La version critique de BTCPay Server 2.4.2 corrige une vulnérabilité sévère qui permettait aux attaquants d'extraire les identifiants du Daemon Lightning Network (LND) et de vider les fonds des nœuds en cours d'exécution.

BTCPay Server fonctionne comme un processeur de paiements en cryptocurrency hautement populaire, open-source et auto-hébergé.

Il donne le pouvoir aux commerçants,portefeuille matérielfabricants et créateurs de contenu à accepter Bitcoin directement sans dépendre d'intermédiaires tiers ni payer de frais de traitement des transactions.

Cependant, cette architecture décentralisée et auto-hébergée signifie que lorsqu'une faille de sécurité critique apparaît, il n'y a pas d'autorité centrale pour appliquer un correctif universel au nom des utilisateurs.

Dans le début d'août 2026, une faille zero-day exploitée activement a compromis cette infrastructure. Des acteurs malveillants ont ciblé l'intégration entre le backend de paiement et le protocole Lightning Network, obligeant des opérateurs de nœuds de haut profil, y compris la société de portefeuille matériel Foundation et la publication Bitcoin Citadel21, à faire face à des pertes de capital immédiates.

Cette analyse détaillée explore les mécanismes du vol d'identifiants, identifie les versions logicielles précises à risque et décrit les protocoles de remédiation rigoureux nécessaires pour sécuriser l'infrastructure des nœuds compromis.

Principaux Points à Retenir

• Les versions de BTCPay Server antérieures à 2.4.2 contenaient une vulnérabilité grave qui permettait aux attaquants de voler LND..macaroonfichiers d'identification et siphonner des fonds des nœuds Lightning actifs.
• La faille de sécurité a exclusivement compromis les identifiants de nœud LND, tandis que les portefeuilles natifs sur la chaîne de BTCPay Server et les configurations non-LND sont restés intacts.
• La remédiation nécessite que les opérateurs mettent immédiatement à jour vers la version 2.4.2 et régénèrent leurs fichiers de macaroon pour révoquer l'accès à toute information d'identification exposée avant le correctif.

À propos de la vulnérabilité du serveur BTCPay

Pour répondre exactement à ce qu'est la vulnérabilité du serveur BTCPay, il s'agit d'un défaut d'accès à distance non authentifié qui permet aux attaquants externes de télécharger illégalement.macaroonfichiers provenant de serveurs exécutant des implémentations spécifiques du Lightning Network.

Les macarons fonctionnent comme des jetons d'authentification hautement privilégiés au sein de l'écosystème Lightning ; en les possédant, un utilisateur obtient une autorité administrative totale sur un nœud, contournant avec succès l'authentification web standard et les protections par mot de passe.

Concernant les versions de BTCPay affectées, l'équipe de développement principale a confirmé que chaque version publiée avant 2.4.2, y compris tous les candidats à la version 2.4.2, présente cette vulnérabilité critique.

Le bug est resté non détecté par les audits de sécurité de routine et les outils de scan IA avancés déployés par l'équipe de sécurité Bitcoin.

Cela n'est apparu qu'après que des développeurs éminents, tels que Craig Raw de Sparrow Wallet, ont examiné les pertes financières directes provenant de leurs propres nœuds.

La vulnérabilité affecte exclusivement les déploiements utilisant LND.

En conséquence, les utilisateurs utilisant d'autres implémentations de Lightning, ou ceux ne traitant que des transactions sur chaîne, restent entièrement non affectés par cette exposition spécifique des informations d'identification, bien qu'une mise à jour soit universellement conseillée.

Le Mécanisme d'Exploitation : Comment les Informations d'Identification Ont été Compromises

Pour déterminer si l'exploitation de BTCPay est active, une confirmation sans équivoque est nécessaire : les attaquants ont activement armé cette vulnérabilité dans la nature, vidant les nœuds du jour au lendemain avant que les opérateurs puissent traiter l'avis de sécurité officiel.

Parce que la vulnérabilité cible des contrôles d'accès fondamentaux, des scripts d'exploitation automatisés ont pu balayer les nœuds simultanément.

Les acteurs malveillants ont scanné Internet à la recherche de points de terminaison API BTCPay exposés pour extraire le.macaroonfichiers.

Parce que les attaquants ont réussi à acquérir les véritables jetons d'autorisation, ils n'ont pas eu besoin de violer le système d'exploitation sous-jacent, d'injecter du code SQL ou de deviner les mots de passe des administrateurs.

Ils se sont simplement authentifiés directement avec le démon LND agissant en tant qu'administrateurs autorisés. Une fois à l'intérieur, la séquence d'exploitation a été rapide et destructive. Les attaquants ont systématiquement initié des fermetures forcées sur tous les canaux Lightning bien financés.

Lire aussi :

Qu'est-ce qu'une adresse de portefeuille BTC ? Une explication

En faisant s'effondrer ces canaux, la liquidité localisée a été repoussée vers le portefeuille de la couche de base du nœud, que les attaquants ont ensuite aspirée vers des portefeuilles externes, anonymes. Adresses Bitcoin .

Parce que les fichiers d'identification persistent indépendamment de la session du serveur, les attaquants ont maintenu un accès persistant jusqu'à ce que les fichiers spécifiques soient invalidés structurellement par les opérateurs de nœuds.

Noeud d'impact et étapes de remédiation requises

Lorsque vous évaluez si BTCPay peut voler des Bitcoins, l'architecture détermine l'étendue exacte des dommages : les attaquants possèdent la pleine capacité de siphonner tous lesBitcoinverrouillé dans des canaux Lightning liés à un nœud LND compromis.

Inversement, lors de la détermination si les portefeuilles sur chaîne sont affectés, les développeurs ont vérifié que les portefeuilles sur chaîne standards de BTCPay, y compris les portefeuilles chauds générés directement accessibles via le tableau de bord, restent fondamentalement isolés et sécurisés.

En conséquence, le mandat concernant la nécessité pour les utilisateurs de LND de mettre à niveau est non négociable ; les opérateurs doivent patcher leurs systèmes immédiatement ou couper complètement la connexion internet du serveur.

Exécuter la mise à jour de BTCPay Server 2.4.2 nécessite que les administrateurs naviguent vers l'interface des paramètres du serveur, sélectionnent Maintenance, et initient la mise à jour du système.

Ce processus met à jour l'API BTCPay tout en mettant simultanément à jour le logiciel interne LND vers la version 0.21.1. Cependant, simplement installer la mise à jour n'est pas suffisant pour une remédiation totale.

Les opérateurs doivent régénérer manuellement leurmacarons.dbfichiers et faire pivoter toutes les chaînes d'authentification pour verrouiller les attaquants qui possèdent des jetons copiés précédemment. Enfin, comprendre comment vérifier les paiements Lightning non autorisés est une procédure obligatoire après un incident.

Les administrateurs de nœuds doivent auditer leurs journaux de routage pour détecter des fermetures forcées de canaux inattendues, isoler les connexions de pairs non familières, et réconcilier les soldes en chaîne avec les données historiques du grand livre afin d'identifier des extractions de capital non autorisées.

Infrastructure Sécurité Réévaluée

L'exploit d'août 2026 sert de rappel technique flagrant des risques opérationnels inhérents associés aux infrastructures financières auto-hébergées.

Le contournement des tiers de conservation maximise la souveraineté financière, mais il transfère simultanément le fardeau absolu de l'atténuation des menaces directement sur l'opérateur individuel.

L'extraction précise des macarons LND démontre que les passerelles de paiement accessibles sur Internet nécessitent une surveillance continue, un stockage isolé des informations d'identification et des pipelines de correction automatisés.

En avançant, la communauté de développement et les commerçants indépendants doivent concevoir des limites de taux internes plus strictes et des points de terminaison API fortement partitionnés pour s'assurer que les défaillances d'autorisation à point unique ne déclenchent pas une liquidation systémique de capital.

FAQ

Quelle est la vulnérabilité du serveur BTCPay ?

Il s'agit d'une vulnérabilité de sécurité zero-day critique et activement exploitée dans BTCPay Server qui permet à des attaquants distants non authentifiés d'extraire.macaroonfichiers d'identifiants. Ces fichiers agissent comme des jetons administratifs pour le démon du réseau Lightning (LND). En obtenant ces fichiers, les attaquants peuvent prendre le contrôle total d'un nœud LND, forcer la fermeture des canaux actifs et vider les fonds Bitcoin connectés.

Quels versions de BTCPay Server sont affectées ?

Toutes les versions de BTCPay Server avant 2.4.2 sont concernées, y compris tous les candidats de version 2.4.2. Le risque s'applique spécifiquement aux déploiements utilisant le Lightning Network Daemon (LND). Les utilisateurs utilisant d'autres implémentations Lightning ou ne traitant que des transactions on-chain ne sont pas exposés à ce vol de credentials spécifique, bien que la mise à jour vers 2.4.2 soit universellement recommandée pour tous les utilisateurs.

Les portefeuilles on-chain sont-ils compromis par cette exploitation ?

Non. Les développeurs principaux ont confirmé que les portefeuilles standard on-chain de BTCPay Server, y compris les portefeuilles chauds générés et accessibles directement via le tableau de bord BTCPay, sont complètement non affectés par cette vulnérabilité. La faille cible exclusivement les jetons d'identification utilisés par le backend LND.

Comment puis-je sécuriser mon serveur BTCPay contre cette exploitation ?

Les opérateurs doivent immédiatement mettre à jour vers la version 2.4.2 de BTCPay Server, qui corrige les points de terminaison API vulnérables et met à niveau le logiciel LND interne vers la version 0.21.1. Cependant, en raison des vols.macaroonLes fichiers survivent aux mises à jour logicielles, il ne suffit pas de simplement appliquer des correctifs. Vous devez également régénérer manuellement votremacaroons.db

• fichiers et faites tourner toutes les chaînes d'authentification pour révoquer l'accès à tout attaquant qui aurait déjà copié vos identifiants.
• Si vous ne pouvez pas mettre à jour immédiatement, vous devriez mettre votre serveur hors ligne.

Le Bitcoin a-t-il réellement été volé en utilisant cette vulnérabilité ?

Oui. La vulnérabilité a été activement exploitée dans la nature avant qu'un avis public puisse être émis. Des acteurs malveillants ont systématiquement siphonné des fonds de plusieurs nœuds Lightning actifs, y compris ceux opérés par le fabricant de portefeuilles matériels Foundation et la publication Bitcoin Citadel21. L'attaque a été initialement découverte lorsque les développeurs ont remarqués des fermetures de canaux inattendues et des extractions de capitaux se produisant sur leurs propres nœuds pendant la nuit.

Les opinions exprimées appartiennent exclusivement à l'auteur et ne reflètent pas les vues de cette plateforme. Cette plateforme et ses affiliés déclinent toute responsabilité quant à l'exactitude ou à la pertinence des informations fournies. C'est uniquement à des fins d'information et n'est pas destiné à des conseils financiers ou d'investissement.