Fallo de seguridad en Alby Hub: así compruebas si tu nodo Lightning de Bitcoin es accesible desde Internet

Si gestionas tu propio nodo en la red Lightning con el software Alby Hub, tienes una tarea concreta desde el 9 de septiembre de 2026: mirar el número de versión. Si ahí figura una versión entre la v1.7.0 y la v1.18.5, y la interfaz de administración es accesible desde Internet abierto, un atacante puede obtener acceso no autorizado y vaciar los fondos, según expone el proveedor. La respuesta a la pregunta central queda así desde el principio: comprobar la versión, cerrar el acceso desde la red, actualizar a la v1.24.0 y después cambiar la contraseña de desbloqueo.

Todo lo demás en este texto responde a las preguntas que vienen a continuación. A quién afecta realmente el fallo, cómo reconoces que tu instalación nunca fue vulnerable y por qué la corrección es más antigua que el aviso que ahora recorre la prensa especializada.

Qué es Alby Hub y quién utiliza en realidad este software

Alby Hub es un software con el que tú mismo gestionas un nodo en la red Lightning. La red Lightning es una capa de pago que se apoya en Bitcoin y transfiere importes pequeños casi al instante y con comisiones muy bajas: dos participantes abren un canal de pago y solo su apertura y su cierre quedan registrados en la blockchain. Un nodo, en esa imagen, es el equipo que mantiene abiertos esos canales y reenvía los pagos.

La diferencia con una aplicación de cartera corriente resulta decisiva en este caso. Una aplicación en el móvil se conecta a un servicio ajeno y no tiene dirección propia en la red. Alby Hub, en cambio, es un programa que funciona de forma permanente, en un equipo pequeño en casa, en un servidor alquilado o como aplicación en el ordenador de escritorio. Y un programa que funciona de forma permanente tiene una interfaz desde la que se administra.

Precisamente esa interfaz está en el centro del aviso del 9 de septiembre. Los afectados son, por tanto, quienes procesan ellos mismos sus pagos en bitcoin en lugar de encargárselos a otro. De la variante alojada por Alby, ninguno de los avisos informa de un caso.

Qué versiones de Alby Hub están afectadas: de la v1.7.0 a la v1.18.5

El proveedor ha calificado el fallo de crítico y ha delimitado con claridad el rango afectado: son las versiones v1.7.0 hasta la v1.18.5 incluida, todas ellas publicaciones anteriores a agosto de 2025. A partir de la serie 1.19 el fallo está corregido. Según los avisos publicados hasta ahora, hay un único usuario confirmado como afectado.

En los avisos del 9 de septiembre no aparece ningún número CVE, es decir, el identificador internacional unificado de una vulnerabilidad. El proveedor ha anunciado que aportará los detalles técnicos más adelante, como es habitual en una divulgación responsable: primero deben haber actualizado tantos operadores como sea posible, y solo después se describe cómo funciona el ataque con exactitud. Para ti eso significa que de momento no puedes rehacer por tu cuenta la valoración del proveedor. La recomendación de actuación, en cambio, no depende de ello.

Un punto que suele perderse con el revuelo: el rango de versiones no decide por sí solo. Una versión antigua en un equipo accesible únicamente dentro de la propia red doméstica nunca fue vulnerable, según la descripción del proveedor. El número de versión es una mitad de la comprobación; la accesibilidad, la otra.

Por qué solo es vulnerable una API de administración accesible públicamente

La API de administración es la interfaz desde la que se gestiona Alby Hub: abrir canales, lanzar pagos, conceder accesos a aplicaciones. Una interfaz de programación de este tipo es, en esencia, una dirección que acepta órdenes. Si está detrás de la puerta de tu propia red, solo llega hasta ella quien ya está dentro de esa red. Si está abierta en Internet, llega cualquiera que conozca o encuentre la dirección.

Según expone el proveedor, el fallo solo resulta explotable en esa segunda situación. Quien haya hecho accesible su nodo desde fuera de forma consciente, por ejemplo para manejarlo desde el móvil cuando viaja, pertenece al grupo en riesgo. Quien solo lo maneja en la red doméstica, no.

Esa distinción es la razón de que la primera medida recomendada no sea la actualización, sino el cierre. Una actualización necesita unos minutos y, en su caso, un reinicio. Retirar el acceso desde Internet cuesta un gesto en el router y surte efecto de inmediato.

Comprobar la versión de Alby Hub: dónde está el número y qué te dice

La interfaz de Alby Hub incluye una página de información en la que, junto a la versión, figura también el backend de nodo utilizado; las notas de publicación de la v1.24.0 remiten justamente a esa página. Allí lees la cadena de caracteres y la comparas con el rango de arriba. Todo lo que esté por debajo de 1.19 debe actualizarse, con independencia de que tu nodo haya sido accesible desde fuera alguna vez.

Si no tienes acceso a la interfaz, queda el camino de la propia instalación: el nombre del archivo del paquete descargado lleva la versión y, en una instalación mediante contenedor, figura en la imagen utilizada. Si ninguno de estos caminos da un resultado inequívoco, trata la instalación como afectada y actualiza.

La comprobación en el orden correcto

Primero la accesibilidad, después la versión, luego la actualización. Ese orden no es un formalismo. Quien actualiza primero deja el acceso abierto durante la descarga y el reinicio. Quien cierra primero le quita al fallo su condición previa y puede hacer el resto con calma.

La corrección es unos doce meses más antigua que el aviso

Aquí el caso se vuelve más interesante que una petición de actualización al uso. Para este artículo, cryptoticker.io consultó el 11 de septiembre de 2026 el listado de publicaciones del proyecto y analizó las 40 entradas más recientes. El resultado ordena la línea temporal.

La última versión afectada, la v1.18.5, se publicó el 31 de julio de 2025. La primera entrada de la serie 1.19 en ese listado es la v1.19.1, del 29 de agosto de 2025; el mismo día llegó la v1.19.2 y un día después la v1.19.3. La versión actual, la v1.24.0, es del 14 de agosto de 2026. Entre la primera publicación corregida y el aviso público del 9 de septiembre de 2026 median, por tanto, unos doce meses.

Una observación del mismo análisis viene al caso, porque puede generar confusión durante la comprobación: en ese listado no figura ninguna publicación independiente con el número v1.19.0, aunque la cobertura la cita como primera versión corregida. Así que, si buscas la v1.19.0 en la lista y no la encuentras, no has buscado mal. Lo que cuenta para ti es de todos modos la versión actual y no la primera corregida.

Este análisis lo elaboró cryptoticker.io el 11 de septiembre de 2026. Método: consulta del listado de publicaciones del proyecto a través de la interfaz de programación de GitHub y análisis de las 40 entradas más recientes por número y fecha de publicación. No se pudo comprobar qué cambio de código corrigió exactamente el fallo, porque los detalles técnicos todavía no se han publicado. Tampoco cabe determinar desde fuera cuántos operadores siguen hoy con una versión antigua en marcha.

Las notas de publicación de la v1.24.0 recogen además una serie de refuerzos que apuntan todos en la misma dirección: para llamadas sensibles, como el acceso a las palabras de recuperación y al registro, se exige una clave con acceso completo; el límite de intentos fallidos de desbloqueo pasó de la dirección individual a la instalación entera; se eliminó la aceptación tácita de una contraseña de desbloqueo vacía heredada de versiones antiguas; y se añadió una política de seguridad a la documentación. El proveedor no dice si alguno de estos cambios guarda relación con el fallo comunicado ahora.

Actualizar a la v1.24.0: estos pasos en este orden

El proveedor recomienda elevar la instalación a la v1.24.0. Los caminos varían según el modo de funcionamiento, pero el patrón se mantiene.

1. Terminar con la accesibilidad desde Internet antes de hacer cualquier otra cosa.
2. Comprobar que existe una copia de seguridad de las palabras de recuperación y de los datos de los canales. Un nodo con canales de pago abiertos no es un programa que se reinstale a capricho.
3. Aplicar la actualización y reiniciar la instalación.
4. Mirar en la página de información si el número nuevo figura realmente.
5. Cambiar la contraseña de desbloqueo si el nodo alguna vez estuvo accesible de forma abierta.

Una advertencia que procede del manejo de nodos Lightning en general y no de este aviso: quien restaura un nodo con canales abiertos a partir de una copia de seguridad antigua se arriesga a publicar un estado de canal caducado. Eso puede costar fondos. Lee por eso las indicaciones del proveedor sobre copias de seguridad antes de la actualización, en lugar de trabajar de memoria.

Redirección de puertos, proxy inverso, túnel: de dónde surge realmente la accesibilidad

Casi nadie hace público su nodo por descuido. Ocurre en tres puntos típicos, y los tres son decisiones conscientes que después caen en el olvido.

El primero es la redirección de puertos en el router. Reenvía peticiones desde Internet a un dispositivo de la red doméstica y se mantiene hasta que alguien la elimina. El segundo es un servidor web antepuesto que publica la interfaz bajo una dirección propia, a menudo instalado para que la conexión vaya cifrada. El tercero es un servicio de túnel que establece una conexión de fuera hacia dentro sin que haya que tocar nada en el router. Justamente ese tercer camino es cómodo y no deja en el router ninguna huella que te lo recuerde más tarde.

Quien necesite de verdad el acceso desde fuera hará mejor en meterlo en una red privada a la que se conecte el móvil, en lugar de dejar la interfaz de administración abierta en la red. Y quien mantiene importes de cierta entidad separa de todos modos, con buen criterio, la cantidad disponible para los pagos del día a día del resto, que se queda en un dispositivo sin conexión de red. Qué aparatos entran en juego y qué los diferencia está en la comparativa de carteras de hardware.

Cambiar la contraseña de desbloqueo: por qué la actualización sola no basta

La contraseña de desbloqueo protege la instalación en funcionamiento: sin ella, el software no libera sus claves. El proveedor recomienda expresamente cambiarla después de la actualización si la instalación estuvo antes accesible de forma abierta, y dirigirse a su dirección de seguridad ante cualquier sospecha de incidente.

La idea de fondo es sencilla. Una actualización cierra la puerta. Pero no deshace que alguien haya podido pasar antes por esa puerta y llevarse una llave. Quien solo sube la versión y deja la contraseña como estaba corrige la causa y deja en pie la posible consecuencia.

Lo mismo vale para los accesos que hayas concedido a aplicaciones concretas. Repasa una vez la lista de esas conexiones después de la actualización y elimina lo que ya no uses o no sepas identificar.

Qué ocurre si no haces nada

Conviene separar dos cosas. Los fondos en canales de pago están ligados a claves que se encuentran en tu dispositivo; no desaparecen porque aparezca un aviso, ni dependen de un plazo. En este caso no hay plazo, a diferencia de lo que ocurre con un delisting en un exchange.

El riesgo es otro: mientras una versión afectada siga abierta en la red, sigue abierto el camino que describe el proveedor. Y hay que contar con que los detalles técnicos acaben publicándose. Desde ese momento, el fallo resulta reproducible para cualquiera que quiera buscarlo. Quien para entonces haya actualizado queda fuera.

Gestionarlo tú o dejarlo en custodia: qué dice este caso sobre el autoalojamiento

Sería una conclusión equivocada deducir de este aviso que gestionarlo uno mismo es un error. Un nodo que gestionas tú te hace independiente de los horarios, los bloqueos y los plazos de retirada de un proveedor. El precio es la obligación de mantener el software al día, y justamente esa obligación es la que aquí se ha hecho visible.

Lo que el caso muestra es algo más modesto: la superficie de ataque no surge de la custodia de las claves, sino de poder manejarlo a distancia. Quien añade comodidad añade superficie de ataque. Esa cuenta no se configura para que desaparezca; solo se asume a conciencia.

Para la mayoría de los lectores se deriva de ahí un reparto sobrio. El importe con el que pagas a diario va en una cartera de software o en un nodo cómodamente accesible. El resto va en un dispositivo que no está conectado a la red y no deja nada manejable.

Ledger, BitBox02 y Core Lightning: el cuarto incidente de carteras en cuatro semanas

El caso no va solo. El 21 de agosto de 2026, BitBox cerró tres fallos de seguridad con el firmware 9.26.5; el 25 de agosto, Ledger corrigió un fallo en la aplicación de Ethereum por el que la pantalla podía mostrar algo distinto de lo que realmente se firmaba; y a finales de agosto se conoció una vulnerabilidad en Core Lightning que obligó a actuar a los operadores de nodos. Ahora se suma Alby Hub.

La acumulación no sirve como prueba de que la autocustodia se haya vuelto menos segura. Más bien indica que en este terreno ya se busca y se divulga de forma sistemática. Para ti como operador se deriva de ahí una costumbre poco espectacular: mirar una vez al mes si existe una versión nueva para cada dispositivo y cada software que guarde claves. Cuesta diez minutos y resuelve la mayor parte de estos avisos antes de que te lleguen.

Quien quiera pruebas de primera mano: el aviso del 9 de septiembre está documentado, entre otros sitios, en The Hacker News, y la versión actual junto con sus notas de publicación figura en la página del proyecto dedicada a la v1.24.0.

Cerrar el fallo de Alby Hub: lo que te llevas

1. Hoy, comprobar la accesibilidad y después la versión. Si la interfaz de administración es accesible desde Internet y corre una versión inferior a 1.19, sácala de la red de inmediato. Quien prefiera guardar su importe del día a día en una aplicación ligera en lugar de en un nodo propio encontrará los candidatos en la comparativa de carteras de software.
2. Actualizar a la v1.24.0 y cambiar la contraseña de desbloqueo. Primero copia de seguridad, luego actualizar, después releer el número de versión. Y separa el importe que mueves a diario del que se queda quieto; los dispositivos para ello están en la comparativa de carteras de hardware.
3. Fijar una cita mensual para las actualizaciones. Cuatro incidentes en cuatro semanas no son una anomalía, sino el estado normal de un sector en el que se busca de forma activa. Diez minutos al mes para todos los dispositivos y programas que guarden claves, y un vistazo a la comparativa de carteras de software si quieres sustituir una aplicación.

(11 de septiembre de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)