Des attaquants ont obtenu un accès administrateur à des instances obsolètes de BTCPay Server et ont vidé leurs hot wallets ; les premières analyses évoquent des failles antérieures à un correctif publié en août.
Les dégâts concernent les opérateurs qui n’ont jamais effectué de mise à jour, et l’équipe n’a pas encore dévoilé le montant total des pertes. BTCPay Server est un processeur de paiement gratuit et open source que les commerçants hébergent eux-mêmes pour accepter des paiements en Bitcoin. Dans une configuration avec un hot wallet, le serveur stocke lui-même les clés privées, ce qui permet au logiciel d’envoyer des fonds sans que l’opérateur ait à signer chaque transaction. Ainsi, toute personne disposant d’un accès administrateur à un tel serveur peut déplacer ses pièces.
Quelles versions ont été ciblées par les attaquants ?
L’équipe BTCPay Server a d’abord donné l’alerte tard dans la journée du 1er novembre. Elle a demandé à chaque opérateur d’éteindre son instance jusqu’à la fin de l’enquête.
Une mise à jour a ensuite précisé l’étendue de la menace. La faille cible la version 2.4.1, publiée le 23 juillet 2026, et toutes les versions antérieures. En parallèle, l’équipe précise qu’aucun signalement crédible de vol n’a été relevé sur l’actuelle version 2.4.7.
Le fondateur Nicolas Dorier a indiqué que l’attaquant s’est connecté en tant qu’administrateur sur les serveurs concernés, même si l’équipe n’a pas encore déterminé comment. Jusqu’à présent, l’enquête a mis en évidence des traces de vulnérabilités antérieures à la version 2.4.2.
Cette intrusion marque au moins la deuxième fois en trois mois que des attaquants dérobent des fonds sur des instances BTCPay Server fonctionnant avec des versions antérieures à la 2.4.2. Cette version avait corrigé une faille critique en août, permettant à des attaquants distants d’accéder aux identifiants de nœuds Lightning et de vider les wallets connectés.
Même à ce moment-là, la faille était déjà activement exploitée.
Un hot wallet BTCPay Server en vaut-il le risque ?
Les hébergeurs ont également réagi rapidement. LunaNode et d’autres pourraient avoir éteint automatiquement les instances de leurs clients afin de bloquer les attaques sur les versions plus anciennes, précise l’équipe.
Dorier lui-même utilise la version 2.4.7 avec un hot wallet. Pourtant, le fondateur met en garde contre le fait de conserver des sommes importantes sur n’importe quel serveur.
Ne placez pas plus que ce que vous êtes prêt à perdre dans un hot wallet. Nous ne pouvons pas garantir que cela ne se reproduira pas.
Nicolas Dorier, X
L’incident s’inscrit dans une tendance plus large touchant l’infrastructure Bitcoin auto-hébergée. Core Lightning a récemment averti que les attaquants ciblent les nœuds non mis à jour. Dans ces deux cas, le correctif existait avant le vol, de sorte que le point faible demeure un opérateur qui installe un BTCPay Server et ne fait jamais de mise à jour.
