Por lo de BTCPay, algunos ya están gritando: «¡Otro fallo de seguridad, BTC se va a los 50.000!». Hermano, primero averigua qué fue lo que vaciaron.
El comunicado oficial dice una sola cosa: se transfirieron fondos sin autorización desde las hot wallets de varias instancias autogestionadas de BTCPay. Todos los operadores deben ejecutar inmediatamente ./btcpay-down.sh para apagar los servidores y esperar los resultados de la investigación. No se indicó el monto de las pérdidas, ni la causa raíz, ni las versiones afectadas, ni se publicó un parche.
La clave está en las palabras «hot wallet». Una hot wallet de BTCPay significa que la semilla está guardada en un servidor conectado a internet las 24 horas, para que pueda firmar transacciones por sí mismo. Quien consiga acceso de administrador a esa máquina puede mover los fondos. Los comercios que solo usan xpub en modo de solo lectura no tienen claves privadas con las que gastar fondos en el servidor; también se dijo que BTCPay Lite, que utiliza una wallet externa, no está afectado.
Así que no es que le haya pasado algo a Bitcoin: un montón de pequeños comercios guardaban el dinero de la caja como si fuera un tesoro. «Autocustodia» no significa seguridad. Dejar las claves privadas en una máquina expuesta a internet no es muy distinto de olvidarse la wallet en un cibercafé.
Quien usa un problema con una herramienta de pagos para gritar que BTC se va a desplomar a la mitad o no entiende del tema o quiere engañarte para que vendas con pérdidas. Si recibes pagos con BTCPay: apágalo primero y transfiere los fondos a una cold wallet. De ahora en adelante, acepta pagos en modo de solo lectura y deja en la hot wallet solo lo necesario para dar cambio.
#BTCPay #Seguridad
El comunicado oficial dice una sola cosa: se transfirieron fondos sin autorización desde las hot wallets de varias instancias autogestionadas de BTCPay. Todos los operadores deben ejecutar inmediatamente ./btcpay-down.sh para apagar los servidores y esperar los resultados de la investigación. No se indicó el monto de las pérdidas, ni la causa raíz, ni las versiones afectadas, ni se publicó un parche.
La clave está en las palabras «hot wallet». Una hot wallet de BTCPay significa que la semilla está guardada en un servidor conectado a internet las 24 horas, para que pueda firmar transacciones por sí mismo. Quien consiga acceso de administrador a esa máquina puede mover los fondos. Los comercios que solo usan xpub en modo de solo lectura no tienen claves privadas con las que gastar fondos en el servidor; también se dijo que BTCPay Lite, que utiliza una wallet externa, no está afectado.
Así que no es que le haya pasado algo a Bitcoin: un montón de pequeños comercios guardaban el dinero de la caja como si fuera un tesoro. «Autocustodia» no significa seguridad. Dejar las claves privadas en una máquina expuesta a internet no es muy distinto de olvidarse la wallet en un cibercafé.
Quien usa un problema con una herramienta de pagos para gritar que BTC se va a desplomar a la mitad o no entiende del tema o quiere engañarte para que vendas con pérdidas. Si recibes pagos con BTCPay: apágalo primero y transfiere los fondos a una cold wallet. De ahora en adelante, acepta pagos en modo de solo lectura y deja en la hot wallet solo lo necesario para dar cambio.
#BTCPay #Seguridad