Le 2 novembre 2026, BTCPay Server a confirmé des vols de bitcoins et de litecoins sur ses versions 2.4.1 et antérieures. Les installations exposées doivent être reconstruites, même si leur solde semble intact. [1]
Recevoir un paiement et garder les clés sont deux fonctions distinctes
BTCPay Server permet de gérer les paiements d’une boutique et leur suivi. Son portefeuille intégré affiche les opérations reçues, envoyées ou encore non confirmées. Pour dépenser des fonds, une transaction doit toutefois être signée : la documentation prévoit notamment le recours à un portefeuille matériel ou à un portefeuille dit « chaud ». [2]Cette distinction détermine ce qu’un serveur peut faire. Avec un portefeuille chaud, les clés permettant de dépenser sont conservées sur la machine. Avec un appareil matériel séparé, la signature peut rester hors du serveur. La photographie de cet article illustre cette seconde organisation ; elle ne montre pas un équipement impliqué dans les vols. [2][3]
Un correctif ancien, des installations encore exposées
La faille avait été corrigée le 7 août dans la version 2.4.2. Après les signalements du 1er novembre, des hébergeurs ont arrêté des installations par précaution. Le projet n’a constaté aucun impact de ces attaques sur les serveurs qui utilisaient déjà la version 2.4.2 ou une version ultérieure lors de l’alerte. [1]Pourquoi repartir d’une machine saine
L’avis officiel recommande un nouveau portefeuille, créé depuis un appareil fiable, pour recueillir les fonds restants, puis un serveur neuf. Il demande de préserver les journaux et de remplacer les secrets potentiellement exposés. Réutiliser l’ancienne phrase de récupération ou restaurer entièrement l’ancienne machine reste dangereux. Une mise à jour ne retire pas forcément un accès déjà obtenu. [1]Pour comprendre cette recommandation, il faut distinguer réparation du logiciel et restauration de la confiance. Fermer une porte ne permet pas de savoir ce qu’une personne a copié avant sa fermeture. L’opérateur doit donc examiner séparément l’état de son installation et celui des clés qui autorisent les dépenses.
Une estimation des pertes, pas encore un bilan définitif
Dans son analyse du 2 novembre, Bitquery estime à environ 1,63 million de dollars les mouvements qu’il rattache à l’incident : 18,38 BTC et 3 405 LTC, au travers de 682 transferts. Son observation s’arrête à 6 h UTC ce jour-là et ne permet pas de compter les serveurs touchés. [3]BTCPay précise que les mouvements des adresses signalées ne prouvent pas le total des pertes. L’étendue de l’incident reste donc incertaine. [1]
Sources
[1] BTCPay Server — Avis de sécurité du 2 novembre 2026. Consulté le 3 novembre 2026.[2] BTCPay Server — Documentation du portefeuille, sans date de publication indiquée. Consultée le 3 novembre 2026.
[3] Gaurav Agarwal, Bitquery — Analyse des transactions, 2 novembre 2026. Consultée le 3 novembre 2026.
