85 failles colmatées, des caisses vidées : BTCPay rappelle le prix caché d'être sa propre banque

Dimanche 1er novembre 2026, en fin de soirée, le compte officiel de BTCPay Server a publié un message que peu de commerçants bitcoin voudraient lire : « Nous recevons des signalements de portefeuilles chauds sur des serveurs BTCPay vidés par des attaquants non autorisés. » La consigne était radicale. Toute personne qui fait tourner une instance devait l'éteindre, avec la commande ./btcpay-down.sh, le temps de l'enquête.

Le lendemain, lundi 2 novembre, le projet a précisé le tir. Son enquête a identifié un vecteur d'attaque qui vise les instances en version 2.4.1, publiée le 23 juillet 2026, ou plus ancienne. Le projet indique n'avoir reçu « aucun signalement crédible » de vidage chez les utilisateurs de la dernière version, la 2.4.7. Celle-ci était sortie le 29 octobre, trois jours avant l'alerte, avec 85 corrections de sécurité.

À ce stade, BTCPay Server n'a publié ni montant volé, ni nombre de serveurs touchés. Mais l'épisode dit déjà beaucoup de la face cachée de l'autonomie financière.

Ce qu'est BTCPay, et pourquoi c'est sérieux

BTCPay Server n'est pas une plateforme d'échange ni une banque. C'est un logiciel libre et gratuit qui permet à un commerçant d'encaisser des bitcoins directement, sans intermédiaire qui prélève une commission ou peut bloquer les fonds. Une boutique en ligne, une association, un créateur de contenu l'installent sur leur propre serveur, branché sur leur propre nœud Bitcoin.

C'est précisément ce qui en a fait un symbole. Pas de compte à ouvrir, pas d'autorisation à demander : le commerçant est sa propre banque. Le revers est écrit noir sur blanc dans la documentation du projet. Lorsqu'on active un « hot wallet », un portefeuille chaud, BTCPay peut utiliser la graine stockée sur le serveur pour signer les transactions. Et la documentation prévient : cette fonction « comporte des implications de sécurité ».

Autrement dit, la clé qui donne accès aux fonds se trouve sur une machine connectée à Internet. Si un attaquant prend le contrôle de cette machine avec des droits d'administrateur, il peut envoyer les bitcoins où il veut. Une transaction Bitcoin confirmée ne s'annule pas. Il n'existe aucun service client capable de rembourser.

Une série noire depuis l'été

Ce n'est pas le premier coup dur pour le projet. Le 7 août 2026, BTCPay Server avait publié une alerte demandant de passer « immédiatement » à la version 2.4.2. La faille d'alors permettait à un attaquant distant, sans identifiant, de récupérer les fichiers d'accès (macaroons) du logiciel Lightning LND. Le projet avait confirmé son exploitation et reconnu, le 10 août, que des fonds de « certains utilisateurs » avaient été volés sur leurs nœuds Lightning.

À l'époque, l'équipe avait précisé que les portefeuilles on-chain de BTCPay, y compris les portefeuilles chauds, n'étaient pas concernés. Elle avait aussi lancé une prime de récupération de 10 % des fonds retrouvés, plafonnée à 3 BTC, et promis de donner la priorité aux correctifs de sécurité sur les nouvelles fonctionnalités.

Le point commun entre les deux épisodes saute aux yeux : la version charnière. Dans les deux cas, ce sont les serveurs restés sur une version antérieure à la 2.4.2 qui semblent visés. Trois mois après la première alerte, une partie des installations n'avait donc toujours pas été mise à jour.

85 failles corrigées, trois jours trop tard pour certains

La version 2.4.7, publiée le 29 octobre, illustre l'autre face de la médaille. Ses notes de version listent 85 problèmes corrigés, classés selon leur gravité d'origine : 1 critique, 13 élevés, 52 moyens et 19 faibles. Ils touchent les paiements sortants, le contrôle d'accès entre boutiques, l'authentification, Lightning et la résistance aux surcharges.

Ces failles ont été signalées par le programme d'analyse de code open source de l'entreprise d'intelligence artificielle Anthropic, que les développeurs remercient, avec des scénarios de reproduction et des correctifs proposés. Aucun lien n'a été établi à ce stade entre ces corrections et les vols du week-end. Mais le contraste est parlant : des outils automatisés trouvent désormais les failles plus vite, et la course se joue sur la vitesse à laquelle les utilisateurs appliquent les mises à jour.

Le projet recommandait déjà en août de conserver le plus possible de fonds en stockage à froid et de transférer régulièrement l'excédent des portefeuilles chauds vers des portefeuilles hors ligne. Il le répète aujourd'hui en invitant chacun à maintenir son serveur à jour.

Ce que ça change pour la Tunisie

En Tunisie, la question peut sembler lointaine. Les cryptoactifs n'y sont pas reconnus comme moyen de paiement, et la réglementation des changes encadre strictement la détention d'avoirs et les paiements en devises. Un commerçant tunisien ne peut pas légalement afficher un prix en bitcoins à côté du prix en dinars.

Pourtant, la leçon dépasse largement le cadre légal. Une partie de la jeunesse tech tunisienne, développeurs, freelances, passionnés de blockchain, s'intéresse aux outils d'auto-hébergement, par conviction ou par curiosité technique. Monter un serveur BTCPay sur un VPS loué quelques dinars par mois est un exercice d'apprentissage classique. L'affaire rappelle qu'un serveur oublié, avec une vieille version et une clé privée dessus, n'est pas un projet de week-end : c'est un coffre-fort ouvert.

Elle parle aussi aux entreprises qui, en Tunisie comme ailleurs, hébergent leurs propres outils de paiement, de comptabilité ou de gestion. Le principe est le même que pour un site e-commerce sous un CMS jamais mis à jour : l'autonomie technique transfère la responsabilité de la sécurité à celui qui héberge.

Pour tout futur cadre tunisien des actifs numériques, c'est un cas d'école. Encadrer les prestataires ne suffit pas quand une partie de l'écosystème repose sur des logiciels libres que chacun installe et maintient lui-même.

Ce n'est pas une faille de Bitcoin, mais…

Il faut être précis. Rien dans les annonces de BTCPay Server n'indique une faiblesse du protocole Bitcoin lui-même. Le réseau a continué de produire ses blocs normalement. Les attaquants ont visé des serveurs, des logiciels et des configurations, pas la cryptographie de la blockchain.

Ce n'est pas non plus la preuve que l'auto-conservation est une mauvaise idée. Les grandes plateformes centralisées ne sont pas à l'abri, comme l'a rappelé le piratage géant d'une plateforme d'échange la semaine dernière. La différence tient à qui porte le risque. Sur une plateforme, c'est l'opérateur. Sur son propre serveur, c'est soi-même.

Mais l'incident tord le cou à une idée reçue : « être sa propre banque » ne signifie pas seulement se passer d'intermédiaire. Cela signifie assumer le rôle du service informatique, du responsable sécurité et du coffre-fort, avec les mises à jour, les sauvegardes et la séparation entre ce qui doit être en ligne et ce qui doit rester hors ligne.

Les bons réflexes, version médina

Pour qui manipule du bitcoin, les règles de base tiennent en peu de mots. Garder dans un portefeuille chaud seulement ce dont on a besoin au quotidien, comme la caisse d'une boutique du souk. Mettre le reste au coffre, dans un portefeuille matériel ou hors ligne. Mettre à jour ses logiciels dès qu'un correctif de sécurité est publié, et surveiller les canaux officiels des projets qu'on utilise.

BTCPay Server a promis une explication plus complète une fois l'enquête terminée. D'ici là, sa consigne reste simple : mettre à jour, ou éteindre.

À la médina, on ne laisse pas la recette de la journée dans le tiroir de la caisse pendant la nuit. Sur Internet, la règle est la même : la liberté sans mise à jour, c'est une porte bleue grande ouverte.