BTCPay Server appelle à mettre à jour ses instances après le vol de Bitcoin et de Litecoin dans des hot wallets.

Des fonds en cryptomonnaies ont disparu de serveurs de paiement mal à jour. Les équipes de BTCPay Server exhortent donc leurs utilisateurs à installer sans attendre la dernière version du logiciel. Selon le projet, des pirates ont dérobé du Bitcoin et du Litecoin dans des hot wallets associés à des instances exécutant d’anciennes versions.

Cet incident concerne directement les marchands qui encaissent eux-mêmes leurs paiements. En effet, ces derniers assument seuls la sécurité de leur serveur. Voici ce que l’on sait, ce qui reste flou, et les mesures à prendre.

Ce que l’on sait des attaques contre BTCPay Server

BTCPay Server est un processeur de paiement en cryptomonnaies libre et open source. Il s’auto-héberge : chaque commerçant installe et administre sa propre instance. Ainsi, aucun intermédiaire ne conserve les fonds à sa place.

Le projet a ouvert une enquête après plusieurs signalements de vols. Elle conclut que les attaques visaient des serveurs sous BTCPay Server 2.4.1 ou une version antérieure. La version 2.4.1 a été publiée le 23 juillet 2026.

Autrement dit, toute instance qui n’a pas dépassé cette version est considérée comme exposée. Les cryptomonnaies concernées sont le Bitcoin et le Litecoin. Les vols ont touché des portefeuilles « chauds », c’est-à-dire connectés au serveur.

Par ailleurs, les informations disponibles ne précisent pas la nature technique de la vulnérabilité. Aucun identifiant CVE n’est mentionné à ce stade. Les montants dérobés ne sont pas non plus communiqués. Il faut donc rester prudent sur l’ampleur réelle de la campagne.

Pourquoi les hot wallets sont une cible de choix

Un hot wallet est un portefeuille dont les clés privées se trouvent sur une machine reliée à Internet. Il permet de recevoir et d’envoyer des fonds rapidement. C’est pratique pour un site marchand.

Cependant, cette commodité a un prix. Si un attaquant prend le contrôle du serveur ou contourne ses protections, il peut parfois accéder aux fonds. De plus, les transactions en cryptomonnaies sont irréversibles. Un virement frauduleux ne peut pas être annulé.

Les pirates cherchent donc naturellement les logiciels de paiement auto-hébergés. Le gain est immédiat et direct. En outre, ces serveurs sont souvent administrés par de petites structures, qui n’ont pas toujours de processus de mise à jour rigoureux.

Par exemple, un commerçant peut installer BTCPay Server une fois, puis ne plus y toucher pendant des mois. Dans ce cas, chaque correctif manqué élargit la fenêtre d’attaque.

Quelles conséquences pour les marchands ?

Le risque principal est évidemment la perte de fonds. Pourtant, d’autres effets sont possibles. Un serveur compromis peut aussi perturber l’encaissement des clients et entamer la confiance dans la boutique.

Par ailleurs, l’absence de détails publics complique l’évaluation. Un administrateur ne peut pas savoir avec certitude si son instance a été visitée. C’est pourquoi la prudence s’impose, même sans perte constatée.

Toutefois, une chose est claire. Les attaques observées ciblent des versions précises. Les instances à jour au-delà de la 2.4.1 ne sont pas mentionnées comme visées dans les éléments communiqués. La mise à niveau reste donc la première ligne de défense.

Recommandations pour les administrateurs de BTCPay Server

Le message du projet est simple : mettez à jour. Voici les étapes à suivre, à adapter selon votre configuration.

1. Vérifiez votre version dès maintenant. Si elle est égale ou inférieure à 2.4.1, votre instance est concernée.
2. Installez la dernière version de BTCPay Server en suivant la procédure de mise à jour associée à votre mode de déploiement.
3. Contrôlez vos portefeuilles : examinez l’historique des transactions Bitcoin et Litecoin à la recherche de mouvements que vous ne reconnaissez pas.
4. Limitez les fonds en hot wallet au strict nécessaire pour l’activité courante.
5. Transférez le surplus vers un stockage à froid, par exemple un portefeuille matériel.

Ensuite, examinez les journaux du serveur et les comptes utilisateurs. Supprimez les accès inutiles. De plus, envisagez de renouveler les secrets et les accès d’administration si vous suspectez une compromission.

Bonnes pratiques à long terme

Enfin, adoptez une routine. Suivez les annonces de sécurité du projet. Planifiez des mises à jour régulières. Enfin, restreignez l’accès réseau à l’interface d’administration autant que possible.

Ce qu’il faut retenir

• Des vols de Bitcoin et de Litecoin ont frappé des hot wallets liés à des instances BTCPay Server.
• Les serveurs visés exécutaient la version 2.4.1 (publiée le 23 juillet 2026) ou une version plus ancienne.
• Le projet demande d’installer la dernière version du logiciel.
• La nature exacte de la faille et les montants dérobés n’ont pas été précisés dans les informations disponibles.
• Réduire les fonds en hot wallet limite l’impact d’une éventuelle compromission.

Source : Hackers Exploit BTCPay Server Flaw to Steal Bitcoin and Litecoin From Hot Wallets