Si administra un servidor de pagos en $Bitcoin, deje de leer después de esta oración y apáguelo. BTCPay Server, el procesador de pagos en bitcoin autohospedado más utilizado, ha confirmado que los atacantes están vaciando monederos calientes en instalaciones antiguas y ha solicitado a todos los operadores que desconecten sus instancias hasta que se complete la investigación.
¿Qué pasó con BTCPay Server?
Tarde el sábado 1 de noviembre, el equipo de BTCPay Server publicó una alerta de emergencia: recibía informes de que billeteras en línea conectadas a instancias de BTCPay estaban siendo vaciadas por atacantes no autorizados. La instrucción fue clara: apague su servidor con el script ./btcpay-down.sh y espere.
Para el domingo, el equipo de respuesta a incidentes había reducido el vector de ataque. Según el proyecto, las instalaciones afectadas ejecutan la versión 2.4.1, lanzada el 23 de julio de 2026, o anterior. No hay informes creíbles de monederos agotados en la versión actual 2.4.7.
El cofundador Nicolas Dorier añadió un detalle preocupante: el atacante logró ingresar a las instancias afectadas con privilegios de administrador. Aún se desconoce cómo se obtuvo ese acceso. Los servidores públicos propios del proyecto, que ejecutan la versión 2.4.7, no fueron afectados.
¿Cuántos bitcoin fueron robados en el hack de BTCPay?
Aún no se sabe, y BTCPay Server no ha publicado una cifra. El equipo no ha revelado cuántos servidores fueron comprometidos ni cuántos operadores han reportado pérdidas. Se está pidiendo a los usuarios afectados que envíen detalles del incidente y registros del servidor al equipo de seguridad para que la investigación pueda establecer la magnitud.
Los proveedores de alojamiento actuaron rápidamente. LunaNode y otros comenzaron a cerrar automáticamente instancias más antiguas, por lo que si tu panel de BTCPay se apagó de repente durante el fin de semana, esa puede ser la razón.
¿Es esta la misma vulnerabilidad de BTCPay que en agosto?
No exactamente, pero el patrón es familiar. En agosto, BTCPay Server advirtió sobre una vulnerabilidad activamente explotada que permitía a los atacantes obtener las credenciales del administrador de LND y acceder a los monederos Lightning conectados. Esa falla fue corregida en la versión 2.4.2, y el proyecto ofreció una recompensa por recuperación del 10 por ciento de los fondos recuperados, con un límite de 3 BTC.
La falla de agosto no afectó explícitamente los monederos calientes en la cadena. Esta sí. Y llega seis semanas después de que Core Lightning advirtiera que los atacantes estaban buscando nodos Lightning antiguos y no actualizados. El mensaje de tres incidentes separados en tres meses es el mismo: la infraestructura de pagos en bitcoin que no se actualiza está siendo escaneada y atacada activamente.
¿Qué deben hacer los operadores de BTCPay Server en este momento?
- Apague la instancia hasta que BTCPay Server dé la autorización, incluso si está utilizando una versión reciente. El proyecto indica que la 2.4.7 no se ve afectada, pero la causa raíz del inicio de sesión de administrador es desconocida.
- Verifica los saldos de tu monedero caliente y mueve lo que quede al almacenamiento en frío. BTCPay ha recomendado durante mucho tiempo mantener solo el flujo operativo en un monedero caliente.
- Mantenga sus registros. Si observa transacciones inexplicadas, no borre el servidor. Envíe los registros al equipo de seguridad de BTCPay.
- Actualiza antes de reiniciar. Cuando vuelvas a iniciar la instancia, hazlo en la versión 2.4.7 o en cualquier lanzamiento corregido que le siga.
- Gire las credenciales de cada cuenta de administrador en el servidor y para cualquier servicio que comparta una contraseña con ella.