Los atacantes obtuvieron acceso de administrador a instancias obsoletas de BTCPay Server y vaciaron sus monederos calientes, y las pistas apuntan a vulnerabilidades que preceden a un parche de agosto.
El daño recae en los operadores que nunca actualizaron, y el equipo aún no ha revelado las pérdidas totales. BTCPay Server es un procesador de pagos gratuito y de código abierto que los comerciantes alojan ellos mismos para aceptar bitcoin. En una configuración de monedero caliente, el servidor almacena las claves privadas él mismo, lo que permite al software enviar fondos sin que el operador firme cada transacción. Como resultado, cualquier persona con acceso de administrador a dicho servidor puede mover sus monedas.
¿Qué versiones objetivo los atacantes?
El equipo de BTCPay Server primero alertó el aviso tarde el 1 de noviembre. Pidió a cada operador que apagara su instancia hasta que finalice la investigación.
Un seguimiento luego redujo el alcance. El vector de ataque afecta a la versión 2.4.1, lanzada el 23 de julio de 2026, y cualquier versión anterior. Mientras tanto, el equipo afirma que no tiene informes creíbles de extracciones en la versión actual 2.4.7.
El fundador Nicolas Dorier said que el atacante inició sesión como administrador en los servidores afectados, aunque el equipo aún no ha determinado cómo. Hasta ahora, la investigación ha encontrado rastros de vulnerabilidades que preceden a la versión 2.4.2.
La brecha marca al menos la segunda vez en tres meses que los atacantes han robado fondos de instancias de BTCPay Server que ejecutan versiones anteriores a la 2.4.2. Esa versión corrigió una falla crítica en agosto, que permitía a atacantes remotos obtener las credenciales del nodo Lightning y vaciar los monederos conectados.
Incluso entonces, el error ya estaba en explotación activa.
¿Vale la pena el riesgo de un monedero caliente de BTCPay Server?
Los proveedores de alojamiento también actuaron rápidamente. El equipo dice que LunaNode y otros podrían haber cerrado automáticamente las instancias de los clientes para bloquear ataques contra versiones antiguas.
Dorier ejecuta la versión 2.4.7 con un monedero caliente él mismo. Sin embargo, el fundador advirtió contra mantener grandes sumas en cualquier servidor.
No pongas más de lo que estás dispuesto a perder en el monedero caliente. No podemos garantizar que no vuelva a suceder.
Nicolas Dorier, X
El incidente encaja en un patrón más amplio en la infraestructura de bitcoin autohospedada. Core Lightning recientemente advirtió que los atacantes apuntan a nodos sin parchear. En ambos casos, la solución existía antes del robo, por lo que el punto más débil fue un operador que instaló una instancia de BTCPay Server una sola vez y nunca la actualizó.
La publicación ¿Está seguro su servidor BTCPay? Lo que muestra la investigación sobre el agotamiento de la billetera caliente apareció por primera vez en BeInCrypto.