Le 14 septembre 2026, Swiss Bitcoin Pay coupe ses serveurs. Un utilisateur malveillant a « probablement » eu accès aux systèmes internes, écrit la société. Mesure de précaution. Pas de date de reprise.

La société, basée à Neuchâtel, fait payer en bitcoin des commerçants, en chaîne et en Lightning. Elle se dit sans garde des clés. Les fonds des clients, affirme-t-elle, n’ont pas bougé. « Tout montant dû sera intégralement rendu. »

Ce qui a pu fuir

À ce stade, l’équipe croit que l’intrus a vu : e-mails clients, adresses bitcoin, IBAN, historique de transactions, mots de passe hashés. Elle ne sait pas si d’autre chose a été prise. Ce n’est pas une liste d’un audit. C’est ce qu’elle publie le jour même.

Des mots de passe hashés, ce n’est pas le mot de passe en clair. Ça reste une matière première pour des campagnes de phishing. Le schéma est le même que pour Revolut : la donnée part, l’arnaque arrive ensuite par mail.

Sans garde des clés, avec une réserve

Quelques heures plus tard, un client demande : si c’est sans garde des clés, pourquoi parler de fonds à rendre ? La société répond. Les paiements Lightning sont regroupés automatiquement, une fois par jour, semaine ou mois, vers une seule sortie on-chain. Pendant ce lot, une part d’argent transite chez elle. « En général, pas des montants importants. »

Les clés des commerçants, dans le modèle annoncé, ne sont pas chez Swiss Bitcoin Pay. Les lots Lightning, si. C’est la nuance. Pas une preuve que des soldes ont été volés. Une preuve que « sans garde des clés » ne veut pas dire zéro bitcoin sur les serveurs.

Ce qui n’est pas établi

Pas de post-mortem. Pas de nombre de clients touchés. Pas d’heure d’intrusion. Pocket Bitcoin, autre acteur suisse, avait déjà eu une exposition de données en août. Trezor a signalé un prestataire e-mail. Rien ne dit que c’est le même attaquant. Rien ne dit le contraire.

Au 15 septembre : serveurs à l’arrêt, fonds « safe » selon l’émetteur, données personnelles probablement vues, reprise sans calendrier. Changer ses mots de passe réutilisés. Traiter tout mail « Swiss Bitcoin Pay » comme suspect jusqu’à la suite.