BTCPay Server, el software gratuito y de código abierto que las empresas usan para aceptar pagos en Bitcoin, instó el domingo a los operadores a apagar sus instancias tras reportes de que atacantes estaban vaciando hot wallets conectadas a servidores que ejecutan la plataforma.

El proyecto indicó luego que el ataque apuntaba a instancias que ejecutaban la versión 2.4.1 o anterior, y que no había recibido reportes confiables de hot wallets vaciadas entre usuarios de la última versión, la 2.4.7.

La advertencia fue publicada en X a las 5:25 p.m. ET del 1 de noviembre:

🚨 We are receiving reports of hot wallets on BTCPay Servers being swept by unauthorized attackers.

If you're running an instance, please shut it down (./btcpay-down.sh) until we complete the investigation.

— BTCPay Server (@BtcpayServer) November 1, 2026

El comando citado en la alerta, ./btcpay-down.sh, apaga una instancia de BTCPay en funcionamiento. Alrededor de dos horas después, el fundador de BTCPay, Nicolas Dorier, dijo que los reportes parecían involucrar versiones anteriores a la 2.4.2, y que el atacante había iniciado sesión en los servidores afectados con acceso de administrador.

Más tarde, el domingo, el proyecto dijo en una publicación posterior en X que su investigación había identificado un vector de ataque dirigido a instancias que ejecutaban la versión 2.4.1, publicada el 23 de julio, o anterior. "We have no credible reports of hot wallet drains for users running the latest 2.4.7 release", indicó, exhortando a todos a mantener su software actualizado y pidiendo a los usuarios afectados que enviaran detalles y registros a su equipo de seguridad.

Algunos proveedores de hosting, incluido LunaNode, han apagado automáticamente instancias de BTCPay para impedir que las versiones antiguas fueran explotadas, según el proyecto. BTCPay no ha revelado cuántos servidores fueron afectados ni cuánto Bitcoin fue sustraído. La escala completa del incidente sigue sin estar clara. La alerta inicial del proyecto vinculó la recomendación de apagado a la conclusión de su investigación, por lo que los operadores afectados esperaban el resultado de la revisión antes de volver a poner en línea sus instancias.

Hot wallets y la actualización de emergencia de BTCPay

Como BTCPay es autoalojado, cada comerciante ejecuta el software en su propio servidor, y no existe un operador central con la capacidad de apagar instancias en toda la red. Esa configuración distribuida también deja la aplicación de parches en manos de cada operador, ya que las actualizaciones llegan a la red solo cuando cada dueño de servidor las aplica. Los comerciantes pueden optar por ejecutar una hot wallet, que almacena la semilla de la wallet en el servidor conectado a internet para que pueda firmar transacciones automáticamente. Sweeping —la maniobra descrita en la alerta del proyecto— transfiere el saldo total de una wallet a una dirección controlada por el atacante. Las cold wallets, en cambio, mantienen las claves de firma fuera de línea y no pueden firmar transacciones automáticamente. La propia documentación de BTCPay etiqueta la función de hot wallet como "DANGER" y advierte que "comes with security implications".

Los ataques se producen días después de que BTCPay publicara el jueves la versión 2.4.7 como actualización de emergencia que corregía una vulnerabilidad crítica y varias de severidad media, que según el proyecto le fueron señaladas a través del escáner de software de código abierto de frontera de Anthropic. El proyecto no ha dicho si los atacantes explotaron alguna de esas fallas.

No es el primer susto de seguridad del proyecto este año. En agosto, BTCPay advirtió que una vulnerabilidad crítica en todas las versiones anteriores a la 2.4.2 estaba siendo explotada activamente, y pidió a los usuarios actualizar o apagar sus servidores. Posteriormente, los seguidores del proyecto financiaron una recompensa de recuperación que prometía el 10% de los fondos robados que fueran devueltos a las víctimas, con un pago máximo de 3 BTC.