BTCPay Server emitió una alerta de seguridad de emergencia tras surgir informes de atacantes que drenaron Bitcoin de hot wallets alojadas en su infraestructura de pagos, instando a los operadores a apagar sus servidores mientras los investigadores trabajan para determinar el alcance del compromiso.

La alerta, publicada el 1 de noviembre, aplicaba inicialmente a todas las instalaciones. Hallazgos posteriores han reducido desde entonces el vector de ataque sospechado a las versiones 2.4.1 y anteriores de BTCPay Server, y el proyecto afirma no haber recibido informes creíbles de robos de hot wallets relacionados con su última versión 2.4.7. El monto total robado, el número de comercios afectados y el método exacto utilizado para comprometer los servidores siguen sin revelarse.

Drenajes de wallets atribuidos a software desactualizado

BTCPay Server indicó a los operadores que desconectaran de inmediato sus instancias usando el comando ./btcpay-down.sh después de que surgieran informes de retiros no autorizados desde wallets conectadas a internet.

El procesador de pagos de código abierto permite a los comercios aceptar pagos en Bitcoin y Lightning Network sin depender de custodios centralizados. Sin embargo, su funcionalidad opcional de hot wallet almacena las credenciales de firma en el propio servidor, lo que puede exponer los fondos si los atacantes obtienen acceso administrativo. Las hot wallets mantienen esas claves en línea para que los pagos se procesen automáticamente, mientras que el almacenamiento en frío las mantiene fuera de línea: un equilibrio que deja a los comercios autocustodiados sin intermediario entre sus claves y un atacante.

El fundador Nicolas Dorier declaró que las investigaciones preliminares mostraron que los atacantes habían iniciado sesión con éxito en los servidores afectados como administradores, aunque el método utilizado para obtener ese acceso todavía se está examinando. Las instalaciones comprometidas parecían ejecutar versiones publicadas antes de agosto de 2026, cuando BTCPay Server introdujo la versión 2.4.2 para corregir varias debilidades de seguridad.

El equipo identificó posteriormente un vector de ataque que afecta a las versiones 2.4.1 y anteriores, al tiempo que señaló que sus propios servidores accesibles públicamente que ejecutan la última versión no habían sido comprometidos. Sin embargo, dado que el software es autoalojado, la aplicación de parches depende de que cada operador actúe según los avisos del proyecto: ningún proveedor central puede actualizar los servidores en nombre de los comercios.

Los hallazgos llegaron días después de que BTCPay Server lanzara la versión 2.4.7 el 29 de octubre, que aborda 85 hallazgos de seguridad identificados mediante el programa de escaneo de seguridad de código abierto de Anthropic. Esas correcciones cubrieron un problema crítico, 13 de gravedad alta, 52 de gravedad media y 19 de gravedad baja, que abarcan autenticación, procesamiento de pagos, acceso a la API y otros componentes. La versión está disponible en GitHub, y el proyecto compartió su advertencia mediante X.

Aunque la última versión no tiene pérdidas confirmadas de hot wallets asociadas, la investigación aún no ha establecido qué vulnerabilidad específica permitió los ataques de noviembre.

La infraestructura de pagos de Bitcoin enfrenta una renovada presión de seguridad

El incidente sigue a una brecha de agosto que involucró la integración de Lightning Network de BTCPay Server. Los atacantes explotaron previamente una vulnerabilidad que permitía el acceso no autorizado a las credenciales administrativas de LND, lo que podría haberles permitido controlar nodos Lightning conectados y transferir fondos. Esa debilidad se identificó durante una revisión de seguridad de Bitcoin más amplia y se corrigió en la versión 2.4.2, y el incidente anterior afectó fondos conectados a LND en lugar de las hot wallets estándar en cadena de BTCPay Server.

Las preocupaciones de seguridad también se han extendido a otras aplicaciones de Bitcoin. En agosto, Core Lightning instó a los operadores de nodos a desconectarse mientras los desarrolladores preparaban actualizaciones de seguridad. Más recientemente, Electrum corrigió una vulnerabilidad de wallet activamente explotada después de que atacantes manipularan datos de transacciones para redirigir pagos de Bitcoin.

BTCPay Server ahora insta a los operadores afectados a presentarse con registros relevantes y detalles del incidente. Se recomienda a los usuarios mantener las instalaciones actualizadas, minimizar los fondos almacenados en hot wallets y transferir los activos restantes a almacenamiento en frío seguro cuando sea necesario. Algunos proveedores de alojamiento han suspendido de manera proactiva instancias de clientes que ejecutan software vulnerable para evitar más pérdidas.

La investigación sigue en curso, sin cifras confirmadas de recuperación ni una explicación técnica completa publicada hasta ahora. Si bien el software más reciente parece no verse afectado por el vector de ataque identificado, el incidente subraya los riesgos de la infraestructura de pagos autoalojada desactualizada, especialmente cuando las claves privadas permanecen accesibles en servidores conectados a internet. La atención se centra ahora en si el proyecto publica un análisis técnico completo y cuántos comercios afectados reportan pérdidas a medida que llegan los registros.