BTCPay Server ha informado de un incidente que habría permitido vaciar monederos calientes de bitcoin conectados a instalaciones antiguas de su software. El proyecto, centrado en servidores de pagos autoalojados, emitió una alerta de emergencia a última hora del sábado 1 de noviembre y pidió desconectar las instancias afectadas mientras continúa la investigación.
Qué instalaciones pueden estar afectadas
Según BTCPay Server, el problema alcanza a las instalaciones que ejecutan la versión 2.4.1, publicada el 23 de julio de 2026, o una edición anterior. La versión actual, la 2.4.7, no registra por ahora informes creíbles de carteras vaciadas, de acuerdo con la información difundida por el proyecto.
Un monedero caliente es una cartera conectada al entorno operativo desde el que se procesan pagos. Esa conexión facilita el uso de los fondos, pero también hace que la protección del servidor y de las credenciales de acceso sea especialmente relevante. En este caso, BTCPay Server ha señalado que los atacantes consiguieron entrar en las instancias afectadas con permisos de administrador.
El atacante inició sesión en las instancias afectadas con permisos de administrador, según explicó el cofundador Nicolas Dorier.
El equipo todavía no ha determinado cómo se obtuvo ese acceso. El domingo, el grupo de respuesta a incidentes comunicó que había acotado el posible vector del ataque, aunque no había cerrado la investigación. Los servidores públicos operados por el propio proyecto utilizaban la versión 2.4.7 y, según BTCPay Server, no sufrieron daños.
Qué se sabe de las pérdidas
La cuantía sustraída sigue sin conocerse. BTCPay Server no ha comunicado ninguna cifra de bitcoins robados ni ha precisado cuántos servidores o operadores podrían haber registrado pérdidas. Por tanto, no existe todavía un balance confirmado del alcance económico del incidente.
El proyecto ha solicitado a los posibles afectados que remitan al equipo de seguridad los detalles del incidente y los registros del servidor. La información deberá servir para identificar las instalaciones comprometidas y completar el análisis técnico.
- Las versiones 2.4.1 o anteriores son las señaladas en la alerta.
- BTCPay Server pidió apagar las instancias mientras prosigue la investigación.
- La versión 2.4.7 no tenía informes creíbles de carteras vaciadas en el momento de la comunicación.
- La plataforma aún no ha confirmado el número de bitcoins sustraídos.
La recomendación operativa comunicada por BTCPay Server consiste en desconectar los servidores afectados y esperar a nuevas instrucciones del equipo del proyecto. Hasta que finalice la investigación, la ausencia de una cifra oficial impide determinar cuántos fondos y operadores se han visto afectados.
