Le responsable de BTCPay Server, un processeur de paiements en cryptomonnaies open source, avertit les utilisateurs au sujet d’attaques qui ont vidé des portefeuilles actifs sur des instances exécutant un logiciel obsolète. Il est demandé aux opérateurs utilisant les versions concernées de mettre leurs serveurs hors ligne et d’effectuer la mise à jour dès que possible.
Le projet a indiqué que son enquête avait identifié un vecteur d’attaque ciblant BTCPay Server version 2.4.1, publiée le 23 juillet 2026, ainsi que les versions antérieures. Il recommande de passer à la version 2.4.7, tout en précisant qu’il ne dispose d’aucun signalement crédible de vol sur des portefeuilles actifs appartenant à des utilisateurs exécutant la dernière version.
Le fondateur de BTCPay, Nicolas Dorier, a déclaré que les attaques ne visaient pas les serveurs publics. Les enquêteurs examinent la manière dont l’attaquant a obtenu un accès administrateur à des installations exécutant des versions antérieures à la 2.4.2.
BTCPay Server permet aux entreprises de traiter des paiements en bitcoins et en autres actifs numériques directement sur leurs propres portefeuilles. La plateforme gère les factures de paiement lors du passage en caisse et la vérification des paiements, y compris les transactions effectuées via le Lightning Network.
Le 29 octobre, le projet a révélé une vulnérabilité critique identifiée par le scanner Frontier OSS d’Anthropic et a publié la version 2.4.7 en tant que mise à jour de sécurité d’urgence. Dorier a ensuite déclaré que certains éléments indiquaient que l’attaquant récent avait exploité des vulnérabilités présentes dans les versions antérieures à la 2.4.2, un lien que le projet a par la suite confirmé. BTCPay Server n’a pas précisé quelle faille était exploitée dans les attaques actuelles.
Les utilisateurs qui pensent être concernés sont invités à envoyer les détails et les journaux d’activité à security@btcpayserver.org. La mise à jour peut être installée via Paramètres du serveur → Maintenance → Mise à jour. Les administrateurs utilisant Docker peuvent effectuer la mise à jour en se connectant via SSH, en se rendant dans le répertoire de déploiement de BTCPay et en exécutant le script de mise à jour du projet.
Le projet avait déjà averti, le 7 août, qu’une faille corrigée dans la version 2.4.2 était activement exploitée afin d’exposer des fichiers contenant les identifiants LND, ce qui pouvait permettre aux attaquants de prendre le contrôle des nœuds Lightning concernés et de voler des fonds.
Sources: BleepingComputer.