BTCPay Server advierte de robos en monederos calientes dirigidos a instancias desactualizadas

El responsable del mantenimiento de BTCPay Server, un procesador de pagos con criptomonedas de código abierto, ha pedido a los usuarios que instalen la versión más reciente después de que piratas informáticos hayan estado vaciando los «monederos calientes» de instancias que ejecutan versiones anteriores. En un primer momento se aconsejó a los operadores que apagaran sus servidores mientras se realizaba una investigación completa sobre los pagos no autorizados.

El proyecto BTCPay Server ofrece a las empresas una solución de procesamiento de pagos autoalojada que les permite aceptar Bitcoin y otros activos digitales directamente en sus propios monederos, sin intermediarios de pago ni comisiones de plataforma. Gestiona las facturas de pago y la verificación de transacciones, incluidas las realizadas a través de la red Lightning.

A primera hora del lunes, el mantenedor indicó que había «identificado un vector de ataque dirigido a instancias que ejecutan la versión 2.4.1 (23 de julio de 2026) o anterior» e instó encarecidamente a los usuarios a actualizar a la versión 2.4.7.

El fundador de BTCPay, Nicolas Dorier, señaló que los ataques no se dirigieron a servidores públicos. La investigación se centró en determinar cómo el actor de la amenaza pudo iniciar sesión como administrador en instancias con versiones anteriores a la 2.4.2.

El 29 de octubre, la empresa reveló una vulnerabilidad crítica descubierta mediante el escáner Frontier OSS de Anthropic, lo que motivó la publicación de la versión 2.4.7 como actualización de seguridad de emergencia. Sin embargo, Dorier afirmó que había indicios de que el atacante aprovechó vulnerabilidades presentes en versiones de BTCPay Server anteriores a la 2.4.2, algo que el proyecto confirmó posteriormente.

«Nuestra investigación de respuesta a incidentes identificó un vector de ataque dirigido a instancias que ejecutan las versiones 2.4.1 (23 de julio de 2026) o anteriores», afirma BTCPay Server. «No tenemos informes creíbles de vaciado de monederos calientes en usuarios que ejecutan la última versión 2.4.7. Volvemos a instar a todos a mantener su BTCPay Server actualizado».

Se solicita a los usuarios afectados que envíen todos los detalles y registros de actividad a security@btcpayserver.org.

Cabe recordar que el 7 de agosto, cuando BTCPay Server publicó la versión 2.4.2, advirtió de una falla explotada activamente que exponía archivos de credenciales de LND y permitía a los atacantes controlar los nodos Lightning afectados y robar fondos. El proyecto no ha aclarado qué falla se está explotando en los ataques recientes.

BleepingComputer se ha puesto en contacto con BTCPay Server para obtener más detalles sobre la vulnerabilidad explotada en los ataques actuales, pero no había recibido respuesta en el momento de la publicación.

Los usuarios afectados deben actualizar a la versión 2.4.7 a través de Server Settings → Maintenance → Update. En instalaciones con Docker, los administradores pueden actualizar BTCPay Server iniciando sesión por SSH, ejecutando sudo su -, cambiando al directorio de despliegue con cd btcpayserver-docker y ejecutando ./btcpay-update.sh. Si se ejecuta la versión 2.4.1 o una anterior, se recomienda desconectar la instancia lo antes posible.