Alerta de seguridad en Alby Hub
La firma de carteras Bitcoin Alby ha notificado sobre una falla crítica en su producto Alby Hub que podría posibilitar que un atacante asuma el control de la cartera y mueva sus fondos. No obstante, el riesgo solo existe si el dueño ha hecho que el Hub sea alcanzable desde internet.
Alby Hub es una cartera Lightning autoalojada, lo que significa que el usuario la ejecuta en su propio equipo o servidor, conservando el control de sus bitcoins. La vulnerabilidad afecta a las versiones desde la v1.7.0 hasta la v1.18.5, lanzadas antes de agosto de 2025. Según la empresa, hasta el momento solo un usuario ha sido afectado.
Las versiones desde la v1.19.0 en adelante no presentan este fallo. La primera versión corregida fue publicada el 29 de agosto de 2025, por lo que cualquier Hub actualizado a una versión posterior no está en riesgo. Alby recomienda a quienes aún utilicen versiones antiguas que primero detengan el acceso externo a la interfaz de administración (la página de control de la cartera) y luego actualicen a la versión v1.24.0, la más reciente.
La compañía no ha detallado la naturaleza específica de la falla, indicando que revelará los detalles más adelante siguiendo prácticas de divulgación responsable. También agradeció a los investigadores que reportaron otros problemas corregidos en la última versión.
Alby no ha confirmado si el usuario afectado perdió fondos, pero señaló que fue él quien reportó los detalles a la empresa.
Pasos recomendados por Alby
- Verifica la versión de tu Hub.
- Si tienes v1.18.5 o anterior, detén el acceso externo desde fuera de tu red local. En configuraciones Docker, asegúrate de publicar el puerto como 127.0.0.1:8080:8080 y no como 8080:8080.
- En un servidor en la nube, configura el firewall para que el puerto 8080 solo acepte conexiones desde tu propia dirección IP.
- Actualiza a la versión v1.24.0.
- Si tu Hub ejecutaba una versión afectada y era accesible desde internet, cambia tu contraseña de desbloqueo tras la actualización y contacta a security@getalby.com.
Alby no ha especificado si la actualización por sí sola revoca el acceso que un atacante haya podido obtener previamente. El consejo de cambiar la contraseña de desbloqueo se dirige a ese grupo de usuarios, y no se ha publicado documentación que explique qué se pretende anular con ese cambio.
¿Cómo termina un Hub expuesto a internet?
Alby Hub está diseñado para operar en una red privada. Su interfaz web exige inicio de sesión, y la documentación del proyecto ahora advierte a los usuarios que no lo expongan a la internet pública porque el servidor escucha en todas las conexiones de red de la máquina, no solo en la interfaz local.
Esa advertencia es nueva. Se incorporó mediante un cambio en la documentación fusionado el 7 de septiembre, cuya descripción indica que varias guías de configuración describían el servidor como 'ejecutándose en localhost' cuando en realidad escucha en todas las interfaces de red.
El mismo cambio modificó el archivo Docker del proyecto para que el puerto 8080 se publicara solo en la máquina local y no en todas las direcciones. Anteriormente, la guía para ejecutar Alby Hub en un servidor Linux afirmaba que el Hub se ejecutaba en localhost y recomendaba un proxy inverso para exponerlo públicamente. Ni el README de la versión afectada más antigua ni el de la más reciente incluían esa advertencia.
Hasta el 9 de septiembre, fecha en que se difundió la advertencia, las guías de Alby para ejecutar un Hub en servidores en la nube aún describían configuraciones abiertas a internet. La guía para DigitalOcean indica mantener activada la dirección pública del servidor, ya que 'se necesita para abrir Alby Hub en el navegador', y luego abrir el Hub en esa dirección. La guía para Hetzner muestra cómo crear una regla de firewall para el puerto 8080 con origen 'Cualquier IPv4 y Cualquier IPv6, o tu propia dirección IP para mayor seguridad', y su ejemplo de archivo Docker publica el puerto a todas las direcciones.
Un caso previo de apropiación en un Hub expuesto
No es la primera vez que un Alby Hub es comprometido tras quedar expuesto. En noviembre de 2025, respondiendo a un usuario cuyo Hub había sido vaciado, Alby indicó que la máquina 'era accesible públicamente en la clearnet, por lo que podía ser accedida desde el exterior'.
Según Alby, ese caso fue diferente y no se debió a esta vulnerabilidad: la configuración del Hub nunca se completó, por lo que no existía contraseña de desbloqueo y el atacante completó la configuración él mismo.
Tras ese incidente, un cambio en la aplicación de Umbrel colocó a Alby Hub detrás del inicio de sesión propio de Umbrel, que hasta entonces estaba desactivado para esa app. La tienda de aplicaciones de Umbrel ahora instala la versión v1.24.0, y la lista de Alby en Umbrel instala la v1.21.4, ambas posteriores a la versión corregida, aunque eso refleja lo que esas tiendas instalan hoy, no lo que cada Hub tiene instalado actualmente.
La advertencia de Alby deja dos interrogantes que afectan a grupos enteros de usuarios: dice que se compruebe la versión instalada, pero no indica si Alby Cloud ya ha gestionado la actualización. Además, menciona v1.7.0 como inicio del rango afectado, sin aclarar qué ocurre con las versiones anteriores, que llegan hasta v1.0.2. The Hacker News ha consultado a Alby sobre estos puntos y sobre qué se pretende anular con el cambio de contraseña.
Mientras tanto, se insta a los usuarios de Alby Hub a seguir las recomendaciones de seguridad y actualizar a la brevedad.
Deja una respuesta