BTCPay Server, un procesador de pagos con criptomonedas de código abierto, ha iniciado una investigación de seguridad urgente tras recibir informes sobre retiros no autorizados de monederos calientes. En una alerta inicial emitida el 2 de noviembre, el equipo de desarrollo recomendó a los operadores desconectar temporalmente sus instancias mediante scripts de apagado mientras los investigadores trabajaban para identificar el mecanismo de la brecha. Desde entonces, el equipo ha acotado el principal vector de ataque a los servidores sin parchear que ejecutan la versión 2.4.1 o anteriores, y ha confirmado que no han surgido informes creíbles de vaciado de monederos relacionados con la versión más reciente, la 2.4.7.
El incidente supone el segundo gran susto de seguridad para el proyecto en los últimos meses, tras una vulnerabilidad explotada en agosto que involucró credenciales administrativas comprometidas de Lightning Network. En la brecha actual, los atacantes lograron obtener privilegios de administrador completos en instancias vulnerables, lo que les permitió iniciar barridos que transfirieron fondos operativos en línea directamente a destinos externos no autorizados. Nicolas Dorier, cofundador de BTCPay Server, confirmó que los nodos públicos que ejecutaban la versión 2.4.7 no se vieron afectados en absoluto, aunque los desarrolladores aún no han revelado públicamente la vulnerabilidad técnica específica que se aprovechó para secuestrar cuentas de administrador.
Para mitigar una mayor exposición en todo el ecosistema, varios proveedores de alojamiento externos, incluido LunaNode, actuaron rápidamente y cerraron automáticamente los servidores expuestos de sus clientes. Aunque BTCPay Server no ha publicado cifras sobre las pérdidas totales ni sobre las máquinas comprometidas, el equipo instó a los operadores que utilizan infraestructura autohospedada a actualizar de inmediato a la versión 2.4.7 y a enviar los registros del sistema si sospechan que se produjo actividad no autorizada. La organización reiteró la importancia de mantener prácticas rigurosas de seguridad y recomendó encarecidamente a los comerciantes limitar los fondos asignados a las billeteras calientes y transferir los saldos más grandes a almacenamiento en frío sin conexión hasta que concluya la investigación.