Vols sur les portefeuilles Lightning LNbits auto-hébergés

Le 10 novembre 2026, LNbits — une plateforme auto-hébergée très répandue de portefeuilles Bitcoin Lightning — a publié une version d'urgence (version 1.7.0) après qu'une vague d'attaques eut vidé des fonds d'installations exploitées de manière indépendante, exhortant les opérateurs du monde entier à arrêter leurs serveurs tandis que le montant total dérobé restait non divulgué.

Ce qui s'est passé

LNbits est un logiciel open source qui permet à chacun d'exécuter son propre portefeuille Lightning ainsi que des services de paiement pour commerçants, de pourboires et de péage de contenu ; son créateur estimait en mai 2026 qu'environ 200 000 personnes l'exécutent elles-mêmes. Le dimanche 8 novembre, le projet a averti les opérateurs de désactiver son extension Paywall pendant qu'il enquêtait sur une faille soupçonnée, puis, environ une heure plus tard, a demandé aux utilisateurs d'arrêter immédiatement leurs serveurs LNbits, invoquant une vague d'attaques en cours contre les instances auto-hébergées. LNbits a indiqué que la vulnérabilité touchait toutes les versions antérieures à la 1.7.0 et exposait les fonds des portefeuilles à un risque de vol ; le projet a également mis hors ligne ses propres installations hébergées. La cause technique profonde n'a pas été publiée dans l'immédiat, un rapport distinct sur l'exploit étant annoncé. Aucun montant de perte global n'a été divulgué ; un opérateur, Kevin Ravensberg, a signalé que des attaquants avaient utilisé des comptes nouvellement créés pour retirer environ 2,3 millions de satoshis (~0,023 BTC) de son instance avant qu'il ne puisse réagir.

Conséquences

Le simple correctif ne suffisait pas : LNbits a prévenu qu'une mise à jour ne protégerait pas les installations dont les identifiants avaient déjà été compromis, et a conseillé aux opérateurs de réinitialiser les clés du portefeuille, de remplacer les identifiants de la source de financement, de considérer comme compromis tous les secrets stockés dans les paramètres et de migrer vers un nouveau serveur en cas de suspicion d'intrusion. L'ampleur totale — combien des quelque 200 000 instances auto-hébergées ont été touchées et combien de bitcoins ont été dérobés — n'était pas chiffrée au moment de la rédaction, et aucune adresse d'attaquant ni hash de transaction n'a été publié.

Pourquoi c'est important

L'incident fait écho à la série de compromissions d'infrastructures auto-hébergées du catalogue, où le point faible réside dans le logiciel géré par l'opérateur plutôt que dans un contrat on-chain — le plus directement les vols de hot wallets de BTCPay Server quelques semaines plus tôt. Avec des centaines de milliers d'installations indépendantes, une seule faille côté serveur devient une urgence à grande échelle, et comme de nombreux opérateurs conservent de vrais soldes d'utilisateurs, le rayon d'impact est impossible à mesurer de façon centralisée. C'est un rappel que l'éthos d'auto-conservation de Lightning fait peser la charge de sécurité sur les opérateurs, qui doivent corriger, faire tourner les secrets et surveiller par eux-mêmes.