Wallet Lightning: cinco alertas de seguridad desde agosto y cómo proteger tu nodo

Una wallet Lightning es tan segura como el servidor en el que están sus claves. Si guardas bitcoin en Lightning solo en una app móvil popular, las alertas de seguridad de los últimos tres meses no te afectaron directamente. En cambio, si gestionas tu propio nodo Lightning, un BTCPay Server, Alby Hub o LNbits, has recibido cinco alertas desde principios de agosto, y en al menos dos casos se sustrajo dinero de verdad. La lección de las cinco es la misma: una actualización cierra el agujero, pero solo unas credenciales nuevas y un saldo pequeño en el servidor vuelven a hacer seguro Lightning.

Lightning es para bitcoin lo que una tarjeta de débito para una libreta de ahorro: una vía de pago rápida para importes pequeños. Precisamente por eso, las claves están en equipos conectados permanentemente a internet. Este texto reúne los casos, explica el patrón común y muestra cuánto saldo conviene tener realmente en un nodo Lightning. Cómo funciona técnicamente la red lo explica nuestro texto de introducción a la Lightning Network de bitcoin.

Fallos de seguridad en Lightning desde agosto: cinco alertas en tres meses

La serie arranca el 7 de agosto de 2026. BTCPay Server, un software libre muy extendido con el que los comercios aceptan pagos en bitcoin por su cuenta, publicó la versión 2.4.2 como actualización de emergencia. Según el aviso de seguridad del proyecto, un atacante podía hacerse sin iniciar sesión con los archivos de permisos de un nodo LND conectado. El proyecto confirma que los atacantes explotaron el fallo y robaron fondos.

El 28 de agosto le siguió Core Lightning, una de las tres grandes implementaciones del protocolo Lightning, con la versión 26.06.7. La actualización corrigió varias vulnerabilidades confirmadas. Quien no pudiera actualizar de inmediato debía reiniciar el nodo con la opción --offline. En ese momento no se habían comunicado pérdidas. Para los usuarios de Docker hubo una secuela: hasta el 1 de septiembre, cuatro imágenes distribuían una versión que se identificaba como 26.06.7 pero no incluía las correcciones. Los detalles están en nuestro artículo sobre el fallo de seguridad de Core Lightning.

El 8 de septiembre, BTCPay Server comunicó un nuevo riesgo. Programas automatizados rastreaban de forma selectiva servidores en los que los operadores habían vuelto a abrir a mano el acceso a la interfaz LND cerrado en agosto. Un día después alertó Alby Hub, un software para gestionar el propio nodo Lightning en casa o en un servidor alquilado: las versiones v1.7.0 a v1.18.5 eran vulnerables si la interfaz de administración era accesible desde internet. Hubo un usuario afectado confirmado.

El caso más reciente afecta a LNbits. El 8 de noviembre, el proyecto descubrió un fallo a través del cual los atacantes sustrajeron fondos de instancias autoalojadas. El 10 de noviembre salió la versión 1.7.0, junto con la indicación de no volver a arrancar ningún servidor con una versión anterior. Qué ocurrió exactamente lo describe nuestro artículo sobre el fallo de seguridad de LNbits.

Los cinco casos de un vistazo

• 7 de agosto, BTCPay Server 2.4.2: archivos de permisos de nodos LND accesibles, robos confirmados.
• 28 de agosto, Core Lightning 26.06.7: varias vulnerabilidades, sin pérdidas comunicadas, imágenes de Docker defectuosas hasta el 1 de septiembre.
• 8 de septiembre, BTCPay Server 2.4.4: bots buscan accesos LND reabiertos, sin toma de control comunicada.
• 9 de septiembre, Alby Hub: interfaz de administración accesible públicamente y vulnerable, un caso confirmado.
• 8 a 10 de noviembre, LNbits 1.7.0: robos en wallets Lightning, daño total desconocido.

Wallet Lightning y hot wallet: dónde están las claves

Una wallet Lightning es una wallet que envía y recibe bitcoin a través de la red Lightning en lugar de registrar cada pago por separado en la blockchain. Para ello, un nodo abre canales de pago con otros nodos. Un canal de pago es un importe que dos partes bloquean conjuntamente en una transacción de bitcoin y con el que después pueden pagarse mutuamente tantas veces como quieran.

Para que el nodo pueda reenviar pagos en segundos, tiene que poder firmar en cualquier momento. Por eso sus claves están en un equipo con conexión a internet. Eso es exactamente una hot wallet: una wallet cuyas claves están disponibles en línea. Su contrapartida es la cold wallet, cuyas claves están en un dispositivo sin conexión permanente, como una hardware wallet.

De ahí se deriva la diferencia más importante con la custodia a largo plazo. Nadie puede mover por internet una reserva de bitcoin guardada en una hardware wallet mientras la semilla esté a salvo. Un nodo Lightning, en cambio, puede mover todo lo que hay en sus canales y en su wallet on-chain en cuanto un atacante tiene las credenciales adecuadas. LNbits lo dice expresamente en su aviso: el software es una hot wallet y, con los ataques asistidos por IA, el riesgo es mayor que nunca.

Wallet Lightning custodiada o nodo propio: a quién afectaron los fallos

Lightning existe en dos modalidades. En una wallet Lightning custodiada, un proveedor gestiona el nodo y tú solo ves un saldo en la app. En una wallet autocustodiada, gestionas el nodo tú mismo o dejas que una app ejecute un pequeño nodo en el móvil. Las cinco alertas afectaban a software que los operadores instalan por su cuenta: en un servidor doméstico, en un paquete listo para usar como Umbrel o Start9 o en un equipo alquilado.

Entre ambos hay un tercer grupo que se pasa por alto con facilidad. Si te dieron una Bolt Card en un encuentro de bitcoin, pagaste en una cafetería a través de una caja Lightning o te regalaron una wallet mediante un enlace, a menudo usas una cuenta en el servidor LNbits de otra persona. Estos usuarios no pueden instalar ninguna actualización y dependen de que el operador haya reaccionado.

Para los tres grupos sale una clasificación sencilla:

• Solo wallet en app o exchange: no afectado directamente. Aun así, actualizar la app nunca está de más.
• Cuenta en un servidor LNbits ajeno: pregunta al operador si funciona la versión 1.7.0 y si se han emitido claves nuevas. Hasta entonces, solo importes pequeños.
• Nodo propio, BTCPay Server, Alby Hub o LNbits: comprueba la versión, cierra los accesos y cambia las credenciales.

Accesos de administración abiertos: el patrón común detrás de BTCPay, Alby Hub y LNbits

Los cinco casos tienen causas técnicas distintas, pero las tres alertas de BTCPay y Alby Hub siguen el mismo patrón. Una interfaz pensada solo para el operador era accesible desde internet o podía usarse sin iniciar sesión. En BTCPay fueron en agosto los archivos de permisos del nodo LND y en septiembre un punto de acceso para cambiar contraseñas que algunos operadores habían vuelto a abrir hacia fuera por su cuenta. En Alby Hub fue la interfaz de administración. En LNbits, la vía de ataque aún no se ha revelado; seguirá un informe propio. Se sabe que, según Cointelegraph, los atacantes crearon cuentas nuevas y a través de ellas sustrajeron unos 2,3 millones de satoshis de una sola instancia, es decir, 0,023 bitcoins.

Un satoshi es la cienmillonésima parte de un bitcoin. El daño individual conocido es, por tanto, pequeño. El daño que habría sido posible no lo es: quien tiene las credenciales de un nodo puede mover, dentro de los límites de los canales, todo el saldo saliente, no solo el de una subcuenta.

En la práctica, esto significa que la medida de protección más eficaz no cuesta nada. Una interfaz de administración accesible solo desde la red doméstica o mediante un túnel cifrado como Tor o WireGuard no era vulnerable en ninguno de los casos de Alby Hub ni en el de BTCPay de septiembre. Cómo se hace en Alby Hub lo muestra nuestro artículo sobre el fallo de seguridad de Alby Hub, y para BTCPay Server la guía para asegurar el acceso Lightning.

Macaroons, claves API y claves de wallet: por qué no basta con actualizar

Una actualización cierra la vía por la que entró el atacante. Lo que se llevó antes sigue siendo válido. BTCPay Server y LNbits insisten por igual en este punto. LNbits escribe en su aviso sobre la versión 1.7.0 que las credenciales filtradas antes de la actualización pueden seguir dando acceso a un atacante después.

En LND, estas credenciales se llaman macaroons. Un macaroon es un archivo de claves con permisos escalonados. El macaroon de administrador es la llave maestra: con él se pueden lanzar pagos y cerrar canales. LNbits trabaja además con claves de wallet propias para cada subcuenta y con las credenciales de la fuente de fondos, es decir, del nodo o servicio de pago a través del cual la instancia mueve su saldo.

Por eso, el trabajo posterior a un incidente sigue siempre el mismo orden. Primero va la actualización, después se revocan y regeneran todas las claves y solo entonces el servidor vuelve a aceptar pagos. LNbits cita seis extensiones cuyas conexiones los operadores deben borrar y volver a crear: NWC Provider, LNDHub, Bolt Cards, TPOS, Bleskomat y FOSSA. Detrás de NWC está Nostr Wallet Connect, un procedimiento que permite a las apps ordenar pagos a distancia desde una wallet. Una conexión NWC olvidada puede seguir siendo una puerta abierta aunque el servidor esté actualizado desde hace tiempo.

Ante la sospecha de una intrusión, ambos proyectos recomiendan un sistema nuevo. LNbits aconseja instalar el software en un servidor nuevo y guardar antes los archivos de registro del antiguo. BTCPay Server recomienda revisar los pagos salientes, los cierres de canal inesperados y los pares desconocidos, y comparar los saldos con tus propios registros.

Búsqueda de fallos asistida por IA: el software Lightning, bajo más presión

Un factor une los casos más allá de la técnica. El equipo de Core Lightning informó a finales de agosto de que durante semanas había tramitado un número inusualmente alto de avisos de vulnerabilidades generados con herramientas de IA, y que varios de ellos eran reales. En noviembre, LNbits justificó expresamente su recomendación de tener poco dinero en línea con el aumento de los ataques asistidos por IA.

Para los operadores, esto cambia el ritmo. Fallos que antes pasaban meses sin detectarse aparecen ahora más rápido, tanto para los defensores como para los atacantes. El software libre de Lightning lo mantienen a menudo equipos pequeños. En LNbits pasaron dos días entre el descubrimiento y la corrección, y durante ese tiempo los ataques ya estaban en marcha. Quien gestiona su propio nodo necesita, por tanto, una forma de enterarse de estos avisos: suscribirse a los canales de anuncios del software que usa, revisar las actualizaciones automáticas y no dejar el servidor funcionando meses sin supervisión.

Para la mayoría de los inversores, esto es un argumento en contra del servidor propio. Si solo usas Lightning para pagar de vez en cuando, una app bien mantenida suele servirte mejor. Qué programas son adecuados lo muestra nuestra comparativa de wallets de software.

Hot wallet y cold wallet: cuánto bitcoin debe haber en un nodo Lightning

Quizá la regla más importante figura al final del aviso de LNbits y vale para cualquier wallet Lightning: en línea solo debe estar el dinero para el funcionamiento diario. Revisa con regularidad los saldos y los pagos salientes y traslada los excedentes a una wallet on-chain cuyas claves estén fuera de línea.

Cuánto dinero operativo es adecuado depende del uso. Para una wallet Lightning personal basta con lo que piensas gastar en las próximas semanas, comparable al efectivo de la cartera. Un comercio con caja Lightning necesita suficiente capacidad saliente para devoluciones y cambio, y el resto pasa a la cold wallet por la noche o cada semana. Un nodo que reenvía pagos de otros necesita más capacidad de canal y, por tanto, también más atención.

La propia cold wallet debería ser una hardware wallet cuya semilla se guarde separada del dispositivo. Qué dispositivos son adecuados lo compara nuestra comparativa de hardware wallets. Lo importante es la separación: la semilla de la reserva no pinta nada en el servidor Lightning, ni siquiera como archivo en una carpeta de copias de seguridad.

Lightning en el día a día: Bolt Card, caja de tienda y wallet en app sin servidor propio

Quien paga con Lightning sin gestionar un servidor suele usar una de tres fórmulas. Una wallet en app en el móvil ejecuta el nodo por sí misma o se conecta a un servicio. Una Bolt Card es una tarjeta NFC con la que pagas en caja a través de Lightning; el saldo está en el servidor que emitió la tarjeta. Una caja Lightning en una tienda funciona en el lado del comercio.

Con la Bolt Card y con las wallets regaladas mediante un enlace, el riesgo recae en el operador. Si emitió claves nuevas tras el incidente de LNbits, las tarjetas y los enlaces antiguos no valen nada. En el peor de los casos, también los conoce un atacante. Por eso, una tarjeta nueva o un enlace nuevo del operador sustituye siempre a la versión antigua. Si no hay respuesta, en una cuenta así no debería haber más que el precio de un café.

Si, por el contrario, compras bitcoin en un exchange y lo guardas allí, los fallos de Lightning en software autoalojado no te afectan. En la UE, un proveedor de este tipo necesita desde el fin del periodo transitorio una autorización conforme al reglamento europeo MiCA. Qué exchanges la tienen lo muestra nuestra comparativa de exchanges cripto regulados. La custodia en un proveedor no sustituye a la autocustodia; el riesgo recae entonces en una empresa supervisada.

Asegurar un nodo Lightning: cinco ajustes por orden de prioridad

De las cinco alertas se deduce un orden fijo que vale para cualquier software Lightning autoalojado:

1. Versión: BTCPay Server 2.4.4 o superior con LND 0.21.1 o superior, Core Lightning 26.06.7 o superior con imagen de Docker verificada, Alby Hub v1.24.0 o superior, LNbits 1.7.0 o superior.
2. Accesibilidad: interfaces de administración e interfaces LND solo en la red doméstica o a través de un túnel; elimina las redirecciones hechas a mano.
3. Credenciales: tras cada incidente, regenera macaroons, claves API, claves de wallet y contraseñas, y vuelve a crear las conexiones de las apps.
4. Saldo: solo dinero operativo en el nodo, excedentes trasladados con regularidad a la cold wallet.
5. Control: revisa una vez por semana los pagos salientes, las cuentas nuevas y los cierres de canal.

Esta lista no sustituye al aviso de cada proyecto, solo los ordena. Ante un nuevo incidente, siempre prevalece lo que escriben los propios desarrolladores.

Usar una wallet Lightning con seguridad: en el servidor, solo dinero operativo

1. Actualiza tu software Lightning y cambia después todas las credenciales. Para la reserva fuera del servidor encontrarás un dispositivo adecuado en la comparativa de hardware wallets.
2. Pregúntate si de verdad necesitas un nodo propio. Para pagos ocasionales suele bastar una app bien mantenida de la comparativa de wallets de software.
3. Guarda las cantidades grandes en un proveedor supervisado o fuera de línea. Los exchanges con licencia MiCA aparecen en la comparativa de exchanges cripto regulados.

(12 de noviembre de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)