BTCPay demande aux commerçants de désactiver leurs serveurs après des signalements d'attaques sur les portefeuilles chauds

BTCPay Server, un outil gratuit et open source que les entreprises utilisent pour accepter des paiements en Bitcoin, a demandé aux opérateurs d'éteindre leurs serveurs dimanche après des rapports selon lesquels des attaquants vidaient les portefeuilles chauds qui y étaient connectés.

« Nous recevons des rapports de portefeuilles chauds sur des serveurs BTCPay étant vidés par des attaquants non autorisés », a tweeté le projet à 17 h 25 HE. « Si vous exécutez une instance, veuillez l'arrêter (./btcpay-down.sh) jusqu'à ce que nous terminions l'enquête. »

Environ deux heures plus tard, le fondateur de BTCPay, Nicolas Dorier, a déclaré que les rapports semblaient concerner des versions antérieures à la version 2.4.2, et que l'attaquant s'était connecté aux serveurs affectés avec un accès administrateur.

Plus tard dimanche, le projet a indiqué que son enquête avait identifié un vecteur d'attaque ciblant les instances exécutant la version 2.4.1, publiée le 23 juillet, ou antérieure. « Nous n'avons aucun rapport crédible de vidage de portefeuilles chauds pour les utilisateurs exécutant la dernière version 2.4.7 », a-t-il déclaré, exhortant tout le monde à maintenir son logiciel à jour et demandant aux utilisateurs affectés d'envoyer les détails et les journaux à son équipe de sécurité.

Certains fournisseurs d'hébergement, dont LunaNode, ont arrêté automatiquement des instances BTCPay pour empêcher l'exploitation des versions plus anciennes, a indiqué le projet. BTCPay n'a pas précisé combien de serveurs ont été affectés ni combien de bitcoins ont été dérobés.

Portefeuilles chauds et mise à jour d'urgence de BTCPay

Étant donné que BTCPay est auto-hébergé, chaque commerçant exécute le logiciel sur son propre serveur, et il n'existe aucun opérateur central capable de désactiver les instances. Les commerçants peuvent choisir d'utiliser un portefeuille chaud, qui stocke la graine du portefeuille sur ce serveur connecté à Internet afin qu'il puisse signer automatiquement les transactions. La documentation de BTCPay elle-même étiquette cette fonctionnalité comme « DANGER » et avertit qu'elle « comporte des implications en matière de sécurité ».

BitcoinBTC · USD

$78,016−2.88%

Oct 26Oct 28Oct 30Oct 31Nov 2

$81.8k$80.1k$78.4k$76.7k

24h HighHigh$78,728

24h LowLow$77,599

VolVol$636.6M

→

Acheter Bitcoin avec USDT

Propulsé par Jupiter

Données de prix par CoinGeckoCoinGeckoPlus d'actualités et de projections sur Bitcoin →

Les attaques surviennent quelques jours après que BTCPay a publié la version 2.4.7 jeudi en tant que mise à jour d'urgence corrigeant une vulnérabilité critique et plusieurs de gravité moyenne, qu'il a déclaré avoir été portées à son attention par le scanner de logiciels open source de pointe d'Anthropic. BTCPay n'a pas précisé si les attaques ont exploité l'une de ces failles.

Ce n'est pas la première alerte de sécurité pour le projet cette année. En août, BTCPay a averti qu'une vulnérabilité critique dans toutes les versions antérieures à la 2.4.2 était activement exploitée, et a demandé aux utilisateurs de mettre à jour ou d'arrêter leurs serveurs. Les partisans du projet ont ensuite financé une prime de récupération de 10 % de tout fonds volé restitué, plafonnée à 3 BTC.