BTCPay Server alerte sur des vols de bitcoins et de litecoins depuis les versions 2.4.1 et antérieures

Le 2 novembre 2026, BTCPay Server a publié un bilan d'incident : des bitcoins et des litecoins ont été volés le 1er novembre dans des hot wallets d'instances restées en version 2.4.1, sortie le 23 juillet 2026, ou antérieure. Le projet définit un hot wallet comme un portefeuille dont les clés qui permettent de dépenser les fonds sont conservées sur le serveur lui-même.

Les attaquants ont employé une autre méthode pour exploiter la faille corrigée dans la version 2.4.2, publiée le 7 août 2026. L'avis de ce jour-là parlait d'identifiants LND, une implémentation du Lightning Network, et écartait alors les portefeuilles on-chain. Le bilan du 2 novembre porte sur des bitcoins et des litecoins partis de hot wallets.

The attackers used a different method to exploit the vulnerability fixed in 2.4.2, released on 7 August 2026.

Qui doit changer de serveur

La version s'affiche en bas de page, une fois connecté. Les serveurs déjà en 2.4.2 ou au-delà au moment de l'avertissement du 1er novembre 2026 n'ont pas montré d'impact dans les signalements examinés. Une instance encore en 2.4.1 ou plus ancienne doit passer sur un serveur neuf avec un nouveau portefeuille, après le transfert des fonds encore présents. La consigne vaut sans vol constaté, et elle vaut aussi si le logiciel a été mis à jour après l'avertissement. Si des fonds ont disparu ou si un accès non autorisé apparaît, la machine et ses secrets sont à traiter comme compromis.

Les fonds dont les clés de dépense sont hors du serveur, y compris dans un portefeuille matériel, n'ont pas été touchés. La reconstruction reste demandée même dans ce cas. Autre affaire de clés sorties d'un appareil : les 18 835 portefeuilles Keystone détruits après le vol d'une clé de vérification.

Quatre gestes, dans l'ordre

Une note de Kukks, contributeur du projet, rappelle qu'une mise à jour ne retire pas un accès déjà obtenu, et qu'un solde inchangé ne prouve pas l'absence d'intrusion. BTCPay Server décrit ensuite la remise en service.

• Créer un portefeuille neuf et y transférer les fonds restants depuis un appareil de confiance, avec une graine neuve. Réutiliser l'ancienne graine laisse ces fonds exposés.

• Mettre l'ancien serveur hors ligne après avoir conservé les journaux et les relevés de transactions.

• Installer la dernière version prise en charge sur une machine virtuelle neuve, depuis des sources de confiance, sans recopier l'ancien serveur.

• Remplacer, depuis un appareil de confiance, les accès que l'ancienne machine pouvait utiliser : hébergement, SSH, application, API et identifiants Lightning. Ne pas saisir ces secrets sur l'ancienne machine.

Sur GitHub, la version étiquetée la plus récente au 2 novembre 2026 est la 2.4.7, publiée le 29 octobre 2026 à 13 h 48 UTC. Sa note la présente comme un correctif de sécurité, de fiabilité et de comptabilité des paiements, avec des signalements issus du programme de scan de code ouvert d'Anthropic. Elle s'installe sur la machine neuve. Elle ne remplace ni le transfert des fonds ni le changement de secrets.

Ce que le projet a daté

Toutes les heures du billet sont en UTC. Le 1er novembre à 13 h 46, un vol de portefeuille décrit dans les signalements a lieu. BTCPay Server n'a pas établi quand l'exploitation a commencé. À 20 h 56, le premier courriel de vol arrive. Le projet contacte des hébergeurs, dont LunaNode, pour couper des instances par précaution. À 22 h 25, son compte X demande d'éteindre les serveurs le temps de l'enquête. Le 2 novembre, la mise à jour d'enquête désigne les versions 2.4.1 et antérieures.

Deux adresses, pas de total officiel

Le bilan cite deux adresses vues dans les signalements : bc1p0f7wmcnesrapznymf9ljdn04pudgmh96sqtrm9vmgqxdh666fh8qvn63r7 en bitcoin, et ltc1qp49tmfdueyaqrmgrx0uyx4uegyygt8yt02whee en litecoin. Certaines opérations semblent antérieures aux vols décrits. Soldes et historiques ne sont pas un total confirmé des pertes.

Relevées le 2 novembre 2026 dans l'après-midi UTC, ces adresses montraient un trafic important. Sur mempool.space, l'adresse bitcoin comptait 665 transactions, 19,85017820 BTC reçus et 19,83793594 BTC déjà dépensés, soit un solde confirmé de 0,01224226 BTC, plus 0,01097624 BTC encore non confirmés. Sur BlockCypher, l'adresse litecoin avait reçu 3 445,54314593 LTC et en conservait 3 425,54313183. Ces montants décrivent les adresses. Ils ne sont pas un butin certifié par BTCPay Server.

Pour un hot wallet encore utile au quotidien, seuls les fonds des opérations du jour doivent rester sur le serveur. Le reste va vers un portefeuille dont les clés de dépense sont détenues ailleurs.

Sources

• Security Incident Affecting BTCPay Server 2.4.1 and Earlier, billet de BTCPay Server daté du 2 novembre 2026.

• Security Advisory: Update BTCPay Server to 2.4.2 Immediately, avis du 7 août 2026.

• BTCPay Server 2.4.2 et BTCPay Server 2.4.7, notes de version sur GitHub.

• Avertissement du 1er novembre sur X, mise à jour d'enquête et note de reconstruction de Kukks.

• BTCPay Server warns of hot wallet thefts targeting outdated instances, BleepingComputer, 2 novembre 2026, 15 h 03 UTC.

• Adresse bitcoin sur mempool.space et adresse litecoin sur BlockCypher, relevés du 2 novembre 2026.