BTCPay Server ha emitido una advertencia urgente tras reportes de atacantes que están vaciando monederos calientes (hot wallets) de Bitcoin en sus servidores. El procesador de pagos de código abierto ha instado a los operadores a apagar sus instalaciones inmediatamente y mantenerlas fuera de línea mientras el equipo investiga los robos, lo que genera una gran preocupación para los comerciantes con fondos en dichas billeteras.

BTCPay Server ha emitido una advertencia urgente tras recibir informes de que atacantes estaban vaciando monederos "hot wallets" de Bitcoin en sus servidores. El procesador de pagos de código abierto indicó a los operadores que apaguen sus instalaciones inmediatamente y las mantengan fuera de línea mientras su equipo investiga los robos. La alerta genera preocupación para los comerciantes que mantienen fondos en monederos gestionados a través de los servidores afectados.

En su aviso de seguridad del 1 de noviembre, el proyecto señaló: “Estamos recibiendo informes de que monederos hot en servidores BTCPay están siendo vaciados por atacantes no autorizados”. Instruyó a los operadores a ejecutar ./btcpay-down.sh hasta que la investigación finalice. La advertencia no limitó esa instrucción a versiones específicas del software ni anunció que reiniciar fuera seguro.

BTCPay Server Advierte

Los primeros hallazgos apuntan a instalaciones desactualizadas. Según se informa, el fundador Nicolas Dorier dijo que los servidores afectados ejecutaban versiones anteriores a la 2.4.2 y que los atacantes habían accedido como administradores. Sin embargo, los investigadores no han establecido cómo obtuvieron ese acceso, dejando el punto de entrada inicial sin confirmar.

Dorier también afirmó que los servidores públicos del proyecto que ejecutan la versión 2.4.7 no habían sido atacados. Esa observación es importante, pero no prueba que cada instalación actualizada esté a salvo. No debes tratar la ausencia de ataques reportados contra esos servidores como una señal de seguridad total mientras la advertencia general de apagado permanezca vigente.

Los informes disponibles no proporcionaron un total de pérdidas confirmado ni un recuento de las instalaciones afectadas. Ningún relato técnico completo ha establecido si los atacantes utilizaron datos de inicio de sesión robados, un fallo de software u otra ruta para acceder al administrador.

BTCPay Server permite a los comerciantes aceptar Bitcoin directamente utilizando software autoalojado. Su documentación de monederos explica que un monedero hot habilitado firma transacciones utilizando una semilla almacenada en el servidor. Esto hace que los pagos sean convenientes, pero coloca material de firma sensible dentro del entorno en línea. Por lo tanto, una brecha en el servidor puede poner en riesgo los fondos, dependiendo del acceso obtenido.

El incidente resalta riesgos también cubiertos en informes sobre pantallas falsas de monederos de criptomonedas que roban frases de recuperación y campañas de Google Sheets que intercambian direcciones de monederos. Esas campañas involucran métodos diferentes y ninguna ha sido vinculada a los robos de BTCPay. La preocupación compartida es proteger los secretos del monedero y verificar a dónde se envían los fondos.

Los Parches Recientes No Confirman la Causa

La advertencia surge tras el lanzamiento de BTCPay Server 2.4.7 el 29 de octubre. Sus notas de lanzamiento oficiales enumeran 85 hallazgos de seguridad solucionados tras los informes del programa OSS Scanner de Anthropic. Estos incluyeron un hallazgo crítico, 13 altos, 52 medios y 19 de baja severidad, abarcando permisos, autenticación, gestión de pagos y otras funciones.

No hay un vínculo confirmado entre esas correcciones y el vaciado actual de los monederos. Un aviso anterior separado para la versión 2.4.2 se refería a credenciales expuestas del Lightning Network Daemon. BTCPay dijo explícitamente que sus propios monederos on-chain, incluidos los hot wallets, no fueron afectados por ese problema anterior. Combinar los dos incidentes sería tergiversar lo que los desarrolladores han confirmado.

Por ahora, la acción oficial más clara es detener el servidor con ./btcpay-down.sh y dejarlo fuera de línea a la espera de más instrucciones. Actualizar por sí solo no debe presentarse como la solución a un compromiso activo. También necesitas distinguir las instrucciones confirmadas de los desarrolladores de los informes de la comunidad a medida que se desarrolla la investigación y el equipo determina la ruta del ataque, los despliegues afectados y los pasos de recuperación.[x]