BTCPay Server advierte tras el robo de una hot wallet
Los atacantes afectaron sobre todo a instancias de BTCPay Server en versiones antiguas; el procesador de pagos de Bitcoin de código abierto pidió a los operadores que apagaran sus servidores tras el vaciado de la hot wallet.
Puntos clave
- Los atacantes obtuvieron acceso a instancias desactualizadas de BTCPay Server y vaciaron hot wallets allí.
- BTCPay Server pidió a los operadores el 1 de noviembre que apagaran su instancia mientras dure la investigación.
- La versión 2.4.1 y anteriores se han visto afectadas; no se conocen informes creíbles de vaciados para la versión 2.4.7.
Los atacantes han obtenido acceso a instancias desactualizadas de BTCPay Server y han vaciado hot carteras allí. Según el equipo, las pistas apuntan a fallos que ya existían antes de un parche en agosto, mientras que para la versión más reciente 2.4.7 no hay informes creíbles de vaciados.
Versiones antiguas afectadas
BTCPay Server pidió el 1 de noviembre a todos los operadores que apagaran su instancia hasta que concluyera la investigación. Después quedó más claro que el vector de ataque afecta a la versión 2.4.1, publicada el 23 de julio de 2026, y a todo lo anterior. El daño afecta sobre todo a los usuarios que nunca actualizaron, mientras que la pérdida total aún no se conoce.
El fundador Nicolas Dorier dijo que el atacante inició sesión como administrador en los servidores afectados, pero que todavía no está claro cómo ocurrió exactamente. La investigación sí encontró rastros de vulnerabilidades anteriores a la versión 2.4.2. Esto es relevante porque esa versión cerró en agosto un fallo crítico que permitía a los atacantes extraer a distancia datos de nodos Lightning y vaciar las carteras vinculadas.
Por qué las hot wallets son vulnerables
BTCPay Server es un procesador de pagos de Bitcoin de código abierto que los comerciantes alojan por su cuenta. En una configuración de hot wallet, el servidor guarda las claves privadas, de modo que el sistema puede enviar pagos sin que el operador firme cada transacción por separado. Quien obtiene acceso de administrador a un servidor así también puede mover las monedas.
El equipo afirma que proveedores de alojamiento como LunaNode podrían haber intervenido rápidamente al desactivar automáticamente las configuraciones de los clientes en versiones antiguas. Dorier utiliza él mismo la versión 2.4.7 con una hot wallet, pero advirtió al mismo tiempo que las grandes cantidades no deberían estar en un servidor. Escribió que no se debe poner allí más de lo que uno esté dispuesto a perder.
Riesgo más amplio para la infraestructura de Bitcoin
El caso encaja en un patrón más amplio en torno a la infraestructura de Bitcoin autohospedada. Core Lightning también advirtió recientemente que los atacantes están apuntando a nodos sin parchear. Para los usuarios y empresas europeas de cripto, esto muestra que la autogestión puede ofrecer más control y privacidad, pero también exige una gestión estricta de actualizaciones y una respuesta rápida a los avisos de seguridad.
También los nodos Lightning vulnerables estuvieron recientemente bajo presión, lo que muestra lo rápido que una infraestructura de Bitcoin sin parchear se convierte en un objetivo. El caso de BTCPay Server subraya sobre todo que una instalación única no basta. Si el software no se actualiza, una vulnerabilidad antigua puede acabar meses después en una pérdida de Bitcoin.