✨︎ Resumen (TL;DR):
- BTCPay Server pidió apagar instalaciones mientras investiga reportes de vaciados no autorizados de billeteras conectadas a internet.
- El proyecto identificó un vector contra la versión 2.4.1 y anteriores, pero no tenía reportes creíbles entre usuarios de la 2.4.7.
- Bitquery estimó 682 transferencias por unos 1.63 millones de dólares; BTCPay no ha confirmado ese total ni cuántos servidores fueron afectados.
BTCPay Server pidió a quienes ejecutan su software de pagos en bitcoin apagar sus instalaciones mientras investiga reportes de vaciados no autorizados de billeteras conectadas a internet. Después, el proyecto identificó un vector de ataque dirigido a la versión 2.4.1 y anteriores, aunque no tenía reportes creíbles de vaciados entre usuarios de la 2.4.7. Las comunicaciones oficiales consultadas no indican que la recomendación de apagar servidores se haya levantado.
El aviso inicial se emitió el 1 de noviembre de 2026 y no distinguía entre versiones. BTCPay pidió mantener las instalaciones apagadas hasta completar la investigación. La información disponible tampoco señala que esa instrucción haya cambiado.
El vector apunta a versiones antiguas
En una actualización posterior, el proyecto identificó un vector de ataque contra la versión 2.4.1 y anteriores. BTCPay informó que no tenía reportes creíbles de vaciados entre usuarios de la 2.4.7, la versión más reciente identificada por el proyecto.
Esa ausencia no garantiza que la 2.4.7 sea inmune ni demuestra que todas las instalaciones antiguas hayan sufrido pérdidas. El equipo pidió mantener actualizado el software y solicitó a las personas afectadas enviar detalles y registros de sus servidores a su equipo de seguridad.
Algunos proveedores de alojamiento podrían haber apagado automáticamente instalaciones para evitar ataques contra versiones antiguas.
El acceso de administrador sigue sin explicación
Nicolas Dorier, fundador del proyecto, dijo que los atacantes iniciaron sesión como administradores en las instalaciones afectadas. BTCPay todavía investigaba cómo obtuvieron ese acceso y no ha precisado cuántos servidores resultaron comprometidos.
La ubicación de las claves define el riesgo
BTCPay Server es una herramienta gratuita y de código abierto que los comercios pueden alojar para recibir pagos en bitcoin.
Una billetera caliente es una configuración en la que el servidor conserva la clave necesaria para autorizar envíos. Si alguien obtiene acceso no autorizado a la instalación, los fondos pueden quedar expuestos.
No todas las configuraciones funcionan así. BTCPay también permite conectar una billetera externa y mantener las claves privadas fuera del servidor. Esa diferencia influye en qué fondos quedarían expuestos si alguien compromete la instalación.
Bitquery estima el movimiento, no las pérdidas confirmadas
Bitquery, una firma de análisis de cadenas de bloques, estimó 682 transferencias que identificó como vaciados. El conjunto sumaba alrededor de 1.63 millones de dólares, calculados con precios del 2 de noviembre.
Su análisis sigue direcciones vinculadas al caso y tiene un corte a las 06:00 UTC de ese día. La cifra es una estimación de Bitquery, no un total de pérdidas confirmado por BTCPay. Además, el número de transferencias no permite saber cuántos servidores fueron afectados.
El fallo de LND de agosto sigue sin vínculo confirmado
En agosto, BTCPay corrigió otro fallo en versiones anteriores a la 2.4.2. Esa vulnerabilidad permitió robar credenciales de LND, una implementación de la red Lightning, y acceder a sus fondos.
El proyecto señaló entonces que las billeteras ordinarias de BTCPay en la cadena de Bitcoin no estaban afectadas. No se ha confirmado que el fallo de agosto explique los vaciados que ahora se investigan.
BTCPay todavía no ha aclarado el método usado para obtener privilegios de administrador ni el alcance real del incidente. La estimación de Bitquery dimensiona las transferencias observadas, pero no sustituye un total de pérdidas confirmado por el proyecto.
