BTCPay Server a publié le 2 novembre 2026 un avis après des signalements de vols de bitcoins et de litecoins sur des portefeuilles connectés. L’enquête du projet cible les versions 2.4.1 et antérieures. Pour un commerçant qui héberge lui-même son paiement, il faut vérifier la version utilisée au moment de l’alerte, pas seulement celle affichée aujourd’hui.
Un portefeuille dont les clés restent en ligne
Un hot wallet conserve les clés permettant de dépenser les fonds sur le serveur. BTCPay indique que les attaques ont utilisé une autre méthode pour exploiter la faille corrigée dans la version 2.4.2. BleepingComputer distingue cette situation de la publication récente de la version 2.4.7 : installer la dernière version et traiter l’exposition passée sont deux décisions complémentaires.
Un montant estimé à attribuer
Bitquery estime à environ 1,63 million de dollars les transactions qu’il relie à l’opération, selon ses cours de référence du 2 novembre. Cette analyse indépendante ne constitue pas un bilan confirmé par BTCPay. Le projet souligne que l’historique des adresses publiées ne suffit pas à déterminer toutes les pertes attribuables à l’incident. Ne confondez pas nombre de transactions et nombre de commerçants.
Vérifier le passé avant la reprise
Retrouvez les dates de mise à jour dans les traces d’administration ou auprès de l’hébergeur. La procédure du fournisseur vise aussi les opérateurs qui ont changé de version après l’alerte du 1er novembre. L’absence de débit remarqué n’établit pas que les clés conservées sur un ancien serveur sont restées confidentielles.
Reconstruire et séparer les clés
Suivez la procédure BTCPay pour migrer vers un serveur neuf avec un nouveau portefeuille et une nouvelle phrase de récupération. N’insérez pas ces nouveaux secrets sur l’ancien système. The Hacker News met en perspective la conservation des clés hors serveur : elle limite ce que l’accès au serveur permet de dépenser. Documentez la remise en service avec votre administrateur et transmettez uniquement les références publiques de transactions lors d’un signalement.
Le lien avec Soclyde
La reprise BTCPay implique aussi des accès d’hébergement et d’administration à retrouver et remplacer. Soclyde peut les organiser dans un coffre chiffré sur les appareils de l’équipe et faciliter leur partage autorisé. Il ne remplace pas le portefeuille de paiement ni la procédure de reconstruction de BTCPay.
À retenir
Pour un ancien serveur BTCPay dans le périmètre, ne concluez pas à la fin de l’incident sur la seule présence d’une version récente. Vérifiez l’historique, suivez la migration et séparez les clés de dépense lorsque cela convient à vos opérations. Pour organiser les comptes professionnels mobilisés pendant la reprise, contactez Soclyde.
