Faille critique BTCPay Server : des nœuds Lightning vidés, une urgence absolue pour les opérateurs

Cet article détaille ce qui s'est passé, qui a été touché, les mesures d'urgence que les opérateurs ont dû prendre, et le paysage de sécurité plus large de cette semaine tumultueuse.

La vulnérabilité BTCPay Server : une erreur de logique dans l'authentification API

La faille exploitée dans BTCPay Server était une erreur de logique dans la couche d'authentification de l'API Greenfield, l'interface utilisée par les intégrateurs externes, les systèmes automatisés et les backends de portefeuilles . Concrètement, elle permettait à un attaquant distant non authentifié d'exfiltrer les fichiers de credentials .macaroon de LND — les jetons d'accès qui régissent les permissions sur les nœuds Lightning Network .

Une fois en possession des credentials macaroon, les attaquants pouvaient prendre le contrôle total du nœud LND connecté et vider le solde de ses canaux . La vulnérabilité a été découverte et divulguée de manière responsable par la Bitcoin Red Team .

Clarification importante : Il s'agit d'une faille au niveau logiciel/application. Le protocole sous-jacent de Bitcoin n'a pas été compromis . L'attaque ciblait la logique d'authentification du processeur de paiement auto-hébergé, et non la blockchain Bitcoin ou le protocole Lightning Network lui-même.

Qui a été touché

La vulnérabilité concernait spécifiquement les configurations utilisant LND (Lightning Network Daemon), le logiciel le plus utilisé pour faire fonctionner un nœud Lightning .

• Commerçants, exchanges et backends de portefeuilles utilisant BTCPay Server avec LND, sur toute version antérieure à la 2.4.2, y compris les versions candidates 2.4.2
• Les portefeuilles on-chain chauds générés dans BTCPay étaient également à risque si un attaquant parvenait à prendre le contrôle total du serveur
• Les utilisateurs qui n'utilisaient pas LND ou qui n'utilisaient pas du tout Lightning n'étaient pas exposés au risque de vol de credentials

Plusieurs organisations Bitcoin bien connues utilisant BTCPay ont confirmé que leurs nœuds Lightning avaient été vidés. Foundation, un fabricant de wallets matériels, et Citadel21, une publication Bitcoin, figurent parmi les victimes confirmées .

Actions d'urgence requises pour les opérateurs

BTCPay Server et son principal mainteneur Nicolas Dorier ont publié un avis d'urgence avec deux impératifs :

1. Mettre à jour immédiatement — Passer à BTCPay Server version 2.4.2 via Admin Dashboard → Server → Maintenance → Update, et vérifier la chaîne de version dans le pied de page .
2. Éteindre le serveur en cas d'impossibilité de mise à jour immédiate .

De plus, les opérateurs ont été informés qu'ils devaient également révoquer et régénérer tous les credentials macaroon LND, car le correctif ne faisait qu'empêcher le vol futur de credentials. Les credentials déjà dérobés pendant la fenêtre d'exploitation restaient valides et pouvaient encore être utilisés pour vider les fonds . Le projet a également recommandé de mettre à niveau NBXplorer, le backend de suivi de portefeuille de BTCPay, vers la version 2.6.10 .

Autres incidents de sécurité de la couche de paiement Bitcoin la même semaine

L'exploit BTCPay a été la deuxième brèche majeure dans l'infrastructure Bitcoin en l'espace d'une dizaine de jours. Tous deux se sont produits fin juillet et début août 2026, créant ce que certains médias ont appelé la « semaine des exploits » du Bitcoin .

Faille du firmware du wallet matériel Coldcard (30 juillet – 3 août)

Une vulnérabilité critique dans la version 4.0.0 du firmware de Coldcard, présente depuis mars 2021, faisait que l'appareil contournait sa puce de génération aléatoire matérielle dédiée lors de la création des clés, utilisant à la place un substitut logiciel prévisible . Cela rendait les phrases de récupération (seed phrases) énumérables par les attaquants.

Les attaquants ont exploité cette faille pour voler plus de 116 millions de dollars en Bitcoin à partir de plus de 5 200 adresses en quatre vagues de vols commencées le 30 juillet . Galaxy Research a suivi les mouvements on-chain et identifié au moins 15 attaquants différents exploitant la faille . Le total estimé des vols variait de 116 millions à plus de 130 millions de dollars selon la valorisation au moment des rapports .

Audit de sécurité automatisé à grande échelle (8 août)

En réponse directe aux incidents Coldcard et BTCPay, un groupe bénévole de développeurs Bitcoin a lancé un audit de sécurité coordonné à l'aide d'outils d'IA. En 24 heures, ils ont identifié près de 5 000 vulnérabilités de sécurité dans environ 400 projets, la situation étant décrite comme « extrêmement grave » . Les résultats comprenaient 85 bugs critiques et 635 bugs de haute sévérité, dont la plupart avaient déjà été vérifiés par les propriétaires des projets .

Enseignements clés pour les opérateurs Bitcoin

1. Corriger immédiatement dès qu'un avis critique est émis. L'équipe BTCPay a été transparente sur l'exploit actif, mais certains opérateurs ont retardé la mise à jour, ce qui a entraîné des pertes confirmées .
2. La révocation des credentials est aussi importante que le correctif. Un correctif qui ferme une vulnérabilité n'invalide pas les credentials déjà volés. Après la mise à jour BTCPay, les opérateurs devaient encore révoquer et régénérer tous les macaroon LND .
3. La sécurité de la couche 2 dépend de la vigilance de l'opérateur de la couche 1. Bien que le protocole Lightning Network lui-même n'ait pas été compromis, l'exposition des credentials via l'API de BTCPay a montré que des faiblesses dans les logiciels de paiement auto-hébergés peuvent entraîner des pertes de fonds pour les utilisateurs de Lightning .
4. L'écosystème s'auto-audite. L'audit de sécurité bénévole utilisant l'IA, qui a trouvé près de 5 000 vulnérabilités dans 400 projets, démontre à la fois l'ampleur du problème et la volonté de la communauté d'y remédier .

L'incident BTCPay Server et l'exploit parallèle de Coldcard représentent un tournant pour la sécurité de l'infrastructure Bitcoin. Ces événements ont intensifié les appels à des révisions de code plus rigoureuses, à des outils de sécurité automatisés et à des protocoles de réponse plus rapides dans tout l'écosystème Bitcoin open-source.