BTCPay Server alerte sur une faille critique en cours d'exploitation et demande une mise à jour immédiate vers la v2.4.2

BTCPay Server a appelé le 7 août ses utilisateurs à installer immédiatement la version 2.4.2, après la découverte d'une vulnérabilité critique activement exploitée, susceptible d'entraîner une "perte de fonds", selon un message publié sur le compte X officiel du projet. Mesures à prendre sans attendre Les opérateurs doivent appliquer la mise à jour via l'interface de maintenance intégrée : Admin Dashboard → Server → Maintenance → Update, puis vérifier que le pied de page du serveur affiche bien la version 2.4.2. Si l'installation du correctif n'est pas possible immédiatement, le projet recommande de couper BTCPay Server jusqu'au déploiement de la version corrigée. BTCPay Server conseille explicitement de mettre hors ligne les serveurs concernés afin d'empêcher tout nouvel accès non autorisé. Ce que l'on sait — et ce qui reste inconnu Le projet qualifie la faille de critique et confirme une exploitation active. En revanche, l'équipe n'a pas précisé quelles versions antérieures sont vulnérables, la méthode d'intrusion, le nombre d'instances compromises, ni si des pertes de fonds ont déjà eu lieu. Aucun indicateur de compromission ni détail technique n'a été publié à ce stade, ce qui peut limiter la capacité des opérateurs à déterminer s'ils ont été visés. Pourquoi c'est important BTCPay Server est un processeur de paiement open source et auto-hébergé permettant aux commerçants d'accepter des paiements en Bitcoin et via Lightning sur une infrastructure qu'ils contrôlent. Ce modèle non-custodial réduit la dépendance à des tiers, mais transfère la responsabilité des mises à jour et de la sécurité à chaque opérateur. Une instance compromise peut affecter les opérations de paiement ou d'autres fonctions sensibles du serveur, selon la nature de la faille. Contexte plus large Cette annonce intervient après un incident de sécurité récent chez Zeus Wallet, qui a temporairement mis des systèmes hors ligne à la suite d'une cyberattaque ; Zeus a indiqué qu'aucun fonds client n'avait été perdu et que son enquête n'avait identifié aucune vulnérabilité du logiciel de nœud Lightning. Aucun élément ne relie à ce stade les deux événements. Dans le même temps, les revues de sécurité dans l'écosystème Bitcoin se renforcent : le Bitcoin Red Team, une initiative bénévole, a récemment signalé près de 5'000 problèmes potentiels sur 390 projets, dont 720 classés "élevés" ou "critiques". À retenir À traiter comme une urgence, pas comme une maintenance de routine : mettez à jour en v2.4.2 via l'interface officielle du serveur ou éteignez le serveur jusqu'à pouvoir installer la version corrigée. Les opérateurs sont également invités à examiner l'activité du serveur à la recherche de signes d'accès non autorisé, en gardant à l'esprit qu'aucun indicateur de compromission n'a encore été communiqué. Des détails techniques supplémentaires pourraient être publiés une fois qu'un nombre suffisant d'utilisateurs aura appliqué le correctif et que la divulgation n'augmentera plus le risque pour les systèmes non mis à jour.