El procesador de pagos autohospedado BTCPay Server emitió una advertencia bastante inusual: tras recibir varios informes de atacantes no autorizados que vaciaban fondos de los monederos calientes, recomendó directamente a los operadores apagar primero sus servidores. Ojo: «apagar», no «actualizar y ver qué pasa». En un proyecto de código abierto, una formulación así equivale prácticamente a activar la alarma de máximo nivel.
La clave está en «versiones antiguas». El riesgo no se debe al diseño de BTCPay en sí, sino a las instancias que todavía ejecutan software obsoleto. La mayor ventaja del software de código abierto es que cualquiera puede auditarlo; su mayor trampa también está ahí: el código se actualiza, pero la versión de tu máquina no, y la vulnerabilidad sigue ahí, con la puerta abierta.
Para los comerciantes y quienes alojan sus propios servicios, la lección es clara: las billeteras calientes son para «pasar» fondos, no para «guardarlos». Si se juntan estas tres condiciones —claves privadas en línea, máquinas conectadas a Internet y software desactualizado—, es solo cuestión de tiempo que ocurra un incidente. No trates el saldo de la dirección de cobro como si fuera una cuenta de ahorros.
Un recordatorio más: si tú o algún comerciante que conoces usa BTCPay Server, lo que hay que hacer ahora es comprobar la versión, seguir las instrucciones oficiales y, si es necesario, detener el servicio temporalmente. No te confíes pensando «mi negocio es pequeño, nadie se fijará en mí»: los atacantes buscan huellas de versiones, no se fijan en cuánto tienes.
Lo anterior no constituye asesoramiento de inversión.