BTCPay Server : des vols de portefeuilles visent les anciennes installations
Le projet rapporte des vols de Bitcoin et Litecoin sur des versions 2.4.1 ou antérieures. Pour ces serveurs, il recommande une reconstruction et de nouveaux accès, même après une mise à jour tardive.
Pour aller plus loin
Image générée · SecuFocus
En bref
L’essentiel
Vous encaissez des paiements avec un ancien BTCPay Server ? Le projet a reçu le 1er novembre des signalements de vols sur des portefeuilles dont les clés de dépense étaient sur le serveur. L’enquête vise la version 2.4.1 et les précédentes. Avoir installé un correctif après l’alerte ne suffit pas à écarter un accès déjà obtenu : l’équipe recommande alors un nouveau serveur et un nouveau portefeuille.
La date de mise à jour change la réponse
Dans son point d’incident, BTCPay Server décrit des vols de Bitcoin et Litecoin signalés le 1er novembre 2026. Les serveurs concernés utilisaient 2.4.1, publiée en juillet, ou une version antérieure. L’équipe dit que les attaquants ont employé une autre méthode pour exploiter la vulnérabilité corrigée dans 2.4.2, sortie le 7 août.
Pour les serveurs qui utilisaient déjà 2.4.2 ou une version supérieure au moment de l’alerte du 1er novembre, le projet dit ne pas avoir observé d’impact de ces attaques. Cette observation ne doit pas être transformée en garantie pour une machine ancienne corrigée seulement après l’alerte.
Ne pas remettre les mêmes clés sur une machine neuve
Pour une installation 2.4.1 ou antérieure, l’équipe recommande de préparer un nouveau portefeuille, de déplacer les fonds restants avec un appareil de confiance, puis de reconstruire sur une machine neuve. Elle maintient cette recommandation même sans vol visible, et si le serveur a été mis à jour après l’avertissement.
Conservez les journaux et les traces de transaction avant de remplacer l’environnement. Ne restaurez pas l’image complète du serveur potentiellement compromis sur la nouvelle machine. Les anciens mots de passe et clés d’accès doivent être examinés et remplacés depuis un système sain ; une phrase de récupération déjà exposée ne redevient pas secrète sur un autre serveur.
Ces manipulations peuvent déplacer des fonds et interrompre les encaissements. Suivez la procédure du projet avec la personne responsable de l’installation, sans communiquer de phrase de récupération, clé privée ou mot de passe au support ni à un prétendu service de remboursement.
L’avis d’août ne décrit pas à lui seul les vols de novembre
L’avis d’août expliquait surtout un risque de fichiers d’authentification LND, une implémentation Lightning, et précisait le périmètre alors observé. Le nouvel incident décrit une autre méthode visant des portefeuilles présents sur d’anciens serveurs. Dire aujourd’hui « je n’utilise pas LND, donc cette alerte ne me concerne pas » reprendrait le mauvais périmètre.
Le projet dit que les fonds dont les clés de dépense étaient conservées hors du serveur n’ont pas été touchés par ces vols. Il garde toutefois sa recommandation de reconstruire un ancien serveur. Les soldes d’adresses publiques liées à l’enquête ne constituent pas un total confirmé des pertes ; nous n’en calculons pas un.
Vérifier, approfondir
Les sources de cet article
Les numéros relient chaque référence aux passages qui l’utilisent. La date indique quand la documentation a été consultée.
Cet article s’appuie sur les sources ci-dessus. Les exercices proposés sont à réaliser sur vos appareils ; SecuFocus ne les présente pas comme des essais menés par la rédaction. Les interfaces et les fonctions peuvent changer. Méthode et corrections.
Citer cet article
Pour retrouver cette lecture ou la partager avec sa référence.