Core Lightning et MetaMask visés : les attaques descendent dans la pile crypto

Core Lightning a révélé que des attaquants sondent les nœuds Bitcoin non patchés. Cette annonce intervient la même semaine où MetaMask a passé deux jours à retirer ses validateurs de staking hors ligne après une intrusion dans une partie de son infrastructure.

Les deux plateformes affirment que l'incident n'a pas affecté leurs couches de base respectives. Bitcoin a continué de produire des blocs et, selon MetaMask, aucun portefeuille client ni aucun fonds n'a été compromis. 

Core Lightning demande aux opérateurs d'arrêter d'utiliser les anciennes versions

Core Lightning est un logiciel open source utilisé par de nombreuses entreprises et particuliers pour faire fonctionner des nœuds sur le réseau Bitcoin Lightning. L'équipe a publié un avis urgent le 2 octobre invitant toute personne utilisant la version 26.06.7 ou une version antérieure à installer immédiatement la dernière version disponible.

Le projet a écrit sur X, « Nous avons reçu des rapports indiquant que des attaquants ciblent les nœuds non patchés. » Il a indiqué aux utilisateurs que la mise à jour vers la version actuelle de la nœud était une étape importante pour protéger leurs fonds.

Core Lightning a mentionné les failles de la version précédente, sans faire état de fonds volés. 

Les nœuds Lightning conservent des soldes en temps réel dans des canaux de paiement situés hors de la chaîne principale Bitcoin, ce qui rend l’alerte particulièrement cruciale. Un nœud accessible et non patché peut être contacté directement par ses pairs, transformant ainsi un bug théorique en surface d’attaque exposée.

Deux mois de correctifs condensés

Ceci fait suite à une série d’incidents que Core Lightning a détectés au second semestre 2026.

En août, la plateforme a annoncé qu’elle traitait un volume élevé de rapports de vulnérabilités, précisant que beaucoup étaient générés automatiquement. Elle a ensuite publié la version 26.06.7 le 28 août. 

Core Lightning a retardé la publication du code source correspondant pendant environ deux semaines, afin de permettre aux opérateurs de mettre à jour leurs systèmes avant que les correctifs ne facilitent la reconstruction des bugs sous-jacents.

Une deuxième alerte a suivi en mi-septembre, et les mainteneurs ont dû informer les opérateurs de désactiver immédiatement toute fonctionnalité expérimentale en raison d'une faille qui pourrait mettre les fonds en risque. 

Core Lightning a publié la version 26.06.8 le 22 septembre, cette fois sans embargo.

MetaMask retire des validateurs de Lido

MetaMask a indiqué qu'il répondait à un incident de sécurité affectant une partie de son infrastructure le 30 septembre. Au cours de la journée suivante, il a commencé à se retirer des validateurs Ethereum qu'il exploite au sein de Lido, le plus grand protocole de staking liquide sur Ethereum, par précaution.

MetaMask Staking, anciennement Consensys Staking, a déclaré que ses opérations sont non-custodiales et qu'il ne détient pas les clés de retrait pour le compte des clients. 

Dans son Mise à jour d'octobre 1, l'entreprise a indiqué n'avoir trouvé « aucune menace immédiate pour les portefeuilles MetaMask », ajoutant qu'il n'y avait aucune indication que les fonds des clients avaient été accédés.

Lido, qui a divulgué les retraits dans un avis du forum de gouvernance, a informé les détenteurs de stETH qu'aucune action n'était requise. Cependant, il a mis en garde en disant que ce mouvement entraînerait probablement des récompenses manquées et éventuellement des pénalités de temps d'arrêt.

Cette précaution a un coût, car les ETH retirés pourraient mettre jusqu'à 45 jours à être restitués. Les derniers validateurs concernés devraient avoir terminé leur retrait d'ici la fin du 7 octobre. 

Lido n'est pas la seule plateforme dont les validateurs sont en cours de retrait Linea a confirmé que les validateurs supportant son vault Yield Boost lié à MetaMask étaient également en cours de retrait. Cependant, elle a indiqué que les fonds et le contrôle du vault n'étaient pas affectés.

Un motif que les défenseurs signalent

Ces deux événements s'inscrivent dans une tendance que l'industrie alerte depuis longtemps. En août, BTCPay Server a révélé une faille critique que des attaquants avaient déjà exploitée pour vider les nœuds Lightning appartenant à des commerçants. Cette même vulnérabilité a touché Foundation, le fabricant de portefeuilles matériels, qui a perdu son propre nœud lors de cette attaque.

Ce même mois, plus de 30 entreprises, dont Coinbase, Block, Blockstream et ARK Invest, ont signé une lettre organisée par le Bitcoin Policy Institute, soulignant que les chercheurs en sécurité open-source utilisent des outils d'IA moins performants que ceux de leurs attaquants.