BTCPay demande aux commerçants d’éteindre leurs serveurs face à des signalements d’attaque sur des hot wallets

BTCPay Server est un outil gratuit et open source utilisé par des entreprises pour accepter des paiements en Bitcoin. Dans un message publié à 17 h 25 ET, le projet a écrit : « Nous recevons des signalements selon lesquels des hot wallets sur des serveurs BTCPay sont vidés par des attaquants non autorisés. » Il a ajouté : « Si vous gérez une instance, veuillez l’éteindre (./btcpay-down.sh) jusqu’à ce que nous terminions l’enquête. »

Environ deux heures plus tard, son fondateur Nicolas Dorier a indiqué que les signalements semblaient concerner des versions antérieures à la 2.4.2 et que l’attaquant s’était connecté aux serveurs concernés avec des droits d’administrateur. Plus tard dimanche, le projet a dit que son enquête avait identifié un vecteur d’attaque visant les instances tournant sous la version 2.4.1, publiée le July 23, ou une version plus ancienne.

Une mise à jour d’urgence publiée jeudi

BTCPay a également expliqué n’avoir « aucun rapport crédible de vidage de hot wallets » pour les utilisateurs de la dernière version 2.4.7, et a demandé de maintenir le logiciel à jour. Le projet a aussi invité les utilisateurs concernés à envoyer leurs détails et leurs journaux à son équipe de sécurité.

Selon BTCPay, certains hébergeurs, dont LunaNode, ont automatiquement fermé des instances BTCPay afin d’empêcher l’exploitation d’anciennes versions. Le projet n’a pas précisé combien de serveurs avaient été touchés ni combien de Bitcoin avaient été dérobés.

Ces attaques surviennent quelques jours après la sortie de la version 2.4.7, publiée jeudi comme une mise à jour d’urgence corrigeant une vulnérabilité critique et plusieurs vulnérabilités de gravité moyenne. BTCPay a indiqué que ces problèmes avaient été signalés par le scanner open source de pointe d’Anthropic, sans dire si les attaques avaient exploité l’une de ces failles.

Le logiciel étant auto-hébergé, chaque commerçant fait tourner BTCPay sur son propre serveur et il n’existe pas d’opérateur central capable d’éteindre les instances à distance. Les commerçants peuvent choisir d’utiliser un hot wallet, qui stocke la seed du portefeuille sur ce serveur connecté à internet afin de signer automatiquement les transactions. La documentation de BTCPay indique que cette fonctionnalité est marquée « DANGER » et qu’elle « comporte des implications en matière de sécurité ».

Ce n’est pas la première alerte de sécurité pour le projet cette année. En août, BTCPay avait averti qu’une faille critique dans toutes les versions antérieures à la 2.4.2 était activement exploitée, et avait demandé aux utilisateurs de mettre à jour ou d’éteindre leurs serveurs. Des soutiens du projet avaient ensuite financé une prime de récupération égale à 10 % des fonds volés restitués, plafonnée à 3 BTC.