Les responsables du projet BTCPay Server, un processeur de paiement open source pour les cryptomonnaies, ont lancé une alerte de sécurité urgente aux utilisateurs de la plateforme, après avoir détecté une série d'attaques visant à vider les "portefeuilles à chaud" (Hot Wallets) associés aux serveurs fonctionnant avec d'anciennes versions du logiciel.
Détails de la vulnérabilité
Nicolas Dorier, fondateur du projet, a confirmé que les enquêtes ont révélé l'existence d'un vecteur d'attaque ciblant spécifiquement les versions antérieures à la 2.4.2, où les attaquants ont pu obtenir des privilèges d'administrateur sur ces serveurs. Une vulnérabilité critique a été découverte précédemment via l'outil d'analyse Frontier OSS de la société Anthropic, ce qui a poussé l'équipe à publier la mise à jour de sécurité d'urgence 2.4.7.
L'équipe a indiqué que les attaques ne visaient pas les serveurs publics, mais se concentraient sur les instances auto-hébergées qui n'avaient pas été mises à jour. Jusqu'à présent, il n'y a aucun rapport fiable faisant état de piratages subis par les utilisateurs ayant effectué la mise à jour vers la version 2.4.7.
Que doivent faire les utilisateurs ?
Le projet a insisté sur la nécessité de prendre des mesures immédiates pour protéger les actifs numériques, en particulier pour les utilisateurs qui dépendent encore de la version 2.4.1 ou antérieure :
- Mise à jour immédiate : Tous les opérateurs doivent effectuer la mise à jour vers la version 2.4.7 via les paramètres du serveur (Server Settings → Maintenance → Update).
- Arrêt des serveurs : Il est fortement conseillé d'arrêter immédiatement les serveurs affectés par mesure de précaution jusqu'à ce que le processus de mise à jour soit terminé.
- Pour les utilisateurs de Docker : La mise à jour peut être effectuée en accédant au serveur via SSH, en entrant dans le répertoire d'installation (btcpayserver-docker) et en exécutant la commande de mise à jour (./btcpay-update.sh).
Pourquoi cette nouvelle est-elle importante ?
L'importance de cet avertissement réside dans la nature de BTCPay Server en tant que solution de paiement auto-hébergée ; l'utilisateur assume l'entière responsabilité de la sécurité de son serveur et de ses actifs numériques sans intermédiaire. L'exploitation des vulnérabilités d'accès administratif signifie que les attaquants peuvent prendre le contrôle total des opérations de paiement et de leur vérification, ce qui menace directement les fonds des commerçants et des utilisateurs. L'équipe a demandé aux personnes touchées d'envoyer les détails des incidents à leur adresse e-mail de sécurité (security@btcpayserver.org) et de signaler la perte de fonds aux autorités locales.