BTCPay Server a exhorté les utilisateurs à arrêter leurs instances après des signalements selon lesquels des attaquants auraient siphonné des bitcoins des portefeuilles actifs de commerçants connectés à Internet. Le projet n’a pas communiqué le montant des pertes ni le nombre de serveurs touchés, annoncé de correctif ou confirmé que les versions récentes étaient sûres. Son fondateur, Nicolas Dorier, a déclaré que les signalements semblaient concerner des versions antérieures à la 2.4.2 et que les attaquants s’étaient connectés avec des droits administrateur. Les enquêteurs ignorent encore comment ils les ont obtenus.
Pourquoi c’est important
BTCPay est un logiciel open source que les entreprises installent sur leurs propres serveurs pour accepter directement les paiements en bitcoins, sans passer par un dépositaire tiers. Ce modèle laisse les commerçants maîtres de leurs fonds, mais signifie aussi que chaque opérateur doit sécuriser et arrêter son propre système. Le projet ne peut pas désactiver de manière centralisée toutes les instances touchées.
Le risque signalé concerne principalement les portefeuilles actifs, dont les phrases de récupération sont stockées sur des serveurs connectés à Internet. La documentation de BTCPay indique que le logiciel peut utiliser une phrase de récupération enregistrée pour signer automatiquement les paiements. Si un attaquant prend le contrôle d’un serveur, cette fonctionnalité peut mettre les fonds en danger sans qu’une approbation distincte du commerçant soit nécessaire.
Incidence sur le marché
L’appel à arrêter les serveurs reste valable pendant la poursuite de l’enquête et ne concerne pas seulement une version précise du logiciel. Dorier a indiqué que les serveurs publics de BTCPay, qui utilisent la version 2.4.7, n’avaient pas été attaqués, sans toutefois confirmer que les versions plus récentes étaient sûres.
Cette alerte fait suite à un incident distinct survenu en août et concernant des versions antérieures à la 2.4.2, où une faille avait exposé des fichiers contenant des identifiants LND. BTCPay avait corrigé ce problème dans la version 2.4.2. Il n’est pas établi que les signalements actuels concernent la même vulnérabilité. Les commerçants utilisant BTCPay restent dans l’incertitude tant que le projet n’a pas identifié la cause et fourni des consignes claires.
Questions fréquemment posées
-
Pourquoi BTCPay Server a-t-il demandé aux opérateurs d’arrêter leurs instances ?
Le projet a reçu des signalements faisant état d’attaquants qui siphonnaient des bitcoins des portefeuilles actifs de commerçants connectés à Internet. Il a demandé aux opérateurs d’arrêter leurs instances pendant l’enquête.
-
Quelles versions de BTCPay Server seraient concernées par les signalements ?
Son fondateur, Nicolas Dorier, a déclaré que les signalements semblaient concerner des versions antérieures à la 2.4.2. Le projet n’a pas confirmé que les versions plus récentes étaient sûres.
-
Comment un serveur compromis peut-il mettre en danger un portefeuille actif BTCPay ?
La phrase de récupération d’un portefeuille actif est stockée sur un serveur connecté à Internet. BTCPay peut l’utiliser pour signer automatiquement les paiements : le contrôle du serveur peut donc mettre les fonds du portefeuille en danger.
-
BTCPay sait-il comment les attaquants ont obtenu l’accès ?
Non. Dorier a indiqué que les attaquants s’étaient connectés avec des droits administrateur, mais l’équipe n’a pas déterminé comment ils les avaient obtenus.
-
Quel lien existe entre l’alerte actuelle et l’incident BTCPay précédent ?
En août, des attaquants ont dérobé des fonds en exploitant une faille dans les versions antérieures à la 2.4.2, qui exposait des fichiers contenant des identifiants LND. BTCPay a corrigé cette faille, mais n’a pas établi si les signalements actuels ont la même cause.
WuBlockchain
CryptoSlate
TheBlock
Altcoin Daily
WatcherGuru
Lookonchain
Crypto Rank News