Alby advirtió sobre una falla crítica en Alby Hub (versiones v1.7.0 a v1.18.5) que permitía a atacantes tomar control de billeteras expuestas a internet. Se recomienda restringir el acceso externo a la interfaz de gestión y actualizar inmediatamente a la versión v1.24.0. Quienes usaron versiones afectadas y estuvieron expuestos deben cambiar su contraseña de desbloqueo y contactar al equipo de seguridad.

La empresa de monederos de Bitcoin Alby ha advertido sobre un fallo crítico en Alby Hub que podría haber permitido a un atacante tomar el control de un monedero y enviar sus fondos, pero solo en los casos donde el propietario había hecho que el Hub fuera accesible desde internet.

Alby Hub es un monedero Lightning autoalojado, lo que significa que tú lo ejecutas en tu propia computadora o servidor y ahí guardas tus bitcoins. El fallo afecta a las versiones v1.7.0 hasta la v1.18.5, todas lanzadas antes de agosto de 2025, y Alby ha indicado que un usuario se ha visto afectado hasta ahora.

Las versiones v1.19.0 y posteriores no tienen este fallo. La primera versión con la corrección se publicó el 29 de agosto de 2025, por lo que si tienes un Hub actualizado a cualquier versión publicada desde entonces, no estás afectado.

Alby recomienda a cualquiera que todavía use una versión antigua que, primero, detenga el acceso externo a la interfaz de gestión del Hub (la página web utilizada para controlar el monedero). El siguiente paso es actualizar a la v1.24.0, que es la versión actual.

La empresa no ha revelado en qué consiste exactamente el fallo. Ha indicado que publicará los detalles completos más adelante, siguiendo las prácticas de divulgación responsable, y agradeció a los investigadores que reportaron otros problemas que fueron solucionados en la última versión.

Alby afirmó que, según su conocimiento, un usuario ha sido afectado, aunque no precisó si ese usuario perdió dinero. Indicó que el usuario reportó los detalles a la empresa.

Estado de versiones: v1.7.0 a v1.18.5 Afectadas (si el Hub era accesible desde internet); v1.19.0 y posteriores No afectadas; v1.24.0 Versión actual. Alby la recomienda incluso para personas que no estén afectadas.

Qué hacer ahora

1. Comprueba la versión que está ejecutando tu Hub.
2. Si es v1.18.5 o anterior, evita primero que el Hub sea accesible desde fuera de tu propia red. En una configuración de Docker, esto significa que el puerto debe publicarse como 127.0.0.1:8080:8080 y no 8080:8080. En un servidor en la nube, significa que la regla del firewall para el puerto 8080 permita tu propia dirección en lugar de cualquier dirección.
3. Actualiza a la v1.24.0.
4. Si tu Hub ejecutaba una versión afectada y era accesible desde internet, cambia tu contraseña de desbloqueo después de la actualización y contacta con security@getalby.com.

Alby no ha aclarado si el simple hecho de actualizar termina con cualquier acceso que un atacante ya pudiera tener en un Hub expuesto. Su consejo de cambiar la contraseña de desbloqueo se aplica precisamente a ese grupo, y ninguna fuente publicada explica qué es lo que se pretende anular con ese cambio.

Cómo termina un hub en internet

Alby Hub está diseñado para estar en una red privada. Su interfaz web requiere un inicio de sesión, y la propia documentación del proyecto ahora advierte a los propietarios que no lo pongan en el internet público porque el servidor escucha en cada conexión de red que tiene la máquina, en lugar de hacerlo solo en la máquina misma.

Esa advertencia es nueva. Llegó en un cambio de documentación fusionado el 7 de septiembre (ver aquí), cuya descripción indica que varias de las guías de configuración habían descrito el servidor como "ejecutándose en localhost cuando en realidad escucha en todas las interfaces de red".

El mismo cambio modificó el archivo Docker del proyecto para que el puerto 8080 se publique solo en la máquina misma y no en todas las direcciones.

Antes de eso, la guía para ejecutar Alby Hub en un servidor Linux decía que el Hub se ejecuta en localhost y recomendaba un proxy inverso para quien quisiera hacerlo público. El README incluido en la versión afectada más antigua y en la más reciente no contenía esa advertencia, y tampoco la tiene la versión actual.

Hasta el 9 de septiembre, el día de la advertencia, las propias guías de Alby para ejecutar un Hub en un servidor en la nube todavía describían una configuración abierta a internet.

Su guía de DigitalOcean indica al lector que mantenga encendida la dirección pública del servidor porque es "necesaria para que puedas abrir Alby Hub en tu navegador", y luego pide abrir el Hub en esa dirección.

Su guía de Hetzner explica cómo crear una regla de firewall para el puerto 8080 con el origen establecido en "Cualquier IPv4 y Cualquier IPv6, o tu propia dirección IP para mayor seguridad", y su archivo Docker de ejemplo publica el puerto en todas las direcciones.

Una toma de control anterior en un hub expuesto

Esta no es la primera vez que un Alby Hub es tomado tras quedar abierto. En noviembre de 2025, respondiendo a un usuario cuyo Hub había sido vaciado, Alby dijo que la máquina era "accesible públicamente en la clearnet, por lo que podía ser accedida desde el exterior".

Según Alby, aquel fue un problema diferente y no este fallo: la configuración del Hub nunca se había terminado, por lo que aún no existía una contraseña de desbloqueo, y el atacante completó la configuración él mismo.

Después de ese caso, un cambio en la aplicación de Umbrel colocó a Alby Hub detrás del propio inicio de sesión de Umbrel, que había estado desactivado para él hasta entonces. La tienda de aplicaciones de Umbrel ahora instala la v1.24.0, y el listado de Alby en Umbrel instala la v1.21.4, ambas posteriores a la versión corregida, aunque esto describe lo que instalan las tiendas hoy y no lo que cada Hub esté ejecutando.

Dos preguntas que deja abiertas la advertencia son importantes para grupos enteros de usuarios. Indica a la gente que compruebe la versión instalada, pero no aclara si Alby Cloud ya lo ha solucionado por ellos. También señala la v1.7.0 como el inicio del rango afectado sin decir en qué situación quedan las versiones anteriores, que llegan hasta la v1.0.2.

The Hacker News ha planteado ambas preguntas a Alby, junto con la duda sobre qué es lo que se pretende anular con el cambio de contraseña.

Fuente:
THN