Des soutiens de BTCPay Server financent une prime pouvant atteindre 3 Bitcoin pour récupérer les fonds dérobés lors d’une récente faille de sécurité. Toute information conduisant à une restitution pourra être récompensée à hauteur de 10 % du montant effectivement récupéré, avec un plafond de 3 BTC en cas de récupération complète. L’incident concerne les installations utilisant LND sur le Lightning Network et restées sur une version antérieure à BTCPay Server 2.4.2.
Bitcoin : BTCPay met jusqu’à 3 BTC sur la table
La prime vise les fonds dérobés sur des nœuds utilisant le Lightning Network, la couche de paiement rapide de Bitcoin. Des amis et soutiens du projet ont accepté de financer la récompense. Toute information conduisant à la récupération d’une partie des fonds peut donner droit à 10 % de la somme retrouvée. Le paiement maximal atteint 3 BTC si l’intégralité des actifs est restituée.
Si plusieurs informations contribuent au résultat, la prime pourra être divisée. BTCPay précise que la répartition dépendra notamment de l’utilité des renseignements, des sommes récupérées et des pertes subies par les différentes victimes.
Une inconnue majeure demeure cependant. BTCPay Server n’a publié ni le montant total des Bitcoin volés ni le nombre précis d’utilisateurs touchés. Le plafond de 3 BTC ne permet donc pas de calculer directement la valeur du piratage. Le projet invite les personnes disposant d’informations exploitables à contacter son équipe de sécurité.
Une faille critique a exposé des portefeuilles Lightning
La vulnérabilité affectait les versions de BTCPay Server antérieures à la 2.4.2, y compris les versions candidates de cette mise à jour, lorsque LND était utilisé. L’équipe a demandé une mise à niveau immédiate dans son avis de sécurité officiel.
La faille pouvait exposer des fichiers d’identification appelés macaroons. Ces éléments accordent des permissions permettant d’administrer un nœud LND. Un attaquant non authentifié pouvait ainsi prendre le contrôle du nœud et déplacer les fonds. BTCPay a confirmé que la vulnérabilité avait été exploitée et que certains utilisateurs avaient subi des pertes.
Une nuance reste essentielle : les portefeuilles Bitcoin on-chain gérés directement par BTCPay Server n’étaient pas touchés. Le risque concernait LND, y compris les fonds détenus dans les canaux Lightning et dans le portefeuille on-chain intégré au nœud compromis. Les autres implémentations Lightning et les installations sans Lightning n’étaient pas exposées à ce risque lié aux identifiants LND.
La version 2.4.2 met également LND à jour et régénère les macaroons. L’incident rappelle qu’une solution d’auto-conservation exige de maintenir chaque composant logiciel à jour et de surveiller les accès privilégiés.
BTCPay Server récompense aussi ceux qui ont découvert la faille
La BTCPay Server Foundation versera également 0,42 BTC aux chercheurs ayant contribué à identifier et analyser le problème. Craig Raw recevra 0,21 BTC, tandis que 0,21 BTC supplémentaires iront au fonds Bitcoin Red Team pour leur travail de divulgation responsable.
Cette récompense poursuit un objectif différent de la prime de récupération. Les 3 BTC servent à tenter de retrouver les fonds volés. Les 0,42 BTC récompensent le travail des chercheurs qui ont signalé et étudié la vulnérabilité afin qu’elle puisse être corrigée. BTCPay détaille ces mesures dans son bilan de l’incident et ses prochaines étapes.
Le projet veut désormais renforcer ses processus de revue et d’analyse du code avec plusieurs équipes externes. Le durcissement de l’infrastructure passera également avant le développement de grandes nouvelles fonctionnalités pendant quelque temps.
L’open source Bitcoin face à une nouvelle pression sécuritaire
L’incident touche un logiciel particulier, pas le protocole Bitcoin. BTCPay Server est une solution de paiement open source et auto-hébergée permettant notamment aux commerçants d’accepter Bitcoin sans dépendre d’un processeur centralisé.
Le projet reconnaît néanmoins que cette autonomie possède un coût. Les logiciels financiers open source constituent des cibles particulièrement intéressantes lorsqu’ils permettent d’accéder directement à des fonds. Comme le montre aussi notre analyse sur les limites des audits de sécurité ponctuels, la protection doit se poursuivre après la publication initiale du code.
BTCPay estime aussi que l’intelligence artificielle réduit le coût nécessaire pour analyser de grands volumes de code et rechercher des vulnérabilités. Sa réponse est donc double : récupérer autant de fonds que possible grâce à la prime, puis restaurer la confiance par des mises à jour, des revues indépendantes et un suivi plus continu.
En bref
- BTCPay Server offre jusqu’à 3 BTC pour récupérer les fonds volés.
- La vulnérabilité touchait les installations LND utilisant une version antérieure à BTCPay Server 2.4.2.
- Le projet verse également 0,42 BTC aux chercheurs ayant signalé et analysé la faille.
