Bitcoin : les portefeuilles chauds d'un système de paiement populaire ont été piratés, des opérateurs hongrois pourraient être concernés

L’instruction concerne toutes les instances concernées. BTCPay Server est un logiciel gratuit et open source qui permet aux entreprises et aux commerçants d’accepter des paiements en Bitcoin sans passer par des banques ou d’autres intermédiaires financiers. Les utilisateurs peuvent l’exécuter sur leur propre serveur et gérer eux-mêmes leurs fonds, avec une dépendance réduite à des services tiers.

Des droits d’administrateur ont été obtenus

Selon Nicolas Dorier, cofondateur de BTCPay Server, les attaquants ont obtenu des privilèges d’administrateur sur les serveurs visés, ce qui leur a donné un accès quasi total. L’équipe de développement cherche à déterminer comment ces droits ont été obtenus. Les attaques concernent la version 2.4.1, publiée en juillet 2026, ainsi que les versions antérieures.

Les développeurs demandent toujours aux opérateurs de laisser les serveurs arrêtés jusqu’à la fin de l’enquête, tout en recommandant une mise à jour vers la dernière version. Cette nouvelle alerte intervient après un incident survenu en août.

À l’époque, BTCPay avait confirmé que des attaquants avaient volé des fonds à des utilisateurs utilisant le logiciel LND pour les paiements Lightning. Les versions antérieures à la 2.4.2, y compris les versions préliminaires, contenaient une vulnérabilité permettant un accès à distance sans authentification à des fichiers contenant les identifiants LND. Les attaquants pouvaient alors prendre le contrôle du nœud et déplacer les fonds. Le correctif a été apporté par la version 2.4.2.

Les fonds on-chain pas touchés à l’époque

BTCPay avait alors précisé que ses propres portefeuilles on-chain n’avaient pas été affectés. En revanche, les montants stockés dans le portefeuille on-chain de LND pouvaient être menacés. Dans son avertissement actuel, le projet ne dit pas si les vols récents sont liés à cette vulnérabilité passée.

À ce stade, on ne sait pas combien de serveurs ni combien d’utilisateurs ont été touchés par la nouvelle série d’attaques, ni combien de Bitcoin ont été dérobés. En raison du fonctionnement auto-hébergé de BTCPay Server, l’arrêt des serveurs et l’application de la mise à jour relèvent de la responsabilité de chaque opérateur.

Un outil d’encaissement Bitcoin autonome

BTCPay Server permet à un commerçant d’héberger sa propre infrastructure de paiement Bitcoin, sur un ordinateur domestique, un mini PC ou un VPS peu coûteux, avec un portefeuille chaud connecté. Le système génère à chaque achat une adresse Bitcoin ou une facture Lightning unique, que l’acheteur peut régler depuis son propre portefeuille, par exemple BlueWallet ou Electrum, en scannant un QR code ou en collant l’adresse.

Le logiciel est aussi disponible en Hongrie, puisqu’il est open source et peut être installé sur un serveur personnel. Aucun permis hongrois spécifique ni fournisseur local n’est nécessaire pour le déployer et recevoir directement des paiements en Bitcoin, en on-chain ou via le Lightning Network.