BTCPay Server demande aux commerçants d’éteindre leurs serveurs après le siphonnage de bitcoins dans des portefeuilles chauds

BTCPay Server a demandé dimanche 1er novembre à tous ceux qui utilisent le logiciel de l’éteindre. « Nous recevons des signalements de portefeuilles chauds sur des serveurs BTCPay vidés par des attaquants non autorisés », a publié le projet sur X, en demandant aux opérateurs de laisser leurs instances hors ligne jusqu’à la fin de son enquête.

BTCPay est un logiciel libre et gratuit que des commerces et d’autres entreprises hébergent sur leurs propres serveurs pour recevoir directement des paiements en bitcoin, sans dépositaire intermédiaire. Certains commerçants utilisent un portefeuille chaud, dont la phrase de récupération est stockée sur le serveur afin qu’il puisse envoyer des paiements sans validation distincte, une fonction que la documentation de BTCPay signale comme dangereuse, selon CoinDesk.

Le fondateur Nicolas Dorier a ensuite déclaré que les signalements semblent concerner des versions antérieures à la 2.4.2, que l’attaquant s’est connecté en tant qu’administrateur et que les serveurs publics du projet, en version 2.4.7, n’ont pas été attaqués, selon CoinDesk. L’équipe n’a pas dit comment l’attaquant est entré ni confirmé que les versions plus récentes sont sûres. TokenPost a rapporté que le projet a demandé aux opérateurs touchés d’installer la version actuelle et d’envoyer leurs journaux à son équipe de sécurité.

BTCPay n’a publié ni montant des pertes ni nombre de serveurs touchés. En août, le projet avait corrigé une autre faille, présente dans les versions antérieures à la 2.4.2, qui exposait les identifiants de nœuds Lightning.