Puntos clave
- Noticias sobre Bitcoin: BTCPay Server ha detectado un vector de ataque que afecta a las versiones 2.4.1 y anteriores.
- Según se informa, los atacantes vaciaron carteras «hot» de Bitcoin, aunque el importe total de las pérdidas no se ha revelado.
- BTCPay no ha informado de ningún robo de monederos que se pueda considerar fiable y que afecte a su última versión de software, la 2.4.7.
BTCPay Server ha identificado una vulnerabilidad de seguridad que afecta a versiones anteriores del software tras las denuncias de robos en carteras de Bitcoin. Este suceso se sumó a la lista de incidentes de seguridad relacionados con Bitcoin el lunes 2 de noviembre.
El procesador de pagos de Bitcoin dijo que los atacantes se centraron en instancias que ejecutaban la versión 2.4.1 o anteriores. Sin embargo, su investigación no encontró ningún informe creíble de robo de monederos relacionado con la última versión, la 2.4.7.
El proyecto instó a los operadores a actualizar sus instalaciones y a informar de cualquier sospecha de vulneración. BTCPay no reveló el número de víctimas ni el total de fondos robados. Mientras tanto, la actualización también cobró relevancia después de que el reciente hackeo a Binance sacudiera el mercado de las criptomonedas en general.
Noticias de Bitcoin: BTCPay Server identifica un vector de ataque en versiones anteriores
BTCPay Server confirmó estos hallazgos en un comunicado oficial publicado en X el 2 de noviembre. Su investigación identificó un vector de ataque que afecta al software lanzado hasta el 23 de julio de 2026, inclusive.
Las versiones afectadas eran la 2.4.1 y las anteriores. El proyecto aún no había explicado públicamente el mecanismo técnico detrás del último ataque.
Esta noticia sobre Bitcoin se produjo tras una advertencia anterior sobre retiradas no autorizadas de las carteras «calientes» de Bitcoin de los operadores. BTCPay instó inicialmente a los operadores afectados a apagar sus instancias de servidor mientras los investigadores examinaban los incidentes. La plataforma también proporcionó instrucciones de apagado para ayudar a los operadores a responder ante posibles vulneraciones de seguridad.
Sin embargo, los investigadores no habían revelado cómo los atacantes accedieron a los monederos afectados. BTCPay tampoco facilitó información sobre el número de instalaciones comprometidas ni sobre los bitcoins robados. El proyecto pidió a los usuarios afectados que enviaran la información relevante y los registros del servidor a [email protected].
Estos detalles pendientes limitaron las conclusiones públicas de la investigación. Además, impidieron realizar una evaluación independiente del impacto económico del ataque.
Noticias sobre Bitcoin: la última actualización de BTCPay incluye correcciones de seguridad
El repositorio de GitHub del servidor de BTCPay confirmó que los desarrolladores lanzaron la versión 2.4.7 el 29 de octubre. Esta versión solucionaba problemas de seguridad, fiabilidad y contabilidad de pagos. Los desarrolladores recomendaron actualizar, sobre todo en el caso de los servidores que dan servicio a varios comerciantes.
Las notas de la versión de GitHub documentaban 85 vulnerabilidades de seguridad solucionadas con la actualización. Entre ellas había una crítica, 13 de gravedad alta, 52 de gravedad media y 19 de gravedad baja.
Las correcciones abarcaban controles de autenticación, permisos de aplicaciones, operaciones con monederos y funciones de procesamiento de pagos. Sin embargo, el comunicado de noticias sobre Bitcoin del proyecto no identificó qué vulnerabilidad concreta permitió las retiradas de fondos del monedero «en caliente» de las que se informó. Por lo tanto, las declaraciones disponibles no aclararon si alguna de las correcciones documentadas solucionaba directamente el último ataque.
No obstante, BTCPay no informó de ningún caso creíble de vaciado de carteras calientes en instalaciones que ejecutaran la versión 2.4.7. Esa valoración se basaba en los incidentes notificados, no en una garantía frente a posibles ataques futuros. La distinción seguía siendo relevante porque la plataforma seguía recopilando pruebas de los usuarios afectados.
La seguridad de las carteras «calientes» de Bitcoin vuelve a estar en el punto de mira
BTCPay Server funciona como un procesador de pagos de criptomonedas de código abierto y sin custodia. Los comerciantes pueden recibir pagos en Bitcoin directamente sin tener que ceder la custodia a un intermediario de pagos. Sin embargo, la documentación de sus carteras distingue entre las carteras «calientes» y las gestionadas externamente.
Las carteras «calientes» guardan las credenciales de firma en el servidor, lo que permite a los operadores autorizar pagos a través de la interfaz. Esta configuración supone un riesgo cuando los atacantes logran acceder a una cuenta o a un servidor.
El incidente relacionado con las noticias sobre Bitcoin de la plataforma puso de relieve esa diferencia, sin que se pudiera determinar el método exacto de acceso de los atacantes. La documentación de BTCPay también admite carteras de hardware y configuraciones que mantienen las claves privadas fuera del servidor.
Los operadores que usan carteras externas pueden recibir pagos a través de claves públicas extendidas. Esas configuraciones no suelen requerir que se revelen las claves privadas de firma al servidor de pagos. Sin embargo, BTCPay advierte de que los entornos de alojamiento comprometidos pueden generar otros riesgos relacionados con los pagos.
Estas diferencias son importantes a la hora de evaluar el alcance potencial de un ataque a las criptomonedas. Que una instalación de pago se vea comprometida no significa automáticamente que los atacantes puedan gastar los fondos que se guardan externamente.
Un ataque anterior a Lightning se centró en las credenciales
El incidente de noviembre se produjo tras otra brecha de seguridad de BTCPay relacionada con Lightning Network Daemon (LND) en agosto. El 7 de agosto, BTCPay confirmó que los atacantes aprovecharon una vulnerabilidad crítica para hacerse con los archivos de credenciales de LND.
Los archivos contenían credenciales «macaroon» que se usan para controlar los nodos de Lightning y autorizar operaciones. BTCPay dijo que los atacantes podrían usar las credenciales filtradas para controlar los nodos afectados y mover fondos.
El proyecto confirmó que los atacantes aprovecharon la vulnerabilidad y robaron fondos a los usuarios. La versión 2.4.2 solucionó la vulnerabilidad y actualizó LND a la versión 0.21.1.
La actualización también regeneró automáticamente las credenciales «macaroon» en las instalaciones estándar de BTCPay. BTCPay aconsejó a los operadores que revisaran los pagos no autorizados, los cierres inesperados de canales, los pares desconocidos y las discrepancias en sus saldos.
Además, restringió temporalmente el acceso público a LND en las implementaciones de Docker a través de dominios de BTCPay y direcciones «onion» de Tor. Los operadores que usaban proxies inversos gestionados por separado o puertos reenviados tuvieron que cambiar ellos mismos las credenciales. BTCPay aclaró que la vulnerabilidad de agosto no afectó a las carteras habituales en cadena, incluidas las carteras «hot».
El último incidente relacionado con el bitcoin tuvo que ver con retiradas no autorizadas de carteras «calientes» de bitcoin, y no con la filtración de credenciales de Lightning. BTCPay aún no ha determinado si el ataque de noviembre tenía alguna relación técnica con la vulnerabilidad de agosto.
La investigación tampoco ha determinado el número de operadores afectados ni ha cuantificado sus pérdidas. Por ahora, BTCPay ha identificado la gama de software afectada y ha instado a los operadores a instalar la versión 2.4.7.
