BTCPay Server, la plataforma de pagos en Bitcoin, pidió a los operadores que apagaran sus servidores tras recibir informes de atacantes que vaciaban hot wallets. El lunes, el proyecto indicó que el vector de ataque que ha identificado afecta a instancias con la versión 2.4.1 o anterior.
Qué ha dicho BTCPay Server
En un primer aviso, el proyecto pidió a los operadores que apagaran sus instancias mientras investigaba los informes de retiradas no autorizadas de las wallets. BTCPay también compartió instrucciones para desconectar los servidores.
El lunes, en un mensaje posterior, BTCPay explicó que su investigación había identificado un vector de ataque dirigido a instancias con la versión 2.4.1 o anterior. La versión 2.4.1 se lanzó el 23 de julio de 2026.
El proyecto aseguró que no había recibido informes creíbles de vaciado de hot wallets de usuarios con su última versión, la 2.4.7, e instó a los operadores a actualizar sus instalaciones.
Qué versiones están afectadas
Versión de BTCPay Server | Qué dice BTCPay |
|---|---|
2.4.1 o anterior | Afectada por el vector de ataque identificado |
2.4.7 (la última) | Sin informes creíbles de vaciado |
La única recomendación explícita del proyecto es actualizar a la 2.4.7. BTCPay no ha anunciado ninguna corrección aparte de esa actualización ni ha descrito públicamente cómo funciona el ataque.
Qué hacer si usas BTCPay
- Apaga tu servidor, según el primer aviso, si tienes la versión 2.4.1 o anterior
- Actualiza tu instalación a la 2.4.7, la versión de la que BTCPay no tiene informes creíbles de vaciado
- Si te han afectado, envía información y registros al equipo de seguridad de BTCPay
Qué sigue sin saberse
BTCPay aún no ha revelado tres datos clave sobre el incidente:
- El número de operadores afectados
- El valor de los fondos robados
- Los detalles técnicos de cómo accedieron los atacantes a las wallets
El incidente llega menos de tres meses después de que BTCPay restringiera el acceso remoto a Lightning tras un ataque en agosto. Aquel ataque aprovechó una vulnerabilidad para obtener credenciales de Lightning Network Daemon (LND) y robar fondos.
No está claro si el nuevo vector de ataque guarda relación con la vulnerabilidad de agosto.