installer la dernière version sur une nouvelle machine virtuelle et y connecter les nouveaux portefeuilles, sans restaurer intégralement l’ancien serveur. Une simple mise à jour du logiciel pourrait ne pas éliminer le risque, car les attaquants ont peut-être conservé l’accès aux anciens serveurs. Les fonds détenus en dehors des serveurs, notamment dans des portefeuilles matériels, n’ont pas été affectés.

La vulnérabilité est liée à une vulnérabilité corrigée en août, lorsque des attaquants ont utilisé des identifiants administratifs LND pour prendre le contrôle de nœuds. Aucun numéro CVE ne lui a été attribué et elle ne figure pas dans le catalogue des vulnérabilités exploitées connues de la CISA.