Hackeo de BTCPay Server: vacían hot wallets de bitcoin y piden apagar los servidores

Si gestionas un servidor de pagos en $Bitcoin, lee solo esta frase hasta el final y después apágalo. BTCPay Server, el servicio de pagos en bitcoin autoalojado más utilizado, confirma que hay atacantes vaciando hot wallets en instalaciones antiguas. Todos los operadores deben desconectar su instancia hasta que concluya la investigación.

¿Qué ha pasado con el hackeo de BTCPay Server?

A última hora del sábado 1 de noviembre, el equipo de BTCPay emitió una alerta de emergencia: estaban llegando avisos de que terceros no autorizados vaciaban hot wallets conectadas a instancias de BTCPay. La instrucción era clara: apagar el servidor con el script ./btcpay-down.sh y esperar.

El domingo, el equipo de respuesta a incidentes ya había acotado el vector de ataque. Según el proyecto, están afectadas las instalaciones con la versión 2.4.1, del 23 de julio de 2026, o anteriores. Para la versión actual 2.4.7 no hay informes creíbles de carteras vaciadas.

El cofundador Nicolas Dorier añadió un detalle inquietante: el atacante inició sesión en las instancias afectadas con permisos de administrador. Sigue sin saberse cómo obtuvo ese acceso. Los servidores públicos del propio proyecto funcionan con la 2.4.7 y no sufrieron daños.

¿Cuántos bitcoins se robaron en el hackeo de BTCPay?

Por ahora nadie lo sabe, y BTCPay Server no ha dado ninguna cifra. Se desconoce tanto el número de servidores comprometidos como el de operadores con pérdidas. Se pide a los afectados que envíen los detalles del incidente y los registros del servidor al equipo de seguridad, para que el alcance pueda cuantificarse siquiera.

Los proveedores de alojamiento reaccionaron rápido. LunaNode y otros apagaron automáticamente las instancias antiguas. Si tu panel de BTCPay se quedó a oscuras de repente durante el fin de semana, probablemente se deba a eso.

¿Es la misma vulnerabilidad de BTCPay que en agosto?

No exactamente, pero el patrón resulta conocido. En agosto, BTCPay Server alertó de una vulnerabilidad explotada activamente, a través de la cual los atacantes obtenían accesos de administrador de LND y llegaban a las carteras Lightning conectadas. El fallo se corrigió con la 2.4.2, y el proyecto ofreció una recompensa del 10 % de los fondos recuperados, con un máximo de 3 BTC.

La vulnerabilidad de agosto no afectaba expresamente a las hot wallets on-chain. Esta sí. Y llega seis semanas después de que Core Lightning advirtiera de que hay atacantes buscando de forma selectiva nodos Lightning antiguos y sin parchear. Tres incidentes en tres meses, un solo mensaje: la infraestructura de pagos en bitcoin que no se actualiza está bajo ataque activo.

¿Qué deben hacer ahora los operadores de BTCPay Server?

• Apagar la instancia hasta que BTCPay Server dé el aviso por superado, aunque tengas una versión actual. Según el proyecto, la 2.4.7 no está afectada, pero no se ha aclarado el origen del acceso de administrador.
• Revisar los saldos de la hot wallet y trasladar todo lo que quede a almacenamiento en frío. BTCPay recomienda desde siempre mantener en la hot wallet solo el capital operativo necesario.
• Guardar los registros. Si ves transacciones inexplicables, no restablezcas el servidor. Envía los registros al equipo de seguridad de BTCPay.
• Actualizar antes de reiniciar. Vuelve a arrancar la instancia solo con la 2.4.7 o una versión parcheada posterior.
• Renovar las credenciales de cada cuenta de administrador del servidor y de cada servicio que use la misma contraseña.