BTCPay Server, un processeur de paiement Bitcoin open source utilisé par des milliers de commerçants, a publié en urgence une version corrigée après la découverte d’une faille critique. Des attaquants ont exploité la vulnérabilité pour dérober des fonds. Des pirates ont par ailleurs mené une campagne de phishing contre les utilisateurs du portefeuille matériel Trezor au cours de la même période.
Un commerçant installe BTCPay Server pour encaisser des bitcoins directement sur son propre nœud, sans passer par une plateforme centralisée comme le ferait un processeur classique. Le 7 août, l’équipe du logiciel a annoncé qu’un attaquant non authentifié pouvait, à distance, récupérer les identifiants « macaroon ». Ces jetons protègent l’accès aux nœuds Lightning connectés à l’outil. Muni de ces identifiants, l’attaquant pouvait ensuite prendre le contrôle du nœud et déplacer les fonds. Le fondateur du projet, Nicolas Dorier, a publié le correctif, la version 2.4.2, dans la matinée, en demandant aux opérateurs de mettre à jour au plus vite ou d’éteindre leur serveur. Le Bitcoin Red Team, un collectif bénévole de chercheurs en sécurité, avait signalé la faille aux développeurs avant sa divulgation.
Les opérateurs doivent renouveler leurs identifiants après la mise à jour
En appliquant la mise à jour, les opérateurs ferment l’accès qu’exploitaient les attaquants. Les identifiants déjà volés continuent cependant de fonctionner tant qu’ils ne sont pas renouvelés. Pour cette raison, l’équipe du projet demande aux opérateurs de renouveler entièrement leurs macaroons, de supprimer le fichier macaroons.db, puis de redémarrer leur nœud Lightning pour en régénérer de nouveaux, comme le précisent les notes de publication. Les opérateurs doivent également changer les chaînes d’authentification des autres services connectés à l’instance. Toute personne ayant créé un portefeuille à chaud directement via BTCPay Server doit en outre déplacer ses fonds vers une nouvelle adresse et recréer ce portefeuille. Du côté des intégrateurs, NBXplorer, l’outil d’indexation associé au logiciel, doit passer en version 2.6.10.
Avant même la diffusion de l’alerte publique, deux entreprises reconnues de l’écosystème Bitcoin ont perdu le contrôle de leur nœud. Zach Herbert, directeur général de Foundation, fabricant du portefeuille matériel Passport, a découvert la disparition de son nœud avant de recevoir la moindre alerte. Le média Citadel21 a connu le même sort. Sur X, le message publié par BTCPay Server, que vous pouvez lire ci-dessus, a été vu plus de 550 000 vues en cinq heures. Il semble que la communauté des paiements en bitcoin se soit très vite inquiétée de la situation.
Des pirates attaquent en même temps les utilisateurs de Trezor via une publicité Google
La veille, des pirates ont attaqué les utilisateurs du fabricant de portefeuilles matériels Trezor, par le biais d’une publicité sponsorisée sur Google. Ils ont placé une page Trezor contrefaite, hébergée sur Google Sites, au-dessus du site officiel du fabricant dans les résultats de recherche. Sur cette page, un certain David sur X a saisi sa phrase de récupération, avant de rapporter avoir perdu l’ensemble de ses économies. En 80 transactions, l’adresse concernée a recueilli 24,04 bitcoins, soit environ 1,4 million d’euros au cours actuel du Bitcoin. Les pirates ont ensuite déplacé la quasi-totalité de cette somme vers d’autres portefeuilles. Il n’en reste qu’environ 0,04 bitcoin sur l’adresse d’origine. En confirmant l’absence de compromission de ses appareils physiques, le fabricant a précisé que la phrase de récupération avait été saisie en dehors du portefeuille matériel. Le mode opératoire rappelle l’attaque survenue en mai contre des utilisateurs d’Uniswap. Ses auteurs avaient alors détourné environ 346 000 euros via un faux site.
BTCPay Server et Trezor fonctionnent tous deux selon un principe d’auto-garde, sans opérateur central détenant les fonds au nom de l’utilisateur. Après le piratage de la plateforme centralisée Crypto.com en janvier 2022, son dirigeant avait promis la restitution des fonds volés à ses clients. Aucune entité équivalente ne peut apporter cette garantie aux utilisateurs de BTCPay Server ou de Trezor touchés cette semaine. Il ne reste plus qu’à attendre que Google retire la page frauduleuse et de savoir combien d’opérateurs BTCPay Server ont appliqué la mise à jour à temps pour évaluer l’étendue des pertes.
Participer à la discussion
Partagez votre avis avec la communauté Clubic.