Des portefeuilles vidés en quelques heures
Le projet open-source BTCPay Server, utilisé par de nombreux commerçants pour accepter les paiements en bitcoin, a demandé à ses utilisateurs d’éteindre leurs serveurs en urgence. Cette alerte fait suite à plusieurs signalements de portefeuilles chauds (hot wallets) vidés, un incident qui a semé la panique dans la communauté crypto ce mercredi. Les premiers retours font état de fonds disparus sur des installations utilisant le logiciel de paiement dans sa version 2.4.1 ou antérieure.
À ce stade, aucun chiffre précis n’a été communiqué concernant le montant total dérobé, ni même le nombre exact d’opérateurs affectés par cette attaque.
L’équipe BTCPay Server reste prudente et n’a pas encore annoncé de solution définitive. Le projet enquête toujours sur l’origine de la faille et tente de collecter davantage d’informations auprès des victimes.
La version 2.4.1, publiée le 23 juillet 2026, est spécifiquement mentionnée comme vulnérable par les développeurs.
Versions obsolètes pointées du doigt
Les regards se tournent rapidement vers les versions anciennes du logiciel BTCPay. Les développeurs ont identifié que la faille toucherait principalement les installations fonctionnant avec la version 2.4.1 ou antérieure, publiée le 23 juillet 2026. Cette précision permet aux utilisateurs de mieux cerner le périmètre du risque et d’agir en conséquence.
Aucune alerte similaire n’a été émise pour la version 2.4.7, qui reste à ce jour la dernière mouture disponible et semble épargnée par l’attaque.
Selon cointelegraph.com, il n’existe aucun rapport crédible faisant état de vols sur cette version récente, ce qui renforce l’urgence pour les opérateurs d’effectuer une mise à jour immédiate s’ils ne l’ont pas déjà fait.
Voir Aussi
BTCPay ordonne l’arrêt immédiat
Face à l’ampleur de l’incident et au manque d’informations techniques précises, BTCPay Server a recommandé sans attendre à ses utilisateurs de couper leurs serveurs afin de limiter les dégâts potentiels. Cette décision radicale vise à empêcher d’autres attaques tant que la vulnérabilité n’a pas été totalement identifiée et corrigée.
Le fondateur du projet a précisé que les versions concernées semblent être toutes antérieures à la 2.4.2, confirmant ainsi que les installations non mises à jour sont particulièrement exposées au risque de vol.
En août dernier déjà, BTCPay avait dû restreindre l’accès Lightning à distance après une attaque exploitant une faiblesse liée aux identifiants LND, preuve que la sécurité des wallets reste un défi récurrent pour l’écosystème Bitcoin.
La version 2.4.7 semble épargnée
Pour l’instant, il est incertain combien d’opérateurs ont été touchés ni quelle somme totale a été dérobée lors de cette vague d’attaques ciblant les hot wallets BTCPay Server. Ce flou complique la tâche des équipes techniques et laisse les utilisateurs dans l’expectative quant à l’étendue réelle des pertes subies.
Les points de suivi essentiels
La communauté attend la publication par BTCPay Server des détails techniques sur la faille ayant permis le vidage de hot wallets sur les versions 2.4.1 et antérieures, alors qu’aucun chiffre de pertes ni nombre d’opérateurs affectés n’a été communiqué à ce jour ; si une solution officielle ou un correctif est annoncé, il sera immédiatement scruté par les utilisateurs encore exposés, mais le calendrier de cette annonce reste incertain.