Atacantes obtuvieron acceso de administrador a instancias antiguas de BTCPay Server y vaciaron sus hot wallets ; las investigaciones señalan fallos que existen desde antes de un parche lanzado en agosto.
El daño afecta a los operadores que nunca actualizaron, y el equipo todavía no ha revelado las pérdidas totales. BTCPay Server es un procesador de pagos gratuito y de código abierto que los comerciantes hospedan ellos mismos para aceptar Bitcoin. En una configuración de hot wallet , el servidor guarda las claves privadas, lo que permite al software enviar fondos sin que el operador firme cada transacción. Por eso, cualquiera con acceso de administrador al servidor puede mover sus monedas.
¿Qué versiones atacaron los hackers?
El equipo de BTCPay Server dio la alerta a última hora del 1 de noviembre. Instó a todos los operadores apagar su instancia hasta que termine la investigación.
Más tarde, el equipo acotó el problema. El vector del ataque apunta a la versión 2.4.1, lanzada el 23 de julio de 2026, y a cualquier versión más antigua. Mientras tanto, el equipo dice que no tiene reportes creíbles de robos en la actual versión 2.4.7.
📢 Our incident response investigation identified an attack vector targeting instances running versions 2.4.1 (Jul 23, 2026) or older.
— BTCPay Server (@BtcpayServer) November 2, 2026
We have no credible reports of hot wallet drains for users running the latest 2.4.7 release. We again urge everyone to keep their BTCPay Server… pic.twitter.com/gYxK4Bb7fc
El fundador Nicolas Dorier afirmó que el atacante inició sesión como administrador en los servidores afectados, aunque el equipo aún no sabe cómo lo hizo. Hasta ahora, la investigación ha encontrado rastros de vulnerabilidades que existen desde antes de la versión 2.4.2.
Esta brecha marca al menos la segunda vez en tres meses que atacantes roban fondos de instancias BTCPay Server usando versiones más antiguas que la 2.4.2. Esa actualización corrigió una falla crítica en agosto, que permitía a atacantes remotos obtener las credenciales del nodo Lightning y vaciar las wallets conectadas.
Aun así, ese error ya estaba siendo explotado activamente.
¿Vale la pena el riesgo de usar una hot wallet de BTCPay Server?
Los proveedores de hosting también actuaron rápido. Según el equipo, LunaNode y otros podrían haber apagado instancias de clientes de forma automática para bloquear ataques en versiones antiguas.
Dorier utiliza la versión 2.4.7 con una hot wallet en sus propios sistemas. Sin embargo, el fundador advirtió que no se deben guardar grandes sumas en ningún servidor.
"No pongas más de lo que estás dispuesto a perder en un hot wallet. No podemos garantizar que no vuelva a pasar", destacó Nicolas Dorie en X.
El incidente refleja un patrón más amplio en la infraestructura de Bitcoin auto-hosting. Core Lightning advirtió recientemente que los atacantes buscan nodos sin parches. En ambos casos, la solución ya existía antes del robo, por lo que el punto más débil fue el operador que instaló una instancia de BTCPay Server y nunca la actualizó.
Lee la historia original ¿Es seguro tu BTCPay Server? Lo que revela la investigación sobre el hack de hot wallets por Phil Haunhorst en es.beincrypto.com