BTCPay Server a averti les utilisateurs de fermer leurs serveurs de paiement après avoir reçu des signalements d'attaquants ayant obtenu un accès non autorisé à des installations plus anciennes et vidé les fonds des portefeuilles Bitcoin chauds connectés.
Résumé
- BTCPay Server a exhorté les opérateurs à fermer leurs serveurs de paiement après avoir reçu des signalements d'attaquants ayant obtenu un accès non autorisé et vidé les fonds des portefeuilles Bitcoin chauds connectés.
- L'enquête du projet a identifié un vecteur d'attaque affectant les installations exécutant la version 2.4.1 ou antérieure, tandis que la dernière version 2.4.7 ne fait l'objet d'aucun signalement crédible de vidage de portefeuilles.
- Le cofondateur de BTCPay Server, Nicolas Dorier, a déclaré que les attaquants avaient réussi à se connecter avec des privilèges d'administrateur sur les instances affectées, bien que les enquêteurs n'aient pas encore déterminé comment ils avaient obtenu cet accès.
- Des fournisseurs d'hébergement, dont LunaNode, ont pris des mesures préventives pour fermer certaines installations, tandis que les utilisateurs affectés ont été invités à soumettre les détails de l'incident et les journaux du serveur.
- BTCPay Server n'a pas divulgué le montant total de cryptomonnaie volée ni le nombre de serveurs compromis, et son enquête se poursuit.
Dans une alerte de sécurité du 2 novembre, le processeur de paiement Bitcoin open source a déclaré enquêter sur des signalements de retraits non autorisés de portefeuilles et a demandé aux opérateurs de fermer temporairement leurs instances à l'aide du script ./btcpay-down.sh.
L'avertissement s'appliquait initialement à tous les utilisateurs pendant que l'équipe s'efforçait de déterminer comment les attaquants obtenaient l'accès. Une enquête ultérieure a restreint le vecteur d'attaque suspecté aux installations exécutant la version 2.4.1, publiée le 23 juillet 2026, ou antérieure.
BTCPay Server a déclaré n'avoir reçu aucun signalement crédible de vidage de portefeuilles chauds concernant la dernière version, 2.4.7, et a exhorté les opérateurs à maintenir leur logiciel à jour.
Le projet n'a pas divulgué la quantité de cryptomonnaie volée, le nombre de serveurs compromis ni le nombre d'utilisateurs ayant signalé des pertes.
BTCPay Server identifie les installations plus anciennes comme cibles d'attaque
Selon le dernier avis du projet, son enquête de réponse à incident a identifié un vecteur d'attaque affectant les versions plus anciennes du logiciel de paiement, bien que l'équipe n'ait pas encore expliqué publiquement la faiblesse technique ayant permis les intrusions.
BTCPay Server est un processeur de paiement en cryptomonnaie auto-hébergé qui permet aux commerçants et aux particuliers d'accepter des paiements en Bitcoin sans dépendre d'un intermédiaire de paiement traditionnel. Les opérateurs peuvent gérer leur propre infrastructure de paiement et connecter des portefeuilles pour recevoir et gérer des fonds.
Les attaques signalées concernaient des portefeuilles chauds, qui restent connectés à des systèmes en ligne et peuvent être utilisés pour envoyer des transactions en cryptomonnaie. Les fonds détenus dans ces portefeuilles peuvent être exposés si les attaquants obtiennent un accès suffisant aux systèmes qui les contrôlent.
Dans son avertissement initial, BTCPay Server a déclaré recevoir des signalements de portefeuilles chauds étant vidés par des attaquants non autorisés. Un vidage de portefeuille consiste à transférer les fonds disponibles d'une ou plusieurs adresses vers une autre destination.
Les instructions du projet demandaient aux opérateurs de fermer leurs instances pendant que l'enquête se poursuivait. Sa mise à jour ultérieure a fourni des informations plus précises sur les versions logicielles affectées et l'absence de signalements crédibles de vidage concernant la version 2.4.7.
Les utilisateurs qui pensent que leurs serveurs ont été compromis ont été invités à envoyer les détails de l'incident et les journaux système pertinents à [email protected].
Le fondateur de BTCPay Server affirme que les attaquants ont obtenu un accès administrateur
Le cofondateur de BTCPay Server, Nicolas Dorier, a fourni de plus amples détails sur les intrusions suspectées dans une déclaration distincte du 2 novembre.
Dorier a déclaré que les serveurs publics du projet, qui exécutaient la version 2.4.7, n'avaient pas été attaqués. D'après les rapports dont il disposait, les installations affectées semblaient exécuter des versions publiées avant la 2.4.2.
Il a expliqué que l'attaquant avait réussi à se connecter avec des privilèges d'administrateur sur les instances affectées, mais que l'équipe cherchait encore à déterminer comment cet accès avait été obtenu.
L'accès administrateur peut donner à quelqu'un le contrôle de paramètres et de fonctions importants du serveur, selon la configuration logicielle et les autorisations disponibles pour le compte.
Le dernier incident fait suite à une précédente faille de sécurité en août, lorsque BTCPay Server avait averti d'une vulnérabilité activement exploitée qui pourrait entraîner le vol de fonds.
Comme crypto.news l'a précédemment rapporté, le projet avait exhorté les utilisateurs à mettre immédiatement à niveau vers la version 2.4.2 ou à éteindre leurs serveurs s'ils ne pouvaient pas installer le correctif de sécurité.
La vulnérabilité d'août permettait aux attaquants d'obtenir les identifiants macaroon d'administrateur LND à partir des installations affectées et d'accéder aux portefeuilles Lightning connectés. BTCPay Server a déclaré que la faille ne compromettait pas les portefeuilles on-chain ordinaires, y compris les portefeuilles chauds.
Le projet a ensuite annoncé une prime de récupération équivalente à 10 % des fonds récupérés, plafonnée à 3 BTC si tous les actifs volés étaient récupérés.
La Fondation BTCPay Server s'est engagée à verser 0,21 BTC chacun au développeur de Sparrow Wallet, Craig Raw, et au fonds Bitcoin Red Team pour avoir découvert et signalé la vulnérabilité précédente.
Des fournisseurs d'hébergement ont arrêté certaines instances de BTCPay Server
À la suite du dernier avertissement, les fournisseurs d'hébergement ont commencé à prendre des mesures préventives pour empêcher que d'anciennes installations restent exposées.
Dans une autre mise à jour du 2 novembre, BTCPay Server a déclaré que les utilisateurs exécutant le logiciel via un fournisseur d'hébergement pourraient constater que leurs instances avaient déjà été arrêtées automatiquement.
Le projet a remercié LunaNode et d'autres entreprises d'hébergement pour avoir réagi rapidement après son annonce initiale.
De tels arrêts signifient que certains opérateurs peuvent être incapables d'accéder à leurs serveurs de paiement jusqu'à ce que leur fournisseur d'hébergement rétablisse le service ou que l'installation affectée soit remise en ligne.
BTCPay Server n'a pas publié de liste complète des fournisseurs d'hébergement qui ont suspendu des instances ni divulgué combien de serveurs ont été mis hors ligne.
L'avertissement de sécurité intervient après un autre incident récent impliquant l'infrastructure de paiement Bitcoin. En septembre, Core Lightning a averti les opérateurs que des attaquants ciblaient des nœuds Lightning plus anciens et non corrigés.
Core Lightning a déclaré avoir reçu des rapports d'attaques contre des installations vulnérables, bien qu'il n'ait pas établi si ces tentatives avaient entraîné le vol de fonds.
L'enquête de sécurité se poursuit alors que des utilisateurs signalent des pertes de portefeuille
La conception auto-hébergée de BTCPay Server donne aux opérateurs un contrôle direct sur leurs systèmes de paiement, y compris les mises à jour logicielles, l'administration des serveurs et les configurations de portefeuille.
Le projet a recommandé de limiter la quantité de cryptomonnaie conservée dans les portefeuilles chauds et de transférer les fonds excédentaires vers un stockage à froid, où les clés privées sont conservées hors ligne.
Sa dernière version, la 2.4.7, a été identifiée comme la version pour laquelle l'équipe n'avait reçu aucun rapport crédible de vidage de portefeuille. La déclaration n'a pas établi que chaque version antérieure était compromise ni que chaque installation exécutant une version affectée avait subi une perte.
BTCPay Server a demandé aux opérateurs concernés de préserver et de soumettre les journaux à son équipe de sécurité, tandis que les enquêteurs continuent d'examiner l'accès administrateur signalé par Dorier.
Aucun calendrier public n'a été fourni pour l'achèvement de l'enquête, et le projet n'a annoncé aucune récupération de cryptomonnaie prélevée sur les portefeuilles concernés.
