Mise à jour urgente du traitement BTCPay Server après le vol de fonds

Le traitement BTCPay Server a été au centre d'un incident de sécurité : les développeurs ont confirmé l'exploitation d'une vulnérabilité critique, permettant aux attaquants d'accéder aux données d'une partie des utilisateurs et de voler des fonds.

L'équipe du projet a publié la version 2.4.2 et a corrigé la faille. Tous les précédents versions avec des builds LND étaient menacées. Les développeurs ont appelé les opérateurs à ne pas retarder la mise à jour, surtout si leur infrastructure utilise le Lightning Network.

La vulnérabilité permettait à un attaquant distant non autorisé d'obtenir des fichiers de données d'identification .macaroon pour LND. Cette implémentation du Lightning Network est souvent utilisée dans les services qui traitent des paiements en Bitcoin et aident à l'échelle des transactions sur le réseau principal.

Qui doit mettre à jour BTCPay Server en priorité

Les données d'identification volées donnent à l'attaquant un contrôle total sur le nœud LND. Par la suite, il peut directement retirer des fonds de ce nœud, ce qui s'est produit pour certains utilisateurs.

Nous avons confirmé que les attaquants ont utilisé cette vulnérabilité. Certains utilisateurs ont été touchés, des fonds ont été volés. Nous ne révélons pas encore les détails pour que les opérateurs aient le temps d'installer la mise à jour, a déclaré l'équipe de BTCPay Server.

Le risque ne concerne que les configurations avec LND. BTCPay Server peut accepter des paiements sur le réseau principal Bitcoin et prend en charge le Lightning Network, mais les utilisateurs sans Lightning, ainsi que d'autres options de configuration du Lightning Network, n'ont pas rencontré de fuite, selon les développeurs. Cependant, l'équipe recommande tout de même à tous les opérateurs de mettre à jour. Les portefeuilles on-chain officiels et les portefeuilles chauds de BTCPay Server n'ont pas été touchés.

Les opérateurs utilisant LND doivent passer à BTCPay Server 2.4.2 et LND 0.21.1 via le panneau d'administration. Lors de la mise à jour, les fichiers macaroon sont automatiquement recréés. Si l'installation rapide du patch n'est pas possible, les développeurs recommandent de désactiver temporairement les serveurs.

Pour les opérateurs LND, il est crucial de passer rapidement à BTCPay Server 2.4.2 et LND 0.21.1 : les anciennes versions laissent les données d'identification macaroon et les fonds sur le nœud en danger.

À quoi faire attention pour les utilisateurs de LND

Après l'installation de la mise à jour, les propriétaires de nœuds doivent vérifier l'historique d'activité. Les connexions inconnues, les fermetures inattendues de canaux et les paiements que l'utilisateur n'a pas lui-même envoyés sont particulièrement importants.

Comment fonctionne BTCPay Server

BTCPay Server est un processeur de paiement open source pour accepter les paiements en Bitcoin. Il relie le magasin, le point de vente ou le lien direct de paiement au portefeuille de l'opérateur : il crée une facture, suit le paiement sur le réseau Bitcoin ou via le Lightning Network et transmet le statut du paiement au magasin via des intégrations, des plugins ou une API.

BTCPay Server est utilisé par :

• des magasins en ligne ;
• des projets de commerce électronique ;
• des services de crowdfunding ;
• des points de vente POS.

Le service peut également être utilisé sans magasin en ligne - par exemple, pour accepter des paiements directement ou via POS. L'installation et l'utilisation de BTCPay Server ne nécessitent pas de KYC, et la configuration de base consiste généralement à télécharger le code depuis GitHub, à le faire fonctionner sur son propre serveur et à connecter le portefeuille et le magasin.

Fonctions clés de BTCPay Server :

• génération de factures ;
• intégration avec des magasins ;
• support API ;
• rapports sur les paiements ;
• acceptation des paiements via POS.

Dans cette infrastructure, on utilise généralement :

• API ;
• plugins ;
• portefeuilles de cryptomonnaies ;
• modules de comptabilité ;
• le code source de BTCPay Server sur GitHub.

BTCPay Server est choisi plutôt que des processeurs centralisés lorsque la décentralisation, le contrôle des fonds, l'absence de frais de traitement et le code ouvert sont importants. La conversion automatique de cryptomonnaie en fiat n'est pas incluse dans les fonctions de base, donc ces scénarios sont généralement configurés séparément.

Le support et les ressources pédagogiques peuvent être trouvés dans la documentation officielle de BTCPay Server, sur GitHub, dans les forums et les communautés du projet.

Ainsi, cet incident est important non seulement pour les opérateurs individuels, mais aussi pour les équipes qui construisent une infrastructure de paiement crypto sur des solutions open source et déploient leurs propres serveurs.

Les développeurs ont également souligné que le problème n'est pas lié à l'unité centrale de traitement et n'affecte pas le protocole Bitcoin lui-même. Il s'agit d'une vulnérabilité dans les outils construits autour de l'infrastructure de paiement.

Un autre coup dur pour la sécurité des outils Bitcoin

Le rapport sur le problème dans BTCPay Server coïncide avec un autre incident majeur. Galaxy Research a confirmé que 1719 Bitcoin avaient été volés aux utilisateurs de Coldcard, ce qui était évalué à environ 111 millions de dollars. Selon les analystes, après vérification de tous les épisodes d'attaques, le total des pertes pourrait dépasser 130 millions de dollars.

Les deux cas n'ont pas touché le protocole de base Bitcoin. Les vulnérabilités ont été trouvées dans des services et des dispositifs qui fonctionnent au-dessus de celui-ci. Cela montre encore une fois que la sécurité de l'infrastructure crypto dépend non seulement de la blockchain, mais aussi de la qualité des portefeuilles, des nœuds, des modules de paiement et des logiciels serveur.

Ce contenu est fourni à titre informatif uniquement et ne constitue pas un conseil financier, d'investissement, juridique ou fiscal. Les événements, récompenses, promotions en ligne ou informations mentionnées ici ne doivent pas être considérés comme une recommandation, une sollicitation ou une invitation à acheter, vendre, trader ou effectuer toute autre opération sur des actifs crypto. Les actifs crypto sont très volatils et peuvent entraîner des pertes. La disponibilité des services, produits et événements liés à WEEX peut varier selon les régions. Veuillez vous assurer que votre participation respecte les lois et réglementations locales applicables.