Le fondateur de BTCPay lie les collectes sur hot wallet aux connexions admin sur les serveurs antérieurs à la 2.4.2
- Nicolas Dorier, fondateur de BTCPay Server, a déclaré que les vidages de portefeuilles chauds survenus ce dimanche semblaient concerner des serveurs exécutant des versions antérieures à la 2.4.2.
- L'attaquant s'est connecté en tant qu'administrateur sur ces instances, et l'équipe ignore encore comment il a procédé.
- BTCPay a identifié un vecteur d'attaque ciblant la version 2.4.1 ou antérieure, et aucun rapport crédible de vidage n'a été signalé pour la version 2.4.7.
Les vidages de portefeuilles chauds rapportés ce dimanche semblent concerner des serveurs exécutant des versions antérieures à la 2.4.2, a déclaré Nicolas Dorier, fondateur de BTCPay Server.
L'attaquant s'est connecté en tant qu'administrateur sur ces instances et l'équipe cherche encore à comprendre comment il a fait.
L'enquête attribue le vecteur d'attaque aux versions 2.4.1 ou antérieures
BTCPay a envoyé une alerte à 17 h 25 (HE) dimanche. Il conseillait à toute personne exécutant une instance de l'arrêter avec ./btcpay-down.sh jusqu'à la fin de l'enquête.
Dorier a publié un message environ 2 heures plus tard. Les serveurs publics de BTCPay, fonctionnant sous la version 2.4.7, n'ont pas été attaqués, a-t-il indiqué.
Dorier a plus tard indiqué que l'équipe avait des traces indiquant que « les vulnérabilités antérieures à la version 2.4.2 ont été exploitées ».
La mise à jour de BTCPay à 23 h 07 (HE) a précisé la cible. L'enquête a révélé un vecteur d'attaque ciblant les instances fonctionnant sous la version 2.4.1 publiée le 23 juillet ou les versions antérieures.
Le projet n'a « reçu aucun rapport crédible de vidage de portefeuilles chauds » de la part des utilisateurs de la version 2.4.7, publiée le 29 octobre. Il a conseillé aux opérateurs de maintenir le logiciel à jour et a demandé aux victimes de transmettre les détails et les journaux à son équipe de sécurité.
Certains fournisseurs d'hébergement peuvent avoir arrêté automatiquement les instances pour empêcher l'exploitation des anciennes versions. BTCPay a remercié LunaNode et d'autres pour leur réactivité.
Les opérateurs qui ont effectué au moins une mise à jour depuis la sortie de la version 2.4.2 n’ont « aucune raison de paniquer », a déclaré Dorier . Il a également mis en garde les utilisateurs contre le stockage d’une trop grande quantité de fonds dans un portefeuille chaud, promettant un article de blog avec plus de détails.
Les vidages survenus dimanche ont atteint des fonds que l'avis d'août avait jugés sûrs
Comme BTCPay est auto-hébergé, le projet ne peut pas modifier le serveur d'un commerçant ni l'arrêter. Son mode de portefeuille chaud signe les paiements avec une graine stockée sur ce serveur, ce qui signifie que quiconque contrôle ce serveur peut déplacer les pièces.
La branche 2.4.2 remonte à août. BTCPay a publié la version 2.4.2 le 7 août pour corriger une vulnérabilité critique qui était déjà exploitée, Cryptopolitan a rapporté.
Chaque version précédente, y compris les versions candidates de la 2.4.2, permettait à un attaquant non authentifié de voler les identifiants macaroon de LND. Un attaquant pouvait prendre le contrôle d'un nœud Lightning et utiliser ses fonds.
La Fondation et Citadel21 ont signalé des attaques contre leurs nœuds Lightning. Craig Raw, développeur du portefeuille Sparrow, a déclaré avoir également été touché.
Avec la publication de la version 2.4.2, les macaroons de LND étaient automatiquement régénérés. Lorsque les opérateurs exposaient LND via leur propre proxy, service Tor ou port redirigé, ils devaient modifier manuellement ces identifiants.
La version 2.4.2 a également corrigé un contournement distinct de l'authentification à deux facteurs (TOTP) via l'authentification de base de l'API Greenfield, signalé le 4 août. BTCPay a précisé que ce bug n'était pas lié au piratage des macaroons.
L'avis de BTCPay indiquait que ses propres portefeuilles on-chain, y compris les portefeuilles chauds, n'étaient pas affectés par cette faille. Des rapports du dimanche ont indiqué que les portefeuilles chauds étaient vidés.
Ni BTCPay ni Dorier n’ont précisé si l’attaquant avait exploité la vulnérabilité liée aux macarous d’août ou une autre faille antérieure à la version 2.4.2. En août, les contributeurs avaient proposé une prime de récupération bounty de 10 % des fonds restitués, jusqu’à 3 BTC.
River a signalé que l'utilisation moyenne des commerçants par Bitcoin a augmenté de 74 % en 2025, avec un volume Lightning dépassant 1 milliard de dollars par mois.
Si vous lisez ceci, vous êtes déjà en avance. Restez ainsi grâce à notre newsletter.
FAQ
Que BTCPay Server a-t-il demandé aux opérateurs de faire ?
Éteignez leurs instances avec `./btcpay-down.sh` jusqu'à la fin de l'enquête.
Les portefeuilles chauds ont-ils été touchés lors de l'incident d'août précédent ?
Non. BTCPay a indiqué que ses portefeuilles on-chain, y compris les portefeuilles chauds, n'ont pas été affectés par la faille d'août.
Quelles versions de BTCPay étaient vulnérables au bug d'août ?
Toutes les versions antérieures à la 2.4.2, y compris les versions candidates (release candidates), exposaient les identifiants macaroon LND.
Avertissement. Les informations fournies ne constituent pas des conseils en matière de trading. Cryptopolitan.com décline toute responsabilité concernant les investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement une recherche indépendante et/ou une consultation avec un professionnel qualifié avant de prendre toute décision d'investissement.
Randa Moses
Randa Moses est rédactrice et journaliste chez Cryptopolitan, couvrant la technologie, l'IA, la robotique, la crypto, les arnaques et les piratages. Elle évolue dans l'espace crypto depuis 2017. Elle a occupé des postes chez Forward Protocol, AmaZix et Cryptosomniac. Randa détient un diplôme en génie électrique et électronique de l'Université de Bradford.
