Faille critique de BTCPay Server : des fonds siphonnés sur des nœuds Lightning

BTCPay Server, le processeur de paiement open source utilisé par des milliers de commerçants Bitcoin dans le monde, a publié une alerte de sécurité urgente le 7 août après l’exploitation d’une vulnérabilité critique ayant permis à des attaquants de vider des fonds depuis des nœuds Lightning connectés. Selon les informations disponibles, la faille donnait un accès non autorisé aux identifiants des nœuds Lightning. Au moins deux figures connues de la communauté Bitcoin ont indiqué que leurs nœuds avaient été vidés pendant la nuit. Foundation, l’entreprise à l’origine d’une gamme populaire de portefeuilles matériels, et hodlonaut, qui pilote la publication Bitcoin Citadel21, ont rapporté une fermeture forcée de leurs canaux Lightning et la disparition des fonds. Leurs hot wallets associés n'auraient pas été touchés, ce qui oriente l'attaque vers la manière dont BTCPay Server gérait l'authentification des nœuds Lightning. Au cœur du problème : des identifiants Lightning appelés "macaroons", comparables à des clés API autorisant des actions sur un nœud. En cause, la persistance de ces identifiants même après l'application de mises à jour précédentes. Des opérateurs ayant correctement mis à jour leur installation restaient exposés, les anciens macaroons demeurant valides tant qu'un renouvellement manuel des identifiants n'était pas effectué. Le jour même de l'alerte, BTCPay Server a publié la version 2.4.2, accompagnée de recommandations visant aussi la mise à niveau du backend NBXplorer en version 2.6.10. Le projet a demandé à l'ensemble des opérateurs de mettre à jour immédiatement ou, à défaut, d'arrêter totalement leurs serveurs afin d'éviter de nouvelles pertes. BTCPay Server précise que cette vulnérabilité est distincte d'un précédent problème d'authentification corrigé quelques jours plus tôt. L'incident illustre les exigences de sécurité d'un environnement auto-hébergé. Foundation conçoit des portefeuilles matériels pensés pour maximiser le contrôle des utilisateurs sur leurs bitcoins. Le fait que l'entreprise ait été surprise par un exploit visant BTCPay Server met en lumière la difficulté d'assurer une sécurité sans faille à chaque couche d'une pile auto-gérée. L'attaque intervient aussi dans un contexte de surveillance accrue des infrastructures Bitcoin. Une faille récente de firmware Coldcard a remis la sécurité des hardware wallets au premier plan, tandis que la Bitcoin Red Team mène des audits assistés par IA sur des outils critiques. Le fait que cette faille BTCPay ait été exploitée activement avant d'être détectée par ces travaux d'audit relance le débat sur la capacité des processus actuels de revue de sécurité à suivre l'élargissement de la surface d'attaque. BTCPay Server et la Bitcoin Red Team ont indiqué que des analyses techniques détaillées de l'exploit seraient publiées dans les prochains jours. Le scénario — des identifiants survivant aux mises à jour — renvoie à une classe de vulnérabilités facile à négliger. Quand la correction exige une étape manuelle additionnelle peu visible, l'écart entre "à jour" et "sécurisé" devient un terrain de chasse pour les attaquants. Les commerçants utilisant encore d'anciennes versions de BTCPay Server avec Lightning activé sont invités à traiter la situation comme prioritaire. La recommandation du projet d'éteindre les serveurs si une mise à jour immédiate n'est pas possible est inhabituelle par sa fermeté pour des mainteneurs open source.