BTCPay Server a conseillé aux utilisateurs de mettre à jour son logiciel de paiement en cryptomonnaies auto-hébergé après des signalements de vols de bitcoins et de litecoins dans des portefeuilles chauds d’anciennes instances. L’enquête du projet a établi que les attaques visaient des serveurs exécutant la version 2.4.1 ou une version antérieure.
La vulnérabilité a été corrigée dans la version 2.4.2, publiée le 7 août 2026. BTCPay Server recommande aux utilisateurs de la version 2.4.1 ou d’une version antérieure de migrer vers un nouveau serveur et de créer un nouveau portefeuille, même s’ils n’ont constaté aucun vol. Toute personne qui soupçonne un accès non autorisé doit considérer que la machine et tous les secrets qui y sont stockés sont compromis et suivre les mêmes étapes de récupération.
On ne sait pas quand les attaquants ont commencé à exploiter la faille. Les signalements de cette activité sont apparus aux alentours du 1er novembre 2026. BTCPay Server a indiqué n’avoir reçu aucun signalement crédible de fonds dérobés dans des portefeuilles chauds de la part d’utilisateurs de la version 2.4.7, qui corrige une vulnérabilité critique et plusieurs vulnérabilités de gravité moyenne repérées par le scanner OSS d’Anthropic.
Le projet a également conseillé aux utilisateurs qui ont besoin d’un portefeuille chaud pour leurs opérations quotidiennes de ne conserver sur le serveur que les fonds nécessaires et de stocker le reste de leurs actifs dans un portefeuille dont les clés de dépense sont détenues ailleurs. Les instances gérées par des fournisseurs d’hébergement ont peut-être été arrêtées automatiquement afin d’empêcher l’exploitation des anciennes versions.
Sources: The Hacker News.