Les 1er et 2 novembre 2026, des attaquants ont drainé des hot wallets Bitcoin et Litecoin sur des instances BTCPay Server en version 2.4.1 ou antérieure, après avoir obtenu un accès administrateur via des failles corrigées en 2.4.2. Le mainteneur somme les marchands de passer en 2.4.7 ou de couper leurs serveurs.

Binance relie le vol de 6,36 milliards de dollars de cryptomonnaies, le plus important jamais enregistré, à la compromission du laptop d’un ingénieur DevOps, dont l’accès a permis de soumettre des retraits non autorisés. Aucune clé privée n’a fui : c’est un accès de poste de travail, pas une faille de smart contract, qui a ouvert la brèche.

Le 22 octobre 2026, V12 révèle que le client par défaut des SDK de paiement x402 signait des paiements sans plafond, permettant à une API malveillante de vider le solde d’un agent IA en une seule demande. Les correctifs du 18 août existent, mais ils ne sont pas signalés comme sécurité dans npm ni PyPI : mettez à niveau et fixez vos plafonds côté application.