BTCPay Server pidió a los operadores que apagaran sus instancias el domingo, tras descubrir que personas no autorizadas estaban accediendo a las billeteras calientes y vaciándolas. En un anuncio en X, el proyecto solicitó a todos los administradores de instancias que desconectaran sus plataformas mediante el comando de apagado mientras se lleva a cabo la investigación.
Sin embargo, el proyecto aún no ha revelado la causa raíz, el número de servidores afectados ni el monto total robado.
BTCPay Server ha sufrido otros dos incidentes recientemente
BTCPay Server compartió en X: «Estamos recibiendo informes de billeteras calientes en servidores BTCPay que están siendo vaciadas por atacantes no autorizados. Si tienes una instancia en funcionamiento, apágala (./btcpay-down.sh) hasta que completemos la investigación».
Dado que BTCPay se aloja de forma autónoma, apagarlo es responsabilidad exclusiva de los propietarios de cada servidor. Según su documentación, la funcionalidad de billetera caliente almacena la semilla directamente en el servidor para firmar transacciones y permite realizar pagos rápidamente sin depender de hardware externo. Lamentablemente, esta comodidad ha hecho que las billeteras calientes sean mucho más vulnerables que el almacenamiento en frío.
Las billeteras calientes son particularmente vulnerables porque sus claves privadas se almacenan en sistemas conectados a Internet, por lo que los atacantes pueden acceder a ellas si vulneran la infraestructura subyacente. A diferencia de las billeteras frías, que almacenan las claves de firma sin conexión, las billeteras calientes priorizan la comodidad y permiten a los comerciantes procesar transacciones más rápidamente.
Para las empresas que utilizan BTCPay Server para aceptar pagos en Bitcoin, una billetera caliente comprometida podría exponer los fondos destinados a las liquidaciones de los comerciantes o a las transacciones de los clientes. Por tanto, la última advertencia plantea interrogantes sobre cómo pueden los operadores equilibrar la comodidad de los pagos con la necesidad de proteger las claves privadas frente al acceso no autorizado.
Al hablar del incidente, Samson Mow, director ejecutivo de JAN3, una empresa de tecnología BTC, aconsejó: «Creo que debería ser prioritario conseguir que SamRock trabaje con Indra cuanto antes para que los usuarios de BTCPay puedan recibir directamente en Aqua Bitcoin y hacer intercambios periódicos a almacenamiento en frío».
Esta alerta llega justo después de otros dos incidentes de seguridad relacionados con el proyecto. Hace apenas unos días, el 29 de octubre, BTCPay publicó una actualización de emergencia (v.2.4.7) para corregir esta vulnerabilidad y otras.
En agosto, los atacantes también aprovecharon otra brecha de seguridad, lo que provocó el robo de claves de Lightning Network y el vaciado de varios nodos asociados, incluido uno perteneciente a Foundation, el fabricante de billeteras de hardware. Sin embargo, BTCPay había asegurado a sus usuarios que sus billeteras estándar en cadena y las billeteras calientes integradas estaban a salvo de este ataque.
No obstante, había pedido a los usuarios que actualizaran sus servidores a la versión 2.4 o, al menos temporalmente, desactivaran sus instancias de BTCPay Server hasta poder hacerlo, reduciendo así el riesgo de acceso no autorizado.
Hasta que concluya la investigación, es posible que los operadores deban revisar la actividad de sus servidores, los saldos de las billeteras y el historial de transacciones para detectar movimientos sospechosos. Quienes sospechen que sus billeteras calientes han sido vulneradas no deberían seguir usando las claves de firma que podrían estar expuestas.
El incidente también demuestra por qué las copias de seguridad deben mantenerse seguras y por qué los grandes saldos de Bitcoin deberían guardarse sin conexión, en lugar de en billeteras conectadas a la infraestructura de pagos.
Coldcard fue atacada en agosto
En agosto, Coldcard, un popular fabricante de billeteras exclusivas para Bitcoin, también sufrió un exploit que hasta ahora ha provocado pérdidas confirmadas de al menos 116 millones de dólares. Según Ido Ben-Natan, director ejecutivo de Blockaid, el incidente de Coldcard dejó al descubierto una debilidad fundamental de las criptomonedas: la dependencia de claves privadas que pueden convertirse en un único punto de fallo.
Natan dijo: «Es una especie de acceso de un solo uso a estas cosas. Lo bueno es que nadie más puede entrar y acceder a ellas. Lo difícil es que se trata de un único punto de fallo».
Y añadió: «La lección aquí es que dejar tus activos en algún lugar, olvidarte de ellos y no prestarles atención no es realmente la solución, porque la seguridad evoluciona constantemente. Tienes que vivir en un estado de paranoia constante o delegar ese proceso de toma de decisiones en otra persona».
El origen del exploit fue un error grave en el firmware que permitió corromper el proceso de generación de semillas de las billeteras en los dispositivos Coldcard. Esto eliminó el factor aleatorio necesario para crear billeteras seguras, lo que permitió a los atacantes calcular las claves privadas y vaciar de Bitcoin esas billeteras. Según la firma de investigación K33, más de 7.000 direcciones se vieron afectadas.
En promedio, casi tres cuartas partes del dinero robado mediante exploits de criptomonedas en la primera mitad de 2026 estuvieron relacionadas con filtraciones de claves privadas.
No te limites a leer noticias sobre criptomonedas. Entiéndelas. Suscríbete a nuestro boletín. Es gratis.