Bulletin hebdomadaire 2026/33

La semaine dernière, on apprenait que l’IA avait commencé à analyser l’ensemble de la pile Bitcoin. Cette semaine, les dégâts ont été confirmés : BTCPay Server a révélé que la vulnérabilité exploitée avait entraîné des pertes financières réelles, la plateforme cubaine Lightning , axée sur la confidentialité, a suspendu indéfiniment ses activités suite à des attaques répétées, et les chiffres d’une « red team » bénévole ont montré que la pile open source était plus exposée qu’on ne le pensait. Et pourtant, la couche de paiement a continué d’évoluer : Wallet of Satoshi est passé à l’auto-conservation, Blink a ajouté la réception non dépositaire à son plugin BTCPay, et les achats quotidiens en sats se sont généralisés à travers l’Afrique. La sécurité est désormais une discipline permanente, à la vitesse des machines, et cette semaine l’a rendu indéniable.

Cette même pression a entraîné la fermeture totale d’une plateforme. Le lnp2pBot cubain, une plateforme d’échange P2P non dépositaire d’ Lightning , a suspendu toutes ses activités pour une durée indéterminée après des mois de travaux de sécurisation et, selon ses opérateurs, faute de ressources suffisantes pour continuer à faire face à des attaquants aidés par l’IA. Ils ont surtout précisé que les paiements en attente seraient réglés et les pertes absorbées, afin qu’aucun utilisateur ne soit lésé. Il ne s’agissait pas d’une interdiction gouvernementale, mais d’une usure progressive. Cuba_BTC (@Cuba_BTC) a indiqué que le service avait permis à des centaines de familles de s’entraider pour subvenir à leurs besoins essentiels, notamment en médicaments, sans divulguer de données personnelles. Lorsqu’un outil de protection de la vie privée aussi utile peut être mis à mal par les attaques et les coûts, la résilience et le financement deviennent des enjeux majeurs pour son adoption, et non plus de simples détails.

Au-delà des gros titres sur la sécurité, les dépenses quotidiennes en matière de satellites ont continué à transformer les listes de produits en factures.

• Des dépenses modestes, des reçus authentiques : un achat effectué au fast-food T-Junction à Randfontein a été réglé via Lightning sur une adresse Blink ; à Calabar, un déjeuner a été payé via Lightning chez Chef Green Signature ; à Livingstone, des achats ont été réglés en bitcoins chez Andrews Grocery et City Market. Le point commun est l’utilisation d’une adresse Blink Lightning ainsi qu’une mention sur BTC Map — et l’élargissement de la liste des secteurs concernés (restauration rapide, épicerie, fruits et légumes, soins personnels) est le véritable signe révélateur, même si aucun de ces messages ne précise les montants en satoshis.
• République dominicaine — paiement des factures de services publics : Bitcoin Dominicana (@btcdominicana) indique que les utilisateurs peuvent désormais régler leurs factures d’électricité, d’eau, d’Internet, de téléphone et leurs recharges depuis un portefeuille numérique, tandis que la plateforme effectue le paiement aux prestataires en pesos dominicains — citant notamment EDENORTE, EDESUR, CAASD, INAPA, Claro et d’autres. Il s’agit d’une annonce de disponibilité (le guide contient un lien d’affiliation), et non d’une statistique d’utilisation divulguée, mais une catégorie de factures ménagères récurrentes correspond exactement au type d’utilisation répétée que les listes d’acceptation ne peuvent pas prouver à elles seules.
• Établissements cités, mises en garde honnêtes : plusieurs entrées de la carte BTC de cette semaine dataient d’avant leur publication ou présentaient des divergences de nom — ce qui nous rappelle que cet annuaire constitue un point de départ, et non une preuve d’acceptation effective. Nous signalons celles que nous ne pouvons pas confirmer de manière indépendante, plutôt que de les compter comme de nouvelles réussites.

La partie défensive de la semaine est tout aussi importante que la perturbation — et, parallèlement, il est devenu plus facile d'héberger soi-même ses bitcoins.

• Blink ajoute la réception BTCPay sans dépôt fiduciaire : le plugin BTCPay de Blink (@blinkbtc) (v1.1.0) permet désormais à un commerçant de connecter une adresse Blink Lightning sans dépôt fiduciaire, sans avoir besoin d’un nœud ni d’une clé API, et de recevoir des paiements sur le réseau principal. Cette fonctionnalité est réservée à la réception: les remboursements, les versements et autres paiements sortants de type « Pull Payment » ne sont pas pris en charge, et la confirmation de la transaction est détectée par interrogation (généralement en quelques secondes, parfois environ une minute). Elle nécessite la version 2.4.2 ou supérieure de BTCPay, ce qui coïncide avec la mise à jour de sécurité obligatoire de cette semaine.
• La pile s'analyse d'elle-même : Calle (@callebtc) a indiqué que l'équipe bénévole « Bitcoin Red Team » — composée de 25 développeurs ayant travaillé pendant 108 heures — avait analysé 501 projets et identifié 7 958 failles, dont 1 280 jugées « élevées » ou « critiques », environ 29 % d'entre elles ayant déjà été signalées aux projets concernés. Il a également averti que le code d'Lightning semblait « plus défaillant que la moyenne ». Il s’agit là de constatations d’ordre défensif, et non de défaillances de paiement — mais elles quantifient précisément pourquoi BTCPay, Boltz et d’autres ont passé le mois à renforcer la sécurité de leurs systèmes.
• La continuité face à la pression : Machankura (@Machankura8333) a temporairement désactivé certains canaux de réception pendant l’application d’un correctif, puis a rétabli les paiements bidirectionnels ; les hébergeurs BTCPay tels que LunaNode ont restreint l’accès jusqu’à ce que les instances soient mises à jour. Ce ne sont pas des étapes marquantes en termes de croissance, mais la preuve que les opérateurs considèrent la rigueur en matière de correctifs comme une condition indispensable pour rester en ligne.

Les cycles d'adoption les plus évidents proviennent toujours des communautés qui gagnent et dépensent leur argent au même endroit.

• Mossel Bay — un premier paiement dans un restaurant : Bitcoin Ekasi (@BitcoinEkasi) a décrit comment un client a réglé son addition au Blaize & Barrel à l'aide d'un serveur BTCPay auto-hébergé et d'une carte Bolt — le même modèle « auto-hébergé » que défend Security Week, appliqué à l'échelle d'une simple addition de restaurant.
• Kenya — gagnez-le, puis dépensez-le : Bitcoin Chama (@Bitcoinchama) a continué à récompenser ses membres en sats et à ajouter des points de vente Masimba, prolongeant ainsi, semaine après semaine, ce cycle « gagner-dépenser ».
• La formation alimente sans cesse le processus : du pôle de formation de Bitcoin Karoo à De Rust aux ateliers destinés à accueillir de nouveaux commerçants, le circuit menant de l'apprentissage à la dépense reste bien alimenté — ce travail de fond, loin des feux de la rampe, qui transforme une simple inscription en une habitude.

C'est l'Afrique du Sud qui a envoyé le signal politique le plus clair de la semaine — et qui a suscité la première réaction organisée du secteur contre cette mesure.

• Afrique du Sud — projet de cadre de déclaration transfrontalière : un projet du Trésor national et de la SARB (publié le 3 août, date limite de soumission des commentaires fixée au 30 septembre) imposerait que les paiements en cryptomonnaies vers l’étranger soient déclarés par l’intermédiaire de prestataires agréés et communiqués à la division FinSurv de la SARB. Il considère les transferts effectués depuis un prestataire local, tel que Luno ou VALR, vers un réseau offshore ou un portefeuille en auto-garde comme des transactions transfrontalières, dans le respect des plafonds existants en matière de change (2 millions de rands pour les opérations discrétionnaires individuelles, 10 millions de rands pour les capitaux étrangers). Il convient de souligner qu'il s'agit d'un projet, qu'il régit les flux transfrontaliers et qu'il couvre les cryptomonnaies de manière générale, et non le Bitcoin en particulier. La réglementation sous-jacente relative à la gestion des flux de capitaux n’est pas encore définitive, et les transferts purement nationaux entre prestataires locaux sont considérés comme non soumis à déclaration.
• Le secteur riposte : Carel van Wyk (@MoneyBadgerPay), PDG de MoneyBadger , a qualifié les restrictions prévues dans le projet de « disproportionnées et mal justifiées », avertissant qu'elles pourraient empêcher les entreprises sud-africaines d'utiliser les cryptomonnaies pour effectuer des paiements transfrontaliers légitimes et les pousser à se tourner à nouveau vers le système bancaire traditionnel. Il s'agit certes du point de vue d'une partie prenante, mais c'est le signe le plus clair à ce jour que le secteur contestera le projet avant la date limite.

Une faille confirmée, un réseau P2P réduit à néant, des milliers de vulnérabilités répertoriées et un géant de la conservation de clés remettant leurs clés aux utilisateurs — le tout en une semaine. Le schéma mis en évidence dans les deux dernières analyses est désormais une réalité opérationnelle : la sécurité est continue et se déroule à la vitesse de l'informatique, et les services qui survivront seront ceux qui s'auto-hébergent, appliquent rapidement les correctifs et conservent leurs propres clés. Et malgré tout cela, quelqu'un à Randfontein a quand même payé son déjeuner en sats. À la semaine prochaine.