Bitcoin de nouveau visé : des pirates vident des nœuds Lightning

La semaine est difficile pour le Bitcoin. Cette fois, des pirates ont exploité une grave faille de sécurité dans un logiciel utilisé pour les paiements via le réseau Lightning.

Vendredi, les assaillants ont tiré parti d’une vulnérabilité dans BTCPay Server, un logiciel qui permet notamment aux boutiques en ligne et aux entreprises d’accepter des paiements en Bitcoin. La faille leur a permis d’accéder à certains nœuds Lightning et de détourner les bitcoins qui s’y trouvaient.

BTCPay confirme que des BTC ont bien été volés. Le nombre de victimes et le montant total dérobé ne sont pas encore connus. Les utilisateurs de la version vulnérable du logiciel sont vivement appelés à passer immédiatement à la version 2.4.2 ou à mettre temporairement leur serveur hors ligne.

Comment les pirates ont pu voler des bitcoins

La faille concerne les installations de BTCPay Server qui utilisent LND, un logiciel très répandu pour gérer un nœud sur le réseau Lightning.

Lightning permet aux utilisateurs d’envoyer des bitcoins plus rapidement et à moindre coût. Les entreprises utilisent par exemple BTCPay Server pour recevoir directement ce type de paiements en Bitcoin de la part de leurs clients.

La vulnérabilité donnait aux assaillants accès à des fichiers dits « macaroon ». On peut les considérer comme des clés d’accès numériques pour un nœud Lightning. En temps normal, ces fichiers déterminent qui peut accéder au nœud et quelles actions peuvent être effectuées.

Grâce à la faille, les pirates ont pu s’emparer de ces fichiers sans avoir à se connecter au préalable. Avec ces clés d’accès volées, ils ont ensuite pu prendre le contrôle des nœuds LND touchés et siphonner les bitcoins qui s’y trouvaient.

Tous les bitcoins détenus dans BTCPay ne sont pas menacés. Selon le projet, les hot wallets classiques créés directement dans BTCPay ne sont pas concernés par cette vulnérabilité. En revanche, les bitcoins présents dans le portefeuille d’un nœud LND compromis peuvent être volés.

Les premières entreprises signalent des vols de bitcoins

Les premières victimes se sont désormais manifestées. Parmi elles figure Foundation, un fabricant de portefeuilles matériels. Selon son dirigeant Zach Herbert, les pirates sont parvenus pendant la nuit à vider le nœud Lightning de l’entreprise. Ils ont fermé les canaux Lightning et transféré les bitcoins disponibles.

Le hot wallet Bitcoin classique de Foundation dans BTCPay n’a pas été touché. Cela confirme que l’attaque visait spécifiquement l’installation LND vulnérable.

La publication Bitcoin Citadel21 a également été touchée. Là aussi, les assaillants ont vidé le nœud Lightning, même si l’organisation indique qu’il ne contenait alors qu’un faible montant.

L’ampleur totale des pertes reste pour l’heure incertaine. BTCPay n’a pas encore indiqué combien d’utilisateurs ont été victimes de l’attaque ni combien de bitcoins ont été volés au total.

La faille avait déjà été découverte avant l’attaque

Fait notable, la faille de sécurité avait déjà été signalée à BTCPay avant qu’il n’apparaisse clairement que des pirates l’exploitaient activement.

La vulnérabilité a été découverte par des membres de Bitcoin Red Team. Ce groupe de développeurs utilise des modèles d’IA pour rechercher à grande échelle des problèmes de sécurité dans des logiciels liés à Bitcoin. Rien que cette semaine, le groupe a déjà signalé des milliers de vulnérabilités potentielles auprès de centaines de projets.

Les assaillants ont toutefois eu le temps d’exploiter réellement la faille. Au moment où BTCPay a alerté publiquement ses utilisateurs, des serveurs vulnérables étaient déjà attaqués et des bitcoins avaient été volés.

Les détails techniques complets ne seront donc pas publiés pour l’instant. BTCPay veut d’abord laisser aux administrateurs le temps de mettre à jour et de sécuriser leurs systèmes. Un rapport plus détaillé doit suivre dans les prochains jours, avec sans doute davantage de précisions sur l’ampleur et les conséquences de l’attaque.