BTCPay Server a appelé les opérateurs à arrêter leurs instances dimanche après avoir appris que des parties non autorisées accédaient aux portefeuilles chauds et les vidaient. Dans une annonce publiée sur X, le projet a demandé à tous les administrateurs d’instances de mettre leurs plateformes hors ligne à l’aide de la commande d’arrêt, dans l’attente des conclusions de l’enquête.
Le projet n’a toutefois pas encore révélé la cause profonde de l’incident, le nombre de serveurs touchés ni le montant total dérobé.
BTCPay Server a récemment subi deux autres incidents
BTCPay Server a partagé sur X : « Nous recevons des signalements indiquant que des portefeuilles chauds sur des serveurs BTCPay sont vidés par des attaquants non autorisés. Si vous exploitez une instance, veuillez l’arrêter (./btcpay-down.sh) jusqu’à la fin de notre enquête. »
BTCPay étant auto-hébergé, il revient entièrement aux propriétaires des serveurs concernés de les désactiver. Selon sa documentation, la fonctionnalité de portefeuille chaud stocke la phrase de récupération directement sur le serveur pour signer les transactions et permet d’effectuer rapidement des paiements sans dépendre d’un matériel externe. Malheureusement, cette commodité rend les portefeuilles chauds bien plus vulnérables que le stockage à froid.
Les portefeuilles chauds sont particulièrement vulnérables, car leurs clés privées sont stockées sur des systèmes connectés à Internet et peuvent donc être consultées par des attaquants qui compromettent l’infrastructure sous-jacente. Contrairement aux portefeuilles froids, qui stockent les clés de signature hors ligne, les portefeuilles chauds privilégient la commodité et permettent aux commerçants de traiter les transactions plus rapidement.
Pour les entreprises qui utilisent BTCPay Server pour accepter les paiements en Bitcoin, la compromission d’un portefeuille chaud pourrait exposer des fonds destinés aux règlements des commerçants ou aux transactions des clients. Le dernier avertissement soulève donc des questions sur la manière dont les opérateurs peuvent concilier la commodité des paiements et la nécessité de protéger les clés privées contre tout accès non autorisé.
S’exprimant au sujet de l’incident, Samson Mow, PDG de JAN3, une entreprise spécialisée dans les technologies BTC, a conseillé : « Je pense qu’il devrait être prioritaire de faire en sorte que SamRock travaille avec Indra dès que possible, afin que les utilisateurs de BTCPay puissent recevoir directement des bitcoins sur Aqua et les échanger régulièrement contre du Bitcoin en stockage à froid. »
Cette alerte survient juste après deux autres incidents de sécurité touchant le projet. Il y a quelques jours à peine, le 29 octobre, BTCPay a publié une mise à jour d’urgence (v.2.4.7) pour corriger cette vulnérabilité et d’autres encore.
En août, des attaquants ont également exploité une autre faille de sécurité, entraînant le vol de clés du Lightning Network et le vidage de plusieurs nœuds associés, dont l’un appartenant à Foundation, le fabricant de portefeuilles matériels. BTCPay avait toutefois assuré à ses utilisateurs qu’ils étaient à l’abri de cette attaque en ce qui concerne leurs portefeuilles on-chain classiques et leurs portefeuilles chauds intégrés.
Il avait néanmoins demandé aux utilisateurs de mettre à jour leurs serveurs vers la version 2.4 ou, au moins temporairement, de désactiver leurs instances BTCPay Server jusqu’à ce qu’ils puissent le faire, réduisant ainsi le risque d’accès non autorisé.
Tant que l’enquête n’est pas terminée, les opérateurs devront peut-être vérifier l’activité de leurs serveurs, les soldes de leurs portefeuilles et l’historique de leurs transactions afin de repérer tout mouvement suspect. Ceux qui soupçonnent que leurs portefeuilles chauds ont été compromis ne devraient pas continuer à utiliser des clés de signature potentiellement exposées.
Cet incident montre également pourquoi les sauvegardes doivent être conservées en lieu sûr et pourquoi les soldes importants en Bitcoin doivent être stockés hors ligne plutôt que dans des portefeuilles connectés à une infrastructure de paiement.
Coldcard a été attaqué en août
En août, Coldcard, un fabricant réputé de portefeuilles exclusivement dédiés au Bitcoin, a également été victime d’une faille qui a entraîné jusqu’à présent au moins 116 millions de dollars de pertes confirmées. Selon Ido Ben-Natan, PDG de Blockaid, l’incident Coldcard a révélé une faiblesse fondamentale des cryptomonnaies : la dépendance à l’égard de clés privées susceptibles de constituer un point de défaillance unique.
Natan a déclaré : « Il s’agit d’un type d’accès à usage unique à ces éléments. Il y a quelque chose de bien là-dedans : personne d’autre ne peut y accéder. Mais l’inconvénient, c’est que cela constitue un point de défaillance unique. »
Il a ajouté : « La leçon à retenir, c’est que laisser ses actifs quelque part, les oublier et ne plus y penser n’est pas vraiment une solution, car la sécurité évolue constamment. Il faut soit rester constamment sur ses gardes, soit confier cette prise de décision à quelqu’un d’autre. »
À l’origine de l’exploitation se trouvait un grave bogue dans le micrologiciel, qui permettait de corrompre la procédure de génération de la phrase de récupération sur les appareils Coldcard. Cela supprimait le facteur d’aléa nécessaire à la création de portefeuilles sécurisés, permettant ainsi aux attaquants de calculer les clés privées et de vider les portefeuilles de leurs bitcoins. Plus de 7 000 adresses ont été touchées, selon le cabinet de recherche K33.
En moyenne, près des trois quarts des fonds dérobés lors d’exploits visant des cryptomonnaies au premier semestre 2026 sont liés à des compromissions de clés privées.
Ne vous contentez pas de lire l’actualité crypto. Comprenez-la. Abonnez-vous à notre newsletter. C’est gratuit.