BTCPay Server, un programa de código abierto para cobrar con criptomonedas desde tu propio servidor, avisó que atacantes están robando fondos en instalaciones desactualizadas. Los robos afectan a la versión 2.4.1 y anteriores.
Si administras una de estas instalaciones, o le das soporte a una tienda que la usa, revísala hoy. El proyecto advierte que instalar la actualización no siempre es suficiente.
¿Qué pasó?
El 1 de noviembre de 2026, el proyecto recibió los primeros reportes de robos de Bitcoin y Litecoin desde hot wallets, es decir, carteras cuyas llaves viven en el propio servidor. Ese mismo día alertó a su comunidad y pidió apagar los servidores mientras investigaba.
Al día siguiente identificó las versiones afectadas: la 2.4.1, publicada el 23 de julio de 2026, y todas las anteriores. Según el proyecto, los servidores que ya tenían la 2.4.2 o una posterior cuando salió la alerta no registran impacto. Esa versión salió el 7 de agosto.
BleepingComputer informa que el fundador, Nicolas Dorier, ve indicios de que los atacantes aprovecharon fallas anteriores a la 2.4.2. El medio también menciona que el 29 de octubre se divulgó otra vulnerabilidad crítica, que llevó a publicar la 2.4.7 como actualización de emergencia. Varios proveedores de servidores virtuales, como LunaNode, apagaron instancias por precaución.
¿Por qué te importa?
Un servidor de cobros suele quedarse encendido durante meses sin que nadie lo toque. Justo por eso una falla corregida en agosto todavía puede causar robos en noviembre. Le pasa igual a cualquier servicio que instalas una vez y olvidas.
Lo delicado es que el proyecto no da por resuelto el problema con solo actualizar. Si el servidor ya fue comprometido, los secretos guardados en él pueden estar en manos del atacante. Además, que el saldo no haya cambiado no descarta un ataque previo. Tampoco se ha establecido cuándo empezaron los ataques.
La nota de BleepingComputer no cita un identificador CVE ni nombra una falla concreta, así que por ahora hay poco detalle técnico público. Lo que sí está claro es qué versiones corren peligro.
¿Qué puedes hacer?
- Entra a tu instalación y mira la versión en la parte inferior de la página. Si es 2.4.2 o posterior, instala la más reciente disponible.
- Si tienes la 2.4.1 o una anterior, apaga el servidor cuanto antes y conserva sus registros, porque servirán para investigar.
- Migra a un servidor nuevo con la última versión. No restaures la copia completa del servidor anterior y crea una cartera nueva con una semilla nueva, desde un dispositivo de confianza.
- Cambia las credenciales de hosting, SSH, la aplicación, la API y Lightning, también desde un dispositivo de confianza.
- Deja en el servidor solo lo necesario para operar y mueve el resto a una cartera de hardware. Si perdiste fondos, repórtalo al proyecto y a las autoridades, sin compartir nunca tus semillas ni contraseñas.
Sigue leyendo
Fuentes
- BTCPay Server: BTCPay Server security incident: 2.4.1 and earlier
- BleepingComputer: BTCPay Server warns of hot wallet crypto thefts on outdated instances
Imagen de portada: foto de Brett Sayles en Pexels.