BTCPay Server instó a todos los operadores a desconectar sus instancias el domingo, después de que surgieran reportes de que personas no autorizadas habían accedido y vaciado hot wallets conectadas a la plataforma de pagos en Bitcoin.

En un anuncio en X, el proyecto pidió a cada administrador de instancias que desconectara su servidor usando el comando de apagado y que esperara la conclusión de la investigación.

“Estamos recibiendo reportes de hot wallets en servidores BTCPay que están siendo barridas por atacantes no autorizados. Si está ejecutando una instancia, por favor apáguela (./btcpay-down.sh) hasta que completemos la investigación”, dijo BTCPay Server en X.

Dado que BTCPay Server es autoalojado, la responsabilidad de apagar recae directamente en los propietarios de cada servidor. El proyecto aún no ha revelado la causa raíz del incidente, cuántos servidores fueron afectados ni el monto total robado.

Por qué las hot wallets están expuestas

Según la documentación de BTCPay Server, la funcionalidad de hot wallet almacena la seed directamente en el servidor para firmar transacciones y permite pagos rápidos sin depender de hardware externo. Sin embargo, esa comodidad ha hecho que las hot wallets sean considerablemente más vulnerables que el almacenamiento en frío.

Las hot wallets guardan las claves privadas en sistemas conectados a internet, por lo que los atacantes que comprometan la infraestructura subyacente pueden acceder a ellas. Las cold wallets, en cambio, almacenan las claves de firma fuera de línea. La contrapartida es la velocidad: las hot wallets priorizan la comodidad y permiten a los comerciantes procesar transacciones más rápido, mientras que las cold wallets favorecen la seguridad.

Para los negocios que usan BTCPay Server para aceptar pagos en Bitcoin, una hot wallet comprometida podría exponer fondos destinados a liquidaciones de comerciantes o transacciones de clientes. Por ello, la advertencia plantea preguntas sobre cómo los operadores pueden equilibrar la comodidad de los pagos con la necesidad de proteger las claves privadas contra accesos no autorizados.

Samson Mow, CEO de la empresa de tecnología BTC JAN3, comentó sobre el incidente: “Creo que debería ser prioridad lograr que SamRock trabaje con Indra lo antes posible para que los usuarios de BTCPay puedan recibir directamente en Aqua Bitcoin y hacer swap a frío con regularidad”.

Tercer incidente de seguridad en los últimos meses

El llamado al apagado es el tercer incidente de seguridad que golpea al proyecto en rápida sucesión. Solo días antes, el 29 de octubre, BTCPay Server publicó una actualización de emergencia, la versión 2.4.7, para abordar esta vulnerabilidad y otras.

En agosto, los atacantes explotaron otra falla de seguridad, lo que llevó al robo de claves de Lightning Network y al vaciado de múltiples nodos asociados, incluido uno perteneciente a Foundation, un fabricante de hardware wallets. En ese momento, BTCPay Server aseguró a los usuarios que sus wallets on-chain estándar y sus hot wallets integradas estaban a salvo de ese ataque. No obstante, pidió a los usuarios actualizar sus servidores a la versión 2.4 o, al menos temporalmente, deshabilitar sus instancias hasta poder hacerlo, reduciendo el riesgo de acceso no autorizado.

Hasta que concluya la investigación actual, se recomienda a los operadores revisar la actividad del servidor, los saldos de las wallets y los historiales de transacciones en busca de movimientos sospechosos. Quienes sospechen que sus hot wallets han sido comprometidas no deben seguir usando claves de firma potencialmente expuestas. El incidente también subraya por qué los respaldos deben mantenerse seguros y por qué los saldos grandes de Bitcoin deben custodiarse fuera de línea en lugar de en wallets conectadas a la infraestructura de pagos. Con la causa raíz, el número de servidores afectados y el monto total robado aún sin revelar, la conclusión de la investigación de BTCPay Server es el desarrollo inmediato que los comerciantes y operadores de la plataforma deben seguir.

El exploit de Coldcard causó pérdidas de al menos 116 millones de dólares

La industria en general ha enfrentado problemas similares. En agosto, Coldcard, un popular fabricante de wallets exclusivas para Bitcoin, fue golpeado por un exploit que ha provocado hasta ahora al menos 116 millones de dólares en pérdidas confirmadas.

Según el CEO de Blockaid, Ido Ben-Natan, el incidente de Coldcard expuso una debilidad fundamental en las criptomonedas: la dependencia de claves privadas que pueden convertirse en un punto único de falla.

“Es un tipo de acceso de un solo uso a estas cosas. Ahora bien, hay belleza en que nadie más pueda entrar y tener acceso a estas cosas. La dificultad es que es un punto único de falla”, dijo Ben-Natan.

Agregó: “La lección aquí es que tener sus activos en algún lugar y olvidarse de ellos sin pensar en ellos no es en realidad la solución, porque el ritmo de la seguridad está evolucionando. Uno tiene que estar constantemente paranoico o delegar ese proceso de toma de decisiones a otra persona”.

El exploit se originó en un grave error de firmware que permitió corromper el procedimiento de generación de wallets en los dispositivos Coldcard. Esta falla eliminó el factor de aleatoriedad necesario para crear wallets seguras, lo que permitió a los atacantes calcular las claves privadas y vaciar esas wallets de su Bitcoin. Más de 7,000 direcciones fueron afectadas, según la firma de investigación K33.

El patrón es generalizado en la industria: en promedio, casi tres cuartas partes del dinero robado en exploits cripto en el primer semestre de 2026 se ha relacionado con filtraciones de claves privadas.