El procesador de pagos Bitcoin BTCPay afectado por informes de robo de billeteras calientes

Advertencia de Cierre de Emergencia de BTCPay Server

BTCPay Server emitió una advertencia de cierre de emergencia el 1 de noviembre de 2026, tras recibir informes de que atacantes estaban drenando bitcoins de billeteras calientes conectadas a servidores de pago autoalojados. El fundador, Nicolas Dorier, vinculó los compromisos reportados a versiones anteriores a la 2.4.2, mientras que indicó que los servidores públicos que ejecutan la versión 2.4.7 no habían sido atacados. La advertencia llegó apenas tres días después de que una revisión de seguridad asistida por inteligencia artificial abordara 85 vulnerabilidades, lo que plantea interrogantes sobre los riesgos que enfrentan los operadores que retrasan las actualizaciones de software.

Aviso Urgente y Recomendaciones

Aproximadamente a las 22:25 UTC del 1 de noviembre, la cuenta oficial de BTCPay Server publicó un aviso urgente:

“Estamos recibiendo informes de billeteras calientes en los servidores BTCPay siendo barridas por atacantes no autorizados.”

Se instruyó a los operadores a cerrar sus instancias utilizando el comando ./btcpay-down.sh hasta que los investigadores pudieran establecer lo que había sucedido. El contribuyente principal, Uncle Rockstar Developer, reforzó la advertencia, declarando:

“No es un simulacro: cierra tu servidor BTCPay si tienes una billetera caliente.”

Detalles sobre el Software y Vulnerabilidades

BTCPay Server es un software de código abierto que permite a los comerciantes aceptar pagos en bitcoin (BTC) sin depender de un intermediario de pago convencional. Los operadores pueden alojar el software ellos mismos y gestionar su propia infraestructura de billetera. Esta independencia conlleva responsabilidad. En el momento de la publicación, los desarrolladores no habían revelado ni el total de bitcoins robados ni el número de comerciantes afectados. La alerta inicial tampoco proporcionó un relato confirmado de cómo los atacantes ingresaron por primera vez a los sistemas comprometidos.

El fundador de BTCPay Server, Nicolas Dorier, ofreció posteriormente una explicación más específica. Sus hallazgos preliminares indicaron que las implementaciones afectadas estaban ejecutando software anterior a la versión 2.4.2. Los atacantes supuestamente obtuvieron acceso de administrador, con rastros forenses apuntando a vulnerabilidades presentes en esas versiones más antiguas. Dorier también indicó que los servidores públicos y de demostración que ejecutan la versión 2.4.7 no habían sido atacados. Esta distinción enfría la posibilidad de que la última versión de emergencia en sí misma introdujera el compromiso reportado. Sin embargo, no establece que cada instalación actual sea inmune, y los investigadores aún no han publicado un informe técnico completo.

Vulnerabilidades Anteriores y Nuevas Amenazas

El proyecto abordó previamente una vulnerabilidad separada en agosto que permitía a atacantes no autenticados obtener credenciales de macaroon del Lightning Network Daemon (LND), que funcionan como tokens de autorización. Ese defecto fue corregido en la versión 2.4.2. Los desarrolladores habían afirmado anteriormente que las propias billeteras on-chain de BTCPay no estaban expuestas a través de esa vulnerabilidad específica. No se ha establecido de manera concluyente si los últimos robos involucraron la misma debilidad, otro defecto más antiguo o múltiples vulnerabilidades.

Impacto y Reflexiones Finales

El momento añade otro giro. El 29 de octubre, BTCPay Server lanzó la versión 2.4.7 después de recibir informes de vulnerabilidades generados a través de la iniciativa de escaneo de seguridad de código abierto de Anthropic. La versión abordó 85 hallazgos, incluyendo uno crítico, 13 de alta severidad, 52 de severidad media y 19 de baja severidad. Las divulgaciones se produjeron en medio de una expansión más amplia de la investigación de vulnerabilidades asistida por inteligencia artificial en 2026, ya que los sistemas desarrollados por gigantes de IA como Anthropic, OpenAI y Google demostraron capacidades cada vez más sofisticadas para identificar debilidades en el software. La iniciativa de escaneo de Anthropic, por sí sola, reportó más de 29,000 vulnerabilidades candidatas en seis meses, aunque solo una parte fue revisada manualmente.

El incidente de BTCPay ilustra una distinción crítica entre descubrir vulnerabilidades y proteger el software desplegado. Publicar correcciones no actualiza automáticamente los servidores operados de forma independiente. Negocios, incluyendo Coincards, tomaron las instalaciones de BTCPay fuera de línea tras la advertencia. Para los comerciantes, la interrupción crea un compromiso inmediato entre la disponibilidad de pagos y la protección de fondos accesibles a través de billeteras conectadas. Dorier reiteró la importancia de limitar los saldos de billeteras calientes a cantidades que los operadores pueden permitirse perder. No se había anunciado ninguna estimación definitiva de pérdidas, un nuevo parche específico para el incidente o un aviso claro en las actualizaciones proporcionadas. Los desarrolladores estaban preparando una explicación más completa.

La inquietante pregunta se extiende más allá de BTCPay: a medida que los sistemas de IA aceleran el descubrimiento de vulnerabilidades, ¿puede la infraestructura de pago operada de forma independiente mantenerse al día con las correcciones? El procesador de pagos cripto autoalojado alertó sobre una vulnerabilidad crítica que estaba siendo explotada activamente por actores de amenazas y recomendó…