GENERAL BYTES

Imaginez acheter du bitcoin avec des billets. Au lieu de vous connecter à une plateforme d’échange, vous vous rendez à un automate et indiquez l’adresse de votre portefeuille. GENERAL BYTES fournit la technologie pour ce type d’opération. Sa chronologie situe sa fondation à Prague en 2013 et sa première installation accessible au public en 2014. Le nombre de machines vendues mesure les livraisons passées, pas les points actuellement en service ni un nombre de clients vérifié indépendamment. [1]

Lorsqu’un achat se passe mal, il faut savoir qui exploite ce distributeur. GENERAL BYTES renvoie les clients ayant un problème de transaction vers cet exploitant. La marque du fabricant ne suffit pas à connaître le taux, les frais, le destinataire du paiement ou le responsable d’un remboursement. Avant d’acheter, mieux vaut donc lire les conditions et repérer les coordonnées du service, plutôt que retenir seulement le nom inscrit sur la machine. [2]

Un BATM unidirectionnel accepte des espèces pour acheter des cryptomonnaies. Un modèle bidirectionnel peut aussi recevoir des cryptomonnaies et distribuer des espèces. Tous les appareils de la marque ne proposent donc pas forcément les deux. Le modèle, l’équipement et les réglages de l’exploitant comptent. La possibilité de vendre du bitcoin dans la gamme ne garantit pas, par exemple, que la machine choisie pourra vous remettre des billets au moment de votre visite. [2]

CAS, le serveur central de gestion, traite les demandes du terminal BATM. Selon sa configuration, il communique avec une plateforme d’échange et des hot wallets, des portefeuilles accessibles en ligne pour les paiements courants. Lors d’un achat, le bitcoin peut ainsi partir d’un portefeuille connecté vers l’adresse du client. Le fabricant précise que le terminal lui-même ne détient pas de cryptomonnaie. La sécurité dépasse donc le boîtier : elle concerne aussi les accès au serveur, aux portefeuilles et aux comptes des services reliés. [3]

Un exploitant peut vouloir connecter une autre plateforme ou un autre portefeuille. Les extensions CAS le permettent. Le dépôt public batm_public propose des exemples, des outils de test et une Java API : une interface permettant aux programmes écrits en Java de dialoguer avec le système. Publier ces extensions ne prouve pas que tout le produit soit open source. Il faut aussi maintenir chaque ajout et vérifier sa compatibilité avec la version de CAS utilisée. [4]

L’avis concernant les 17–18 mars 2023 décrit un attaquant ayant exécuté sa propre application par l’interface du serveur. Il a ainsi accédé à la base de données et aux clés API, les identifiants des portefeuilles et plateformes connectés. Ces accès peuvent aussi autoriser l’envoi de fonds. La remise en état comprenait donc la reconstruction des serveurs compromis et le remplacement des identifiants, en plus de la mise à jour. Fermer la brèche et révoquer des accès déjà volés sont deux tâches distinctes. [5]

Le rapport concernant le 22 juillet 2026 décrit un incident CAS distinct. L’entreprise le relie à une sécurisation insuffisante de Hessian, une bibliothèque traitant les données reçues, et à une mauvaise vérification de l’empreinte identifiant le terminal. Il s’agit de reconnaître l’appareil connecté, pas le doigt d’un client. Le fabricant signale également une intrusion dans sa propre infrastructure. Le correctif de 2023 ne démontre donc pas la résolution de ce problème ultérieur : chaque avis possède son périmètre et ses mesures de réparation. [6]

Le complément d’août au rapport de 2026 décrit une intrusion dans Sentry, un système recueillant des données de diagnostic. Selon l’entreprise, les attaquants ont pu obtenir des adresses de serveurs CAS et des images de codes QR que les appareils ne parvenaient pas à lire. Le fabricant indique qu’elles contenaient des adresses, pas des clés privées. La distinction compte, mais ces données d’exploitation restent sensibles. Les distributeurs peuvent aussi vérifier l’identité des clients. Payer avec des billets ne garantit donc pas l’anonymat. [6] [2]