BTCPay Server alerte sur l'exploitation active d'une vulnérabilité critique

Selon CoinMarketCap, BTCPay Server a averti vendredi ses utilisateurs qu'une vulnérabilité critique est actuellement exploitée, avec à la clé un risque d'accès non autorisé et de perte de fonds. Le projet recommande d'appliquer une mise à jour sans délai. Si la mise à jour ne peut pas être déployée rapidement, il est conseillé d'arrêter les serveurs. BTCPay demande également une rotation immédiate des identifiants. Au-delà de la mise à jour du système, les utilisateurs doivent remplacer les informations d'authentification "macaroons", reconstruire le fichier macaroons.db et renouveler les chaînes d'authentification utilisées par les autres backends du Lightning Network. Pour les utilisateurs ayant généré par le passé un hot wallet on-chain via BTCPay, l'équipe recommande de transférer les fonds immédiatement puis de recréer le portefeuille, signe que le risque ne se limite pas à l'accès au backend et peut concerner des actifs gérés directement par le serveur. Consignes rappelées par le projet : - Mettre à jour BTCPay Server immédiatement. - Éteindre le serveur avant de tenter la mise à jour. - Remplacer les macaroons et reconstruire les fichiers d'authentification. Les détails techniques de la faille n'ont pas été publiés. BTCPay attribue la découverte à des membres de la Bitcoin Red Team, sans préciser le mécanisme de la vulnérabilité, la date de début de l'attaque, le nombre de serveurs touchés ni l'existence d'éventuelles pertes de fonds. Lorsqu'une faille est encore exploitée, les équipes retardent généralement la divulgation d'informations techniques afin de limiter l'extension de la surface d'attaque. À ce stade, la priorité reste l'isolement, l'application des correctifs et la rotation des identifiants. Le contexte récent met aussi en avant des découvertes de failles assistées par l'IA. BTCPay n'indique pas si des outils d'IA ont été utilisés dans cette campagne, mais plusieurs incidents récents dans la sécurité crypto évoquent une utilisation croissante de l'IA pour identifier des vulnérabilités. En mai, le chercheur Taylor Hornby a utilisé Claude Opus d'Anthropic pour mettre au jour une faille vieille de quatre ans dans Zcash. En août, le fabricant de hardware wallets Coinkite a indiqué que des attaquants pourraient avoir eu recours à l'IA pour repérer des défauts de firmware liés à plus de 100 millions de dollars de bitcoins dérobés. Mardi dernier, le service d'échange Bitcoin Boltz a suspendu ses opérations après des exploitations répétées, estimant que des attaques assistées par l'IA détectent des failles plus vite que son équipe ne parvient à les corriger.