BTCPay Server a identifié un vecteur d’attaque touchant les anciennes versions de son logiciel de paiement après avoir reçu des signalements de retraits non autorisés depuis les portefeuilles à chaud d’utilisateurs.
La plateforme de paiement Bitcoin a déclaré que son enquête avait révélé que l’attaque ciblait les instances de serveurs exécutant la version 2.4.1 ou une version antérieure. Cette version a été publiée le 23 juillet 2026. BTCPay a exhorté les opérateurs utilisant des versions potentiellement concernées à arrêter leurs serveurs et à mettre à jour leurs installations.
Le projet a déclaré n’avoir reçu aucun signalement crédible de retraits de fonds depuis des portefeuilles à chaud concernant des utilisateurs exécutant sa dernière version, la version 2.4.7. Il avait auparavant publié un avertissement demandant aux opérateurs de mettre leurs instances de serveurs hors ligne pendant la poursuite de l’enquête sur les retraits non autorisés, et avait fourni des instructions d’arrêt.
BTCPay Server n’a pas indiqué combien d’opérateurs pourraient être concernés, le montant des fonds prétendument volés ni la méthode technique utilisée pour accéder aux portefeuilles. Il a demandé aux utilisateurs concernés d’envoyer les informations et journaux pertinents à son équipe de sécurité.
Ces signalements font suite à un incident antérieur, survenu il y a moins de trois mois, au cours duquel BTCPay avait restreint l’accès distant à Lightning après qu’une attaque menée en août avait exploité une vulnérabilité pour obtenir des identifiants de Lightning Network Daemon et voler des fonds. Il reste incertain que cette vulnérabilité soit liée au dernier vecteur d’attaque.
Sources: Cointelegraph.