Se insta a los usuarios de BTCPay Server a aplicar parches tras robos en monederos calientes

El procesador de pagos con criptomonedas autoalojado BTCPay Server ha emitido una advertencia urgente a su base de usuarios tras confirmar informes de robos de fondos. Los incidentes implican a atacantes que vacían monederos calientes de Bitcoin y Litecoin en servidores que ejecutan versiones de software obsoletas. Los informes sobre estas explotaciones comenzaron a surgir alrededor del 1 de noviembre de 2026, lo que llevó a los mantenedores del proyecto a recomendar la remediación inmediata de todas las instancias afectadas.

Qué ocurrió

El equipo de seguridad de BTCPay Server identificó que los ataques apuntaban específicamente a instancias que ejecutaban la versión 2.4.1 o anterior. Esta versión fue lanzada el 23 de julio de 2026. La vulnerabilidad en cuestión fue corregida en la versión 2.4.2, disponible desde el 7 de agosto de 2026. Según la investigación, los atacantes emplearon un método distinto al de explotaciones anteriores para comprometer estas instalaciones más antiguas. Aunque la fecha exacta de inicio de la campaña sigue siendo desconocida, el reciente aumento de informes indica una explotación activa en entornos reales.

Se aconseja a los usuarios que operan actualmente con versiones 2.4.1 o anteriores que tomen medidas drásticas. La recomendación no es simplemente actualizar el software, sino migrar a un servidor completamente nuevo con un monedero nuevo. Este consejo se aplica incluso si el usuario aún no ha detectado fondos faltantes. La lógica detrás de esta estricta guía es que, una vez que un atacante obtiene acceso, puede haber establecido puertas traseras persistentes o extraído claves secretas que siguen siendo válidas incluso después de aplicar un parche de software. Por consiguiente, cualquier máquina sospechosa de acceso no autorizado debe tratarse como totalmente comprometida, requiriendo un reinicio total de secretos y credenciales.

El proyecto confirmó que no hay informes creíbles de robos de usuarios que ejecuten la última versión, la 2.4.7. Esta actualización aborda una vulnerabilidad crítica y varias de severidad media descubiertas mediante el escáner OSS de Anthropic. Para ayudar a rastrear los activos robados, BTCPay Server publicó dos direcciones de monedero específicas vinculadas a los incidentes: una dirección de Bitcoin que comienza con bc1p0f7wmcnesrapznymf9ljdn04pudgmh96sqtrm9vmgqxdh666fh8qvn63r7 y una dirección de Litecoin que comienza con ltc1qp49tmfdueyaqrmgrx0uyx4uegyygt8yt02whee.

Detalles clave

• Versiones afectadas: BTCPay Server 2.4.1 (lanzada el 23 de julio de 2026) y todas las versiones anteriores.
• Versión parcheada: La versión 2.4.2, lanzada el 7 de agosto de 2026, corrigió la vulnerabilidad explotada.
• Versión segura actual: La versión 2.4.7 no muestra informes creíbles de vaciado de monederos calientes.
• Acción recomendada: Los usuarios en versiones vulnerables deben migrar a un servidor nuevo con un monedero nuevo, independientemente de si se observa algún robo.
• Alcance del compromiso: Cualquier brecha sospechosa requiere tratar toda la máquina y todos los secretos almacenados como comprometidos.
• Activos robados: Los robos confirmados involucran Bitcoin y Litecoin de monederos calientes.

Contexto

BTCPay Server es una solución popular de código abierto para comerciantes que desean aceptar pagos con criptomonedas sin depender de procesadores de terceros. Generalmente es autoalojado, lo que significa que el usuario gestiona la infraestructura del servidor, las actualizaciones de seguridad y las claves del monedero. Un "monedero caliente" en este contexto se refiere a un monedero de criptomonedas conectado a internet y almacenado en el propio servidor. Esta configuración permite el procesamiento automatizado de pagos pero conlleva mayor riesgo que el "almacenamiento en frío", donde las claves se mantienen fuera de línea.

La vulnerabilidad explotada en estos recientes ataques permitía el acceso no autorizado a archivos de credenciales, específicamente archivos .macaroon utilizados por LND (Lightning Network Daemon). LND es una implementación de Lightning Network, un protocolo de capa 2 diseñado para hacer las transacciones de Bitcoin más rápidas y baratas. En una divulgación anterior en agosto de 2026, el equipo señaló que los atacantes podrían usar estas credenciales para tomar el control de un nodo LND y mover fondos. Si bien no está claro si la campaña actual utiliza exactamente el mismo vector, el enfoque en versiones antiguas y sin parchear sugiere una dependencia similar de brechas de seguridad conocidas y no abordadas.

Por qué importa

Para equipos e individuos que autoalojan software financiero, este incidente subraya la importancia crítica de la gestión oportuna de parches. A diferencia de los servicios centralizados donde el proveedor maneja las actualizaciones de seguridad de forma transparente, los entornos autoalojados imponen toda la carga de mantenimiento al operador. Quedarse atrás en las actualizaciones, aunque sea por unos pocos meses, puede dejar sistemas expuestos a campañas de explotación activas. El hecho de que los atacantes apunten a versiones de julio de 2026 sugiere que están escaneando vulnerabilidades conocidas que muchos operadores pueden haber descuidado.

Además, la recomendación de reconstruir el servidor por completo destaca la gravedad de las posibles brechas. En la seguridad informática tradicional, parchear una vulnerabilidad suele considerarse suficiente. Sin embargo, en contextos de criptomonedas, el robo de claves privadas o tokens de autenticación significa que el atacante retiene el acceso incluso después de cerrar la brecha. Esto hace necesario un protocolo de respuesta a incidentes más riguroso, incluyendo rotación de claves y reemplazo de infraestructura, lo cual puede ser costoso y complejo operativamente para equipos pequeños.

Este evento también ocurre en un contexto de inestabilidad generalizada en el sector cripto. En los últimos meses se han producido brechas significativas, incluidos un robo de $6.43 mil millones de Binance atribuido a actores norcoreanos, una explotación de $2.65 millones en Polymarket y ataques a la cadena de suministro que involucran monederos de hardware como Trezor. Para los administradores de sistemas que gestionan herramientas cripto autoalojadas, el panorama de amenazas es cada vez más sofisticado, requiriendo vigilancia no solo en las actualizaciones de software sino en la higiene de seguridad holística.

Qué puedes hacer

• Verifica tu versión: Comprueba inmediatamente si tu instancia de BTCPay Server está ejecutando la versión 2.4.1 o anterior.
• Actualiza o migra: Si eres vulnerable, actualiza a la versión 2.4.7 o posterior. Si sospechas de cualquier compromiso previo, migra a un nuevo servidor con nuevas claves de monedero.
• Minimiza los fondos en monederos calientes: Mantén solo los fondos mínimos necesarios en monederos calientes online para operaciones diarias. Almacena la mayoría de los activos en almacenamiento en frío con claves mantenidas fuera del servidor.
• Monitorea anomalías: Revisa los registros del servidor y los historiales de transacciones del monedero para detectar cualquier actividad no autorizada, incluso si no parecen faltar fondos inicialmente.
• Aísla los secretos: Asegúrate de que los archivos de credenciales sensibles, como los archivos .macaroon, tengan permisos adecuados y no sean accesibles para usuarios no autenticados.
• Mantente informado: Sigue los canales oficiales de BTCPay Server para futuras advertencias de seguridad y considera automatizar las comprobaciones de actualización cuando sea posible.