Los atacantes obtuvieron acceso de administrador a instancias desactualizadas de BTCPay Server y vaciaron sus billeteras calientes; los indicios apuntan a fallas anteriores a un parche de agosto.
Los operadores que nunca actualizaron son quienes sufren las consecuencias, y el equipo aún no ha revelado las pérdidas totales. BTCPay Server es un procesador de pagos gratuito y de código abierto que los comerciantes alojan por su cuenta para aceptar Bitcoin. En una configuración con billetera caliente, el servidor almacena las claves privadas, lo que permite al software enviar fondos sin que el operador tenga que firmar cada transacción. Como resultado, cualquiera que tenga acceso de administrador a un servidor de este tipo puede transferir sus monedas.
¿Qué versiones atacaron los ciberdelincuentes?
El equipo de BTCPay Server dio la voz de alarma por primera vez a última hora del 1 de noviembre. Pidió a todos los operadores que apagaran sus instancias hasta que concluyera la investigación.
Un comunicado posterior acotó el alcance. El vector de ataque apunta a la versión 2.4.1, publicada el 23 de julio de 2026, y a todas las anteriores. Mientras tanto, el equipo afirma que no ha recibido informes creíbles de fondos sustraídos de la versión actual 2.4.7.
📢 Nuestra investigación sobre la respuesta al incidente identificó un vector de ataque dirigido a instancias que ejecutan la versión 2.4.1 (23 de julio de 2026) o anteriores. No tenemos informes creíbles de fondos sustraídos de monederos calientes de usuarios que ejecutan la versión más reciente, la 2.4.7. Volvemos a instar a todos a mantener sus servidores BTCPay… pic.twitter.com/gYxK4Bb7fc
— BTCPay Server (@BtcpayServer) 2 de noviembre de 2026
El fundador Nicolas Dorier dijo que el atacante inició sesión como administrador en los servidores afectados, aunque el equipo todavía no ha averiguado cómo. Hasta ahora, la investigación ha encontrado rastros de vulnerabilidades anteriores a la versión 2.4.2.
La brecha marca al menos la segunda vez en tres meses que los atacantes han robado fondos de instancias de BTCPay Server que ejecutaban versiones anteriores a la 2.4.2. Esa versión corrigió un fallo crítico en agosto que permitía a atacantes remotos obtener las credenciales de los nodos Lightning y vaciar los monederos conectados.
Incluso entonces, el error ya estaba siendo explotado activamente.
¿Vale la pena correr el riesgo de usar un monedero caliente en BTCPay Server?
Los proveedores de alojamiento también actuaron con rapidez. Es posible que LunaNode y otros hayan apagado automáticamente las instancias de sus clientes para bloquear ataques contra versiones antiguas, según el equipo.
El propio Dorier usa la versión 2.4.7 con un monedero caliente. Aun así, el fundador advirtió que no se deben guardar grandes sumas en ningún servidor.
No guardes en un monedero caliente más de lo que estés dispuesto a perder. No podemos garantizar que no vuelva a ocurrir.
Nicolas Dorier, X
El incidente encaja en un patrón más amplio que afecta a la infraestructura de Bitcoin autogestionada. Core Lightning advirtió recientemente que los atacantes apuntan a nodos sin actualizar. En ambos casos, la solución existía antes del robo, así que el punto más débil fue un operador que instaló una instancia de BTCPay Server una vez y nunca la actualizó.