BTCPay restreint l'accès distant à Lightning après le vol de fonds par des attaquants

Détails de l'incident

La Fondation et Citadel21 ont signalé des nœuds Lightning vidés, mais le montant total volé et le nombre d'opérateurs touchés restent inconnus.

BTCPay Server a temporairement restreint les connexions distantes publiques aux nœuds du Lightning Network exécutant le logiciel Lightning Network Daemon (LND) après que des attaquants ont exploité une vulnérabilité critique pour obtenir des identifiants et déplacer des fonds.

BTCPay a déclaré que la restriction empêche les portefeuilles externes tels que Zeus de se connecter via un domaine BTCPay Server ou une adresse onion Tor sur les déploiements Docker. BTCPay a précisé que les paiements Lightning peuvent continuer et qu'il prévoit de rétablir l'option d'accès distant lorsqu'il la jugera sûre.

La version 2.4.2 installe LND version 0.21.1 et régénère automatiquement les identifiants macaroon sur les installations BTCPay standard. Le projet a conseillé aux opérateurs de vérifier les paiements non autorisés, les fermetures de canaux inattendues, les pairs inconnus et les écarts dans leurs soldes on-chain ou Lightning.

La brèche de BTCPay est le dernier incident de sécurité impliquant des produits Bitcoin largement utilisés, après une faille du portefeuille matériel Coldcard liée à plus de 100 millions de dollars de pertes confirmées. Les incidents distincts ont affecté les logiciels entourant Bitcoin plutôt que le protocole sous-jacent du réseau.

La mise à jour fait automatiquement tourner les identifiants Lightning

BTCPay a déclaré que la vulnérabilité permettait à un attaquant distant non authentifié d'obtenir des fichiers d'identifiants "macaroon" utilisés pour contrôler LND, une implémentation du Lightning Network. Le projet a indiqué que les identifiants exposés pourraient permettre aux attaquants de prendre le contrôle d'un nœud LND et de déplacer ses fonds.

Selon l'avis de sécurité du projet, la version 2.4.2 installe LND version 0.21.1 et régénère automatiquement les identifiants macaroon sur les installations BTCPay standard. Il a conseillé aux opérateurs de vérifier les paiements non autorisés, les fermetures de canaux inattendues, les pairs inconnus et les écarts entre leurs enregistrements et les soldes on-chain ou Lightning.

Article connexe : L'exploit Coldcard pousse les pertes de juillet à 247 M$, le deuxième pire mois de 2026

BTCPay a également indiqué que les opérateurs exposant LND via leur propre proxy inverse, service Tor, port transféré ou une autre route en dehors de BTCPay doivent faire tourner leurs identifiants séparément. Le projet a précisé que l'installation de la mise à jour ne ferme pas les voies d'accès gérées indépendamment par l'opérateur.

Au moins deux opérateurs ont signalé publiquement des pertes. Le PDG de la Fondation, Zach Herbert, a déclaré que le nœud Lightning de la société de portefeuille matériel avait été vidé pendant la nuit. Il a précisé plus tard que son portefeuille chaud n'était pas affecté, tandis que ses canaux Lightning étaient fermés et les fonds balayés.

La publication Bitcoin Citadel21 a également signalé que son nœud Lightning avait été balayé. Aucun des deux opérateurs n'a divulgué le montant perdu.

Magazine : Les 10 choses les plus étranges jamais tokenisées... y compris les pets

Abonnez-vous aux actualités crypto quotidiennes de Cointelegraph

Les marchés se retournent à l'approche de la pause de la hausse des taux de la Fed et de l'IPC : Cinq choses à savoir sur Bitcoin cette semaine

La branche Bitcoin BIP-110 s'arrête après deux blocs alors que l'écart se creuse

Le BIP-110 de Bitcoin entre en signalisation obligatoire avec un soutien des mineurs inférieur à 3 %

Les marchés se retournent à l'approche de la pause de la hausse des taux de la Fed et de l'IPC : Cinq choses à savoir sur Bitcoin cette semaine

La branche Bitcoin BIP-110 s'arrête après deux blocs alors que l'écart se creuse

Le BIP-110 de Bitcoin entre en signalisation obligatoire avec un soutien des mineurs inférieur à 3 %

Strategy transforme 1 690 BTC en un rachat de STRC de 108,6 M$

La glissade du prix du Bitcoin efface les gains du week-end alors que le pétrole bondit de 5 % sur la déception d'Ormuz

Le BIP-110 se termine en queue de poisson, le vote CLARITY repoussé : Hodler’s Digest, 9 août

Bitdeer a presque quintuplé sa production de minage de Bitcoin au T2

H100 devient le deuxième trésor Bitcoin d'Europe après un accord de 2 455 BTC

Cointelegraph s'engage à fournir un journalisme indépendant et de haute qualité dans les secteurs de la crypto, de la blockchain, de l'IA et de la fintech.

Toutes les actualités, critiques et analyses sont produites avec une indépendance et une intégrité journalistiques totales. Pour plus de détails sur nos normes et processus, veuillez lire notre Politique éditoriale.

Crypto-monnaies associées

BTC

Source

Flux RSS Cointelegraph