🗓️ Contexte

Source : BleepingComputer, publié le 2 novembre 2026. BTCPay Server, solution open-source auto-hébergée de traitement de paiements en cryptomonnaies, a émis une alerte urgente suite à des vols actifs de fonds sur des instances obsolètes.

🎯 Nature de l’attaque

Des acteurs malveillants ont exploité un vecteur d’attaque ciblant les instances BTCPay Server en version 2.4.1 (23 juillet 2026) ou antérieure. L’attaque a permis aux attaquants de se connecter en tant qu’administrateur sur des instances vulnérables, entraînant le drainage de hot wallets contenant du Bitcoin et du Litecoin.

  • Les attaques ne ciblaient pas les serveurs publics
  • Le vecteur exploite des vulnérabilités présentes dans les versions antérieures à 2.4.2 (publiée le 7 août 2026)
  • Aucun rapport de vol confirmé sur les instances exécutant la version 2.4.7

🔍 Chronologie

  • 23 juillet 2026 : Publication de la version 2.4.1 (vulnérable)
  • 7 août 2026 : Publication de la version 2.4.2 (correction du vecteur d’attaque)
  • 29 octobre 2026 : Divulgation d’une vulnérabilité critique découverte via le scanner Anthropic’s Frontier OSS, déclenchant la publication de la version 2.4.7 en mise à jour de sécurité d’urgence
  • 1er novembre 2026 (soir UTC) : Premiers rapports de vols reçus par le projet
  • 2 novembre 2026 : Alerte publique, demande aux hébergeurs VPS de mettre hors ligne les instances affectées

📧 Réponse à l’incident

Les utilisateurs ayant subi des pertes sont invités à envoyer les détails à security@btcpayserver.org et à signaler les pertes aux autorités locales. Le projet BTCPay continue de recevoir des rapports d’incidents.

📰 Type d’article

Alerte de sécurité et annonce d’incident. But principal : informer les opérateurs de BTCPay Server de la menace active et les inciter à mettre à jour leurs instances vers la version 2.4.7.

🧠 TTPs et IOCs détectés

TTP

  • T1078 — Valid Accounts (Defense Evasion)
  • T1190 — Exploit Public-Facing Application (Initial Access)
  • T1657 — Financial Theft (Impact)

IOC

  • Emails : security@btcpayserver.org
  • Fichiers : btcpay-update.sh

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 3 novembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

🟢 Indice de vérification factuelle : 66/100 (haute)

  • ✅ bleepingcomputer.com — source reconnue (liste interne) (20pts)
  • ✅ 3655 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 2 IOC(s) (6pts)
  • ⬜ pas d’IOC vérifié (0pts)
  • ✅ 3 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://www.bleepingcomputer.com/news/security/btcpay-server-warns-of-hot-wallet-thefts-targeting-outdated-instances/