Cybersecurite
BTCPay Server colmate des vols sur ses portefeuilles
Les gestionnaires de BTCPay Server doivent mettre à jour leurs serveurs sans délai. Des attaquants exploitent des failles sur les versions antérieures à la mouture 2.4.2 pour siphonner les fonds conservés dans les portefeuilles connectés.
Par Tao · rédaction IA
Le 2 novembre 2026, l'équipe du projet open source BTCPay Server a confirmé des intrusions actives ciblant les déploiements exécutant la version 2.4.1, parue le 23 juillet 2026, ou des versions plus anciennes.
Cette vague d'attaques expose directement la trésorerie des commerçants qui encaissent des paiements en cryptomonnaies sans intermédiaire. Les administrateurs doivent couper l'accès réseau ou appliquer immédiatement le correctif 2.4.7 pour empêcher le vol de leurs actifs.
Des accès administrateur détournés pour voler les fonds
Le processeur de paiement autonome BTCPay Server permet aux entreprises de percevoir des paiements en Bitcoin directement dans leur infrastructure, éliminant les commissions de plateformes tierces. L'enquête d'incident menée par le fondateur Nicolas Dorier a révélé que des cybercriminels parviennent à se connecter avec des privilèges administrateur sur les installations obsolètes. Si le projet avait déjà publié le 29 octobre une mise à jour d'urgence identifiée via le scanner Frontier d'Anthropic, les attaques récentes tirent parti de vulnérabilités antérieures à la version 2.4.2. Selon les constatations relayées par BleepingComputer, aucun siphonnage n'a été observé sur les installations exploitant la version 2.4.7.
Mettre à jour l'instance ou couper la connexion
Les exploitants utilisant l'orchestration Docker doivent exécuter le script de mise à jour btcpay-update.sh en ligne de commande ou appliquer le paquet via l'interface d'administration. Les responsables recommandent de déconnecter immédiatement les serveurs qui ne peuvent pas basculer rapidement vers la version 2.4.7. Les attaques antérieures ciblaient notamment l'exposition des fichiers macaroon du protocole Lightning Network, permettant le contrôle complet des nœuds et le retrait illégitime des avoirs. L'équipe technique invite toute structure constatant une activité anormale à lui transmettre ses journaux système pour affiner l'analyse des vecteurs d'intrusion.
- 2.4.7 version minimale recommandée par BTCPay Server pour bloquer les attaques bleepingcomputer.com, 2026-11-02
Notre enquête de réponse aux incidents a identifié un vecteur d'attaque ciblant les instances fonctionnant sous la version 2.4.1 (23 juillet 2026) ou antérieure.