Bitcoin : BTCPay Server alerte sur une faille critique activement exploitée qui menace les fonds
On n’est jamais mieux servi que par soi-même, mais encore faut-il fermer la porte derrière soi. BTCPay Server, le processeur de paiement Bitcoin open source et auto-hébergé, a lancé vendredi une alerte de sécurité qui a de quoi glacer le sang de ses utilisateurs : une faille critique est activement exploitée, avec un risque direct de perte de fonds. Pas de détails sur la faille elle-même, l’équipe préférant couper court à toute tentative d’imitation avant que les commerçants et développeurs concernés n’aient eu le temps de se protéger.
Le message tient en une phrase, sèche et sans ambiguïté : mettez à jour, ou éteignez.
- BTCPay Server a émis une alerte de sécurité critique face à une faille exploitée activement, menaçant de pertes de fonds.
- L’équipe a recommandé une mise à jour immédiate à la version 2.4.2 ou l’arrêt du serveur pour éviter tout accès non autorisé.
Une faille active qui pousse BTCPay Server à couper le son
Dans un message publié sur X le 7 août, l’équipe de BTCPay Server a demandé à tous les administrateurs d’installer sans délai la version 2.4.2, en vérifiant l’affichage du numéro de version dans le pied de page du tableau de bord. « Si vous ne pouvez pas mettre à jour tout de suite, éteignez votre BTCPay Server pour empêcher tout accès non autorisé jusqu’à ce que vous puissiez le faire », a prévenu le projet.
L’équipe ne dit rien du mécanisme d’attaque, ni du nombre de serveurs touchés, ni du montant déjà volé. Motus et bouche cousue.
Cette opacité volontaire est une pratique classique de divulgation responsable : publier les rouages d’une faille active reviendrait à distribuer un mode d’emploi aux attaquants, pendant que les victimes potentielles sont encore vulnérables.
Au-delà de la mise à jour, BTCPay Server recommande une série de mesures de nettoyage. Il faut régénérer les macaroons (des jetons d’authentification qui donnent accès au serveur), renouveler les identifiants utilisés avec les nœuds Lightning Network et, surtout, déplacer tous les fonds détenus dans un portefeuille chaud généré directement sur la plateforme, avant d’en recréer un neuf.
Le projet a crédité les chercheurs du Bitcoin Red Team, dont Rob Hamilton, Craig Raw, Calle et Evan Kaloudis, pour avoir signalé la vulnérabilité en privé avant sa divulgation.
« Une faille de sécurité critique est actuellement exploitée sur le serveur BTCPay, ce qui peut entraîner la perte de vos fonds.
Veuillez mettre à jour votre serveur BTCPay vers la version 2.4.2 en vous rendant dans le tableau de bord d’administration, puis dans Serveur > Maintenance > Mise à jour et en vérifiant que la version 2.4.2 est bien affichée en bas de page.
Si vous ne pouvez pas effectuer la mise à jour immédiatement, veuillez désactiver votre serveur BTCPay afin d’empêcher tout accès non autorisé jusqu’à ce que vous puissiez procéder à la mise à jour.»
BTCPay Server, le processeur de paiement Bitcoin préféré des commerçants, exposé comme les autres
BTCPay Server n’est pas un projet marginal. Né comme alternative libre à BitPay, il permet à n’importe quel commerçant d’accepter des paiements en Bitcoin et en Lightning sans intermédiaire ni commission, en gardant l’intégralité de l’infrastructure sous son propre toit.
C’est précisément ce qui a fait sa popularité chez les bitcoiners les plus attachés à l’autonomie du réseau, du petit café qui accepte les sats au commerçant qui refuse de confier ses paiements à une plateforme tierce. Mais c’est aussi ce qui transforme aujourd’hui un incident de sécurité en casse-tête individuel.
Là où un exchange centralisé peut déployer un correctif pour l’ensemble de ses utilisateurs en une seule opération, chaque serveur BTCPay doit être patché un par un, souvent sans équipe technique derrière lui.
Coldcard et Boltz, une semaine noire pour la sécurité de Bitcoin
L’épisode s’ajoute à une semaine déjà chargée pour la sécurité de l’écosystème Bitcoin. Quelques jours plus tôt, la faille de génération de seed touchant les portefeuilles matériels Coldcard avait débouché sur plus de 116 millions de dollars de pertes confirmées, un chiffre qui continuait de grimper au moment de la publication de l’alerte BTCPay.
Deux incidents distincts, deux surfaces d’attaque différentes, un même rappel : posséder ses clés et gérer sa propre infrastructure ne dispense d’aucune vigilance, cela en exige davantage. La vigilance, décidément, ne se délègue pas.
Le Journal du Coin recensait déjà 972 millions de dollars volés en crypto sur les six premiers mois de 2026, un total qui ne tenait pas encore compte de ce nouveau front ouvert sur les paiements marchands.
Plusieurs projets Bitcoin ont d’ailleurs signalé le même phénomène cet été. Le fournisseur de swaps Boltz a par exemple suspendu son service après plusieurs exploits. En cause, des attaques assistées par intelligence artificielle, capables de trouver des failles plus vite que son équipe ne parvenait à les corriger.
BTCPay Server n’a pas confirmé si une IA était impliquée dans la découverte de sa propre faille, mais le doute suffit à alimenter une inquiétude déjà bien installée chez les développeurs de logiciels self-hosted. Pour l’écosystème des outils auto-hébergés, la promesse de souveraineté a toujours eu un prix, celui de devenir soi-même le dernier rempart entre ses fonds et l’attaquant.
Gabriel Montaut
Geek, passionné de SEO, de crypto et d'IA. Responsable SEO pour Journal Du Coin et consultant SEO freelance, je suis investi dans la diffusion et la compréhension des innovations tech en général et m’attache particulièrement à rendre l’actualité accessible au plus grand nombre.
