Des attaquants ont obtenu un accès administrateur à des instances obsolètes de BTCPay Server et ont vidé leurs portefeuilles chauds. Les traces pointent vers des failles antérieures à un correctif publié en août.

Les pertes sont à la charge des opérateurs qui n’ont jamais effectué de mise à jour, et l’équipe n’a pas encore révélé le montant total des pertes. BTCPay Server est un processeur de paiement gratuit et open source que les commerçants hébergent eux-mêmes pour accepter le Bitcoin. Dans une configuration avec portefeuille chaud, le serveur stocke lui-même les clés privées, ce qui permet au logiciel d’envoyer des fonds sans que l’opérateur ait à signer chaque transaction. Par conséquent, toute personne ayant un accès administrateur à un tel serveur peut transférer ses bitcoins.

Quelles versions les attaquants ont-ils ciblées ?

L’équipe de BTCPay Server a donné l’alerte tard le 1er novembre. Elle a demandé à tous les opérateurs d’arrêter leur instance jusqu’à la fin de l’enquête.

Un message de suivi a ensuite précisé la portée du problème. Le vecteur d’attaque cible la version 2.4.1, publiée le 23 juillet 2026, et toutes les versions antérieures. L’équipe indique toutefois n’avoir reçu aucun signalement crédible de portefeuilles vidés sur la version actuelle, la 2.4.7.

📢 Notre enquête sur l’incident a mis au jour un vecteur d’attaque ciblant les instances exécutant la version 2.4.1 (23 juillet 2026) ou une version antérieure. Nous n’avons reçu aucun signalement crédible de portefeuilles chauds vidés chez les utilisateurs de la dernière version, la 2.4.7. Nous exhortons à nouveau tout le monde à maintenir son BTCPay Server… pic.twitter.com/gYxK4Bb7fc

— BTCPay Server (@BtcpayServer) 2 novembre 2026

Le fondateur Nicolas Dorier a déclaré que l’attaquant s’était connecté en tant qu’administrateur aux serveurs touchés, même si l’équipe n’a pas encore déterminé comment. Jusqu’à présent, l’enquête a mis au jour des traces de vulnérabilités antérieures à la version 2.4.2.

Cette intrusion marque au moins la deuxième fois en trois mois que des attaquants dérobent des fonds sur des instances BTCPay Server exécutant des versions antérieures à la 2.4.2. Cette version a corrigé en août une faille critique qui permettait à des attaquants à distance de récupérer les identifiants des nœuds Lightning et de vider les portefeuilles connectés.

Même à l’époque, la faille était déjà activement exploitée.

Un portefeuille chaud BTCPay Server vaut-il le risque ?

Les hébergeurs ont également réagi rapidement. LunaNode et d’autres ont peut-être arrêté automatiquement les instances de leurs clients afin de bloquer les attaques visant les anciennes versions, indique l’équipe.

Dorier utilise lui-même la version 2.4.7 avec un portefeuille chaud. Le fondateur a toutefois mis en garde contre le fait de conserver des sommes importantes sur un serveur.

Ne mettez pas dans un portefeuille chaud plus que ce que vous êtes prêt à perdre. Nous ne pouvons pas garantir que cela ne se reproduira pas.

Nicolas Dorier, X

Cet incident s’inscrit dans une tendance plus générale touchant les infrastructures Bitcoin autohébergées. Core Lightning a récemment averti que des attaquants ciblaient les nœuds non mis à jour. Dans les deux cas, le correctif existait avant le vol : le maillon faible était donc un opérateur qui avait installé une instance BTCPay Server sans jamais la mettre à jour.