Vidage de hot wallets sur BTCPay Server

Entre le 30 octobre et le 2 novembre 2026, les attaquants ont vidé les hot wallets de commerçants exécutant des installations obsolètes de BTCPay Server, emportant environ 1,6 million de dollars — soit près de 18,38 BTC et 3 405 LTC — au cours d'une campagne de 682 petits balayages automatisés contre des serveurs de paiement auto-hébergés.

Ce qui s'est passé

BTCPay Server est un logiciel open source auto-hébergé qui permet aux commerçants d'accepter des paiements Bitcoin et Lightning directement dans leurs propres hot wallets. BTCPay a déclaré que les attaques « visaient les serveurs exécutant BTCPay Server 2.4.1 (publié le 23 juillet 2026) ou antérieur », et n'a signalé aucun vidage crédible sur la version actuelle 2.4.7. Le projet n'a pas révélé quelle faille exacte a donné à l'attaquant l'accès administrateur ; son développeur principal a évoqué des « traces indiquant que des vulnérabilités antérieures à 2.4.2 ont été utilisées », et un bug critique d'août 2026 — corrigé dans la version 2.4.2 le 7 août — avait permis à des attaquants non authentifiés de dérober les identifiants Lightning LND.

Selon l'enquête de Bitquery, le premier balayage visible a eu lieu le 30 octobre à 08:22 UTC, et 87 % des fonds se sont déplacés en une seule vague le 1er novembre entre 14:12 et 22:16 UTC. BTCPay a publié son alerte publique à 22:25 le 1er novembre — environ 62 heures après le premier vol — mais 267 balayages supplémentaires d'une valeur d'environ 150 000 USD ont suivi jusqu'au matin du 2 novembre. Sur 682 balayages au total, environ la moitié étaient inférieurs à 100 USD, tandis que 32 balayages de 10 000 USD ou plus représentaient 77 % de la valeur. BTCPay a nommé une adresse collectrice Bitcoin (bc1p0f7wm…) et une Litecoin (ltc1qp49tm…) ; au 2 novembre, l'essentiel du butin dormait encore dans des adresses de paiement neuves, sans retrait vers une plateforme d'échange observé.

Conséquences

• BTCPay a exhorté chaque opérateur à considérer toute la machine et tous les secrets qui s'y trouvent comme compromis, à reconstruire sur un serveur neuf avec une graine de wallet entièrement nouvelle et à ne conserver que les fonds opérationnels en stockage chaud.
• Les opérateurs ont été avertis que le simple patch ne suffit pas : les attaquants peuvent conserver l'accès via des identifiants volés, d'où la recommandation de faire tourner les clés d'API, les mots de passe admin et d'activer la 2FA.
• La version 2.4.7 avait auparavant corrigé un problème critique et plusieurs de gravité moyenne mis au jour par une analyse de sécurité open source automatisée.
• Aucune identité d'attaquant n'a été établie et le nombre de serveurs touchés reste inconnu ; les totaux de Bitquery constituent un plancher ne couvrant que les wallets nommés.

Pourquoi c'est important

L'incident BTCPay est un vol à la couche d'infrastructure et non un exploit de contrat intelligent : les fonds n'ont pas été pris en cassant un protocole, mais en compromettant le logiciel auto-hébergé qui les détenait. Il reflète un schéma récurrent de 2026 où la compromission opérationnelle et serveur — et non les bugs de contrat — entraîne les pertes de garde, comme on l'a vu avec l'intrusion serveur de Gamdom et la brèche de hot wallet de Mercado Bitcoin. C'est aussi une dure leçon sur la latence de correctif : le correctif était sorti 86 jours plus tôt, mais des centaines d'opérateurs tournaient encore sur des versions vulnérables, et la longue traîne de balayages inférieurs à 100 USD montre comment les attaquants raclent méthodiquement même les plus petits soldes de commerçants une fois l'accès admin en main.