BTCPay Server a alerté vendredi sur une vulnérabilité critique déjà exploitée, capable de faire perdre les fonds hébergés sur un serveur. Le projet demande une mise à jour immédiate vers la version 2.4.2, et l’extinction pure et simple du serveur pour ceux qui ne peuvent pas patcher tout de suite. Deux acteurs identifiés du secteur, le fabricant Foundation et le zine Citadel21, ont vu leurs nœuds Lightning vidés et leurs canaux fermés de force.
Pour résumer
- BTCPay Server confirme une faille critique en cours d’exploitation et publie la version 2.4.2
- Foundation et Citadel21 ont vu leurs nœuds Lightning siphonnés et leurs canaux fermés de force
- Ni le nombre de serveurs touchés ni le montant volé ne sont connus à ce stade
Un correctif publié avant même le détail de l’attaque
L’annonce est passée par le compte officiel du projet, en fin de semaine, dans une formulation qui laisse peu de place au doute. Une vulnérabilité critique est activement exploitée et peut entraîner la perte des fonds.
La marche à suivre tient en deux lignes. Passer par le tableau de bord d’administration, lancer la mise à jour, puis vérifier que la chaîne 2.4.2 apparaît bien en pied de page. Les instructions complètes ont été publiées sur le compte officiel du projet BTCPay Server, qui recommande d’éteindre le serveur si le correctif ne peut pas être appliqué immédiatement.
La liste des actions post-patch en dit long sur la nature du problème. Le projet demande de remplacer les identifiants macaroons, de recréer le fichier macaroons.db et de rafraîchir les chaînes d’authentification des autres backends Lightning.
Un portefeuille chaud généré depuis l’interface doit être vidé et recréé. Les intégrateurs, eux, doivent porter NBXplorer, le composant de suivi des portefeuilles, en version 2.6.10. Un simple patch ne suffit donc pas : les secrets d’authentification sont considérés comme compromis.
Ce que le projet n’a pas encore rendu public
Le silence porte sur tout le reste. Le mécanisme exact de la faille, la date de début des attaques, le nombre de serveurs compromis et le montant réellement dérobé restent inconnus au moment de l’alerte.
Une précision a tout de même été apportée par le fondateur du projet : il ne s’agit pas du contournement d’authentification à deux facteurs déjà listé au changelog. La cause se trouve ailleurs, et le rapport technique complet reste à venir. Le signalement est crédité aux membres du Bitcoin Red Team, dans le même registre de divulgation prudente que la faille Coldcard qui a laissé filer 70 M$ en 41 minutes.
Cette rétention d’information est une pratique défensive classique. Publier le détail d’une faille exploitée avant que le parc soit patché revient à armer tous ceux qui n’avaient pas encore trouvé le vecteur. La contrepartie est inconfortable pour les administrateurs, qui doivent patcher sans savoir ce qu’ils corrigent.
Le contexte pèse lourd. La divulgation intervient une semaine après l’incident Coldcard, dont les pertes confirmées atteignent 116 M$. Deux briques réputées solides du monde Bitcoin ont cédé en quinze jours.
À voir également sur Cryptonomic :
- Bybit attaque la Corée du Nord en justice pour 1,5 Md$
- MetaMask ouvre son wallet aux agents IA autonomes
- Ondo : la mère du fondateur réclame le contrôle en justice
Le commerçant devient le maillon visé
À court terme, l’impact frappe une population précise. BTCPay Server équipe les commerçants et les projets qui refusent l’intermédiaire, ceux qui hébergent eux-mêmes leur passerelle de paiement pour ne pas confier leurs clés à un tiers. C’est le même arbitrage que dans le choix entre cold wallet et hot wallet en 2026, avec la charge de sécurité qui revient au détenteur.
Le fait que Foundation et Citadel21 figurent parmi les victimes est un signal désagréable. Ces deux structures connaissent les bonnes pratiques mieux que la moyenne, et leurs nœuds ont quand même été vidés avec fermeture forcée des canaux.
À moyen terme, l’épisode déplace le curseur du débat sur l’auto-hébergement. Garder ses clés supprime le risque de contrepartie mais transfère toute la charge de sécurité opérationnelle, et le compromis dépend de la surface d’attaque que l’on accepte de maintenir soi-même.
La tendance de fond inquiète davantage que l’incident lui-même. Les outils d’analyse automatisée réduisent le coût de découverte d’une faille, et les infrastructures crypto anciennes ou peu auditées deviennent des cibles rentables, dans la même logique qui a permis de siphonner 35 M$ sur trois protocoles DeFi en six heures.
Reste une inconnue majeure. Tant que le nombre de serveurs compromis n’est pas établi, personne ne peut dire si BTCPay Server a subi une attaque ciblée sur quelques nœuds à forte valeur ou un balayage massif du parc. Le bilan réel viendra plus tard.
Affaire à suivre sur Cryptonomic.
