BTCPay Server, un processeur de paiements en cryptomonnaies open source, a lancé une enquête de sécurité urgente après des signalements de retraits non autorisés depuis des portefeuilles chauds. Dans une première alerte publiée le 2 novembre, l’équipe de développement a conseillé aux opérateurs de mettre temporairement leurs instances hors ligne à l’aide de scripts d’arrêt, le temps que les enquêteurs s’emploient à déterminer le mécanisme de la faille. Depuis, l’équipe a circonscrit le principal vecteur aux serveurs non corrigés exécutant la version 2.4.1 ou une version antérieure, et confirmé qu’aucun signalement crédible de vidage de portefeuille ne concernait la dernière version, la 2.4.7.

L’incident constitue le deuxième problème majeur de sécurité ayant touché le projet ces derniers mois, après un exploit survenu en août impliquant la compromission d’identifiants administratifs du Lightning Network. Lors de cette nouvelle faille, les attaquants ont réussi à obtenir des privilèges d’administrateur complets sur des instances vulnérables, ce qui leur a permis de lancer des opérations de transfert acheminant directement des fonds opérationnels en ligne vers des destinations externes non autorisées. Le cofondateur de BTCPay Server, Nicolas Dorier, a confirmé que les nœuds publics fonctionnant sous la version 2.4.7 n’avaient absolument pas été affectés, bien que les développeurs n’aient pas encore révélé publiquement la faille technique précise exploitée pour détourner les comptes administrateur.

Afin de limiter davantage l’exposition dans l’ensemble de l’écosystème, plusieurs fournisseurs d’hébergement tiers, dont LunaNode, ont rapidement fermé automatiquement les serveurs clients exposés. BTCPay Server n’a pas communiqué de chiffres concernant le montant total des pertes ni le nombre de machines compromises, mais l’équipe a exhorté les opérateurs qui s’appuient sur une infrastructure auto-hébergée à effectuer immédiatement la mise à jour vers la version 2.4.7 et à transmettre les journaux système en cas de suspicion d’activité non autorisée. L’organisation a rappelé l’importance d’appliquer des pratiques de sécurité rigoureuses et a vivement recommandé aux commerçants de limiter les montants conservés dans leurs portefeuilles connectés et de transférer les soldes plus importants vers un stockage hors ligne à froid jusqu’à la conclusion de l’enquête.