BTCPay Server: atacantes vacían los monederos calientes de comercios con servidores desactualizados
BTCPay Server, un software libre y gratuito con el que tiendas y comercios aceptan bitcoin sin un proveedor de pagos de por medio, ha advertido a sus usuarios de varios robos. Los atacantes vaciaron los llamados monederos calientes de servidores autoalojados con versiones desactualizadas. Según el proyecto, la versión actual 2.4.7 no está afectada.
Qué ha pasado
El proyecto recibió avisos de monederos calientes vaciados, es decir, monederos cuyas claves privadas están guardadas directamente en el servidor de pagos. Se robaron bitcoins y litecoins. BTCPay recomendó primero a todos los operadores apagar sus servidores mientras investigaba. Después anunció que había identificado un vector de ataque dirigido a instancias con la versión 2.4.1 (publicada el 23 de julio de 2026) o anterior. Al parecer, los atacantes obtuvieron derechos de administrador aprovechando vulnerabilidades corregidas en versiones posteriores.
Ya el 29 de octubre, el proyecto había revelado una vulnerabilidad crítica y publicado la versión 2.4.7 como actualización de emergencia. Para esta versión no hay hasta ahora avisos creíbles de monederos vaciados. No se ha revelado cuántos comercios están afectados ni cuánto se ha robado. Tampoco está claro si los robos tienen relación con un ataque en agosto, tras el cual BTCPay restringió el acceso remoto a los nodos Lightning.
A quién afecta
Los robos afectan a comercios y operadores que tienen su propio BTCPay Server, usan en él un monedero caliente y no habían actualizado el software. En las configuraciones en las que el servidor solo conoce la clave pública de un monedero externo, por ejemplo un monedero de hardware, no hay en el servidor claves privadas con las que se pueda gastar dinero.
Qué deben hacer ahora los comercios
- Actualizar de inmediato: instala la versión 2.4.7 en Configuración del servidor → Mantenimiento → Actualizar. En instalaciones con Docker, el script de actualización del directorio btcpayserver-docker hace lo mismo.
- Desconectar los servidores desactualizados: si usas la versión 2.4.1 o anterior y no puedes actualizar enseguida, apaga el servidor.
- Revisar la configuración: comprueba que no existan cuentas de administrador desconocidas y que no se haya cambiado el monedero de recepción.
- Dejar poco o nada en el monedero caliente: si es posible, conecta un monedero de hardware como monedero de solo lectura, para que los pagos lleguen directamente a un monedero cuyas claves no están en el servidor.
- Denunciar las pérdidas: se pide a los afectados que contacten con el equipo de seguridad de BTCPay y presenten denuncia ante la policía.
Por qué importa
BTCPay Server es un pilar de los pagos cotidianos con bitcoin: permite a las tiendas aceptar bitcoin sin pagar comisiones a terceros y sin ceder el control. Pero alojarlo uno mismo también implica responsabilizarse de las actualizaciones. Como en el reciente fallo de Electrum, el punto débil fue un software desactualizado, no Bitcoin en sí. Los comercios que mantienen su servidor al día y no guardan las claves en él están del lado seguro.
Fuentes
