BTCPay Server, el software gratuito y de código abierto que usan las empresas para aceptar Bitcoin, pidió el domingo a los operadores que apagaran sus instancias tras recibir informes de que atacantes estaban vaciando las billeteras calientes de los servidores afectados, informó Decrypt. El proyecto publicó la advertencia a las 5:25 p. m., hora del Este, el 1 de noviembre de 2026. Indicó que estaba recibiendo informes de que se estaban vaciando billeteras calientes y pidió a los operadores que ejecutaran su script de apagado hasta que concluyera la investigación.
Unas dos horas después, el fundador Nicolas Dorier dijo que los informes parecían referirse a versiones anteriores a la 2.4.2 y que el atacante había iniciado sesión en los servidores afectados con acceso de administrador. Luego, el proyecto afirmó que su investigación había identificado un vector de ataque dirigido a las instancias que ejecutaban la versión 2.4.1, publicada el 23 de julio, o versiones anteriores, según su actualización de seguimiento.
Datos clave
• BTCPay Server emitió su advertencia de cierre el domingo 1 de noviembre de 2026, a las 5:25 p. m., hora del Este.
• El proyecto dijo que el vector de ataque apuntaba a la versión 2.4.1, publicada el 23 de julio, o a versiones anteriores.
• BTCPay publicó la versión 2.4.7 el jueves como actualización de emergencia para corregir una vulnerabilidad crítica y varias de gravedad media.
• Las vulnerabilidades de la versión 2.4.7 salieron a la luz gracias al escáner de software de código abierto de vanguardia de Anthropic.
• Algunos proveedores de alojamiento, como LunaNode, apagaron automáticamente las instancias de BTCPay para evitar que se explotaran las versiones anteriores.
Software autohospedado sin interruptor de apagado centralizado
Como BTCPay es autohospedado, cada comerciante lo ejecuta en su propio servidor y ningún operador central puede desactivar las instancias por ellos. Por eso, el proyecto recurrió a un llamamiento público para que los operadores actuaran por su cuenta.
El riesgo se concentra en la configuración opcional de la billetera activa, en la que la frase semilla de un comerciante se almacena en un servidor conectado a internet para que pueda firmar transacciones automáticamente. La documentación de la billetera de BTCPay califica la función como «PELIGRO» y advierte que conlleva riesgos de seguridad. El proyecto dijo que no había recibido informes creíbles de vaciados de billeteras activas entre los usuarios que ejecutaban la versión más reciente, la 2.4.7, y pidió a los afectados que enviaran detalles y registros a su equipo de seguridad.
La actualización de emergencia se publicó días antes de que salieran a la luz los informes. BTCPay no ha dicho si los ataques aprovecharon alguna de las vulnerabilidades corregidas en la versión 2.4.7, ni ha revelado cuántos servidores fueron afectados o cuánto bitcoin se sustrajo.
Una repetición de la advertencia de agosto
Este es el segundo susto de seguridad del proyecto este año. En agosto, BTCPay advirtió que se estaba explotando activamente una vulnerabilidad crítica presente en todas las versiones anteriores a la 2.4.2 y pidió a los usuarios que actualizaran o apagaran el servicio. Más tarde, sus partidarios financiaron una recompensa por la recuperación equivalente al 10 % de los fondos robados que se devolvieran, con un límite de 3 BTC. El último incidente vuelve a señalar la misma solución que el proyecto ha recomendado durante todo el año: usar software actualizado.
Por qué es importante
Los comerciantes que aceptan bitcoin sin recurrir a un procesador de custodia dependen de BTCPay y herramientas similares para guardar y transferir sus propios fondos, por lo que una vulnerabilidad que exponga las billeteras activas pone directamente en riesgo los ingresos del negocio. El episodio también muestra con qué rapidez un proyecto autohospedado debe depender del cumplimiento voluntario, ya que su único recurso es decirles a los operadores qué deben hacer. Para los comerciantes, la diferencia práctica está entre las billeteras activas automatizadas y las configuraciones que mantienen las claves fuera de línea.
Qué observar
Las próximas señales serán los resultados de la investigación de BTCPay, incluido si los vaciados se relacionan con las vulnerabilidades corregidas en la versión 2.4.7, así como cualquier información sobre la cantidad de servidores afectados o el bitcoin robado. El proyecto pidió a los operadores afectados que enviaran registros, lo que podría ayudar a esclarecer lo ocurrido.
Publicado originalmente en CoinPulseHQ: https://coinpulsehq.com/btcpay-server-hot-wallet-drains-shutdown/