BTCPay Server ha advertido a los usuarios que apaguen sus servidores de pago tras recibir informes de atacantes que obtuvieron acceso no autorizado a instalaciones más antiguas y vaciaron fondos de monederos calientes de Bitcoin conectados.
Resumen
- BTCPay Server ha instado a los operadores a apagar sus servidores de pago tras recibir informes de atacantes que obtuvieron acceso no autorizado y vaciaron fondos de monederos calientes de Bitcoin conectados.
- La investigación del proyecto identificó un vector de ataque que afecta a las instalaciones que ejecutan la versión 2.4.1 o anterior, mientras que la última versión 2.4.7 no tiene informes creíbles de vaciado de monederos.
- El cofundador de BTCPay Server, Nicolas Dorier, dijo que los atacantes lograron iniciar sesión con privilegios de administrador en las instancias afectadas, aunque los investigadores aún no han determinado cómo obtuvieron el acceso.
- Los proveedores de alojamiento, incluido LunaNode, han tomado medidas de precaución para apagar algunas instalaciones, mientras que se ha pedido a los usuarios afectados que envíen los detalles del incidente y los registros del servidor.
- BTCPay Server no ha revelado la cantidad total de criptomonedas robadas ni el número de servidores comprometidos, y su investigación sigue en curso.
En una alerta de seguridad del 2 de noviembre, el procesador de pagos de Bitcoin de código abierto dijo que estaba investigando informes de retiros no autorizados de monederos y pidió a los operadores que apagaran temporalmente sus instancias usando el script ./btcpay-down.sh.
La advertencia se aplicó inicialmente a todos los usuarios mientras el equipo trabajaba para determinar cómo los atacantes obtenían acceso. Una investigación posterior redujo el presunto vector de ataque a las instalaciones que ejecutan la versión 2.4.1, publicada el 23 de julio de 2026, o anterior.
BTCPay Server dijo que no había recibido informes creíbles de vaciado de monederos calientes relacionados con la última versión, 2.4.7, e instó a los operadores a mantener su software actualizado.
El proyecto no ha revelado cuánta criptomoneda fue robada, cuántos servidores fueron comprometidos ni cuántos usuarios han reportado pérdidas.
BTCPay Server identifica las instalaciones más antiguas como objetivos de ataque
Según el aviso más reciente del proyecto, su investigación de respuesta a incidentes identificó un vector de ataque que afecta a versiones más antiguas del software de pago, aunque el equipo aún no ha explicado públicamente la debilidad técnica que permitió las intrusiones.
BTCPay Server es un procesador de pagos de criptomonedas autoalojado que permite a comerciantes y particulares aceptar pagos en Bitcoin sin depender de un intermediario de pago tradicional. Los operadores pueden gestionar su propia infraestructura de pago y conectar monederos para recibir y gestionar fondos.
Los ataques reportados involucraron monederos calientes, que permanecen conectados a sistemas en línea y pueden usarse para enviar transacciones de criptomonedas. Los fondos mantenidos en estos monederos pueden quedar expuestos si los atacantes obtienen acceso suficiente a los sistemas que los controlan.
En su advertencia inicial, BTCPay Server dijo que estaba recibiendo informes de monederos calientes siendo vaciados por atacantes no autorizados. Un vaciado de monedero implica transferir los fondos disponibles de una o más direcciones a otro destino.
Las instrucciones del proyecto pedían a los operadores que apagaran sus instancias mientras continuaba la investigación. Su actualización posterior proporcionó información más específica sobre las versiones de software afectadas y la ausencia de informes creíbles de vaciado relacionados con la versión 2.4.7.
Se ha pedido a los usuarios que creen que sus servidores se han visto comprometidos que envíen los detalles del incidente y los registros del sistema relevantes a [email protected].
El fundador de BTCPay Server afirma que los atacantes obtuvieron acceso de administrador
El cofundador de BTCPay Server, Nicolas Dorier, proporcionó más detalles sobre las presuntas intrusiones en una declaración separada del 2 de noviembre.
Dorier dijo que los servidores públicos del proyecto, que ejecutaban la versión 2.4.7, no habían sido atacados. Según los informes de los que disponía, las instalaciones afectadas parecían ejecutar versiones publicadas antes de la 2.4.2.
Él explicó que el atacante había logrado iniciar sesión con privilegios de administrador en las instancias afectadas, pero el equipo seguía tratando de determinar cómo se había obtenido ese acceso.
El acceso de administrador puede dar a alguien control sobre configuraciones y funciones importantes del servidor, dependiendo de la configuración del software y los permisos disponibles para la cuenta.
El último incidente sigue a una brecha de seguridad anterior en agosto, cuando BTCPay Server advirtió sobre una vulnerabilidad explotada activamente que podría resultar en el robo de fondos.
Como crypto.news informó anteriormente, el proyecto instó a los usuarios a actualizar a la versión 2.4.2 de inmediato o apagar sus servidores si no podían instalar el parche de seguridad.
La vulnerabilidad de agosto permitió a los atacantes obtener credenciales macaroon de administrador de LND de las instalaciones afectadas y acceder a las carteras Lightning conectadas. BTCPay Server dijo que la falla no comprometió las carteras ordinarias en la cadena, incluidas las carteras calientes.
El proyecto posteriormente anunció una recompensa de recuperación equivalente al 10% de los fondos recuperados, con un límite de 3 BTC si se recuperaban todos los activos robados.
La Fundación BTCPay Server comprometió 0,21 BTC cada uno al desarrollador de Sparrow Wallet, Craig Raw, y al fondo Bitcoin Red Team por descubrir e informar la vulnerabilidad anterior.
Los proveedores de alojamiento apagan algunas instancias de BTCPay Server
Tras la última advertencia, los proveedores de alojamiento comenzaron a tomar medidas preventivas para evitar que las instalaciones más antiguas permanecieran expuestas.
En otra actualización del 2 de noviembre, BTCPay Server dijo que los usuarios que ejecutan el software a través de un proveedor de alojamiento podrían descubrir que sus instancias ya se habían apagado automáticamente.
El proyecto agradeció a LunaNode y a otras empresas de alojamiento por responder rápidamente después de su anuncio inicial.
Dichos apagones significan que algunos operadores pueden no poder acceder a sus servidores de pago hasta que su proveedor de alojamiento restablezca el servicio o la instalación afectada vuelva a estar en línea.
BTCPay Server no ha publicado una lista completa de los proveedores de alojamiento que suspendieron instancias ni ha revelado cuántos servidores se desconectaron.
La advertencia de seguridad se produce después de otro incidente reciente relacionado con la infraestructura de pagos de Bitcoin. En septiembre, Core Lightning advirtió a los operadores que los atacantes estaban atacando nodos Lightning más antiguos y sin parches.
Core Lightning dijo que había recibido informes de ataques contra instalaciones vulnerables, aunque no había establecido si esos intentos habían resultado en el robo de fondos.
La investigación de seguridad continúa mientras los usuarios informan pérdidas en carteras
El diseño autoalojado de BTCPay Server brinda a los operadores control directo sobre sus sistemas de pago, incluidas las actualizaciones de software, la administración del servidor y las configuraciones de las carteras.
El proyecto ha recomendado limitar la cantidad de criptomonedas que se mantienen en carteras calientes y transferir los fondos excedentes a almacenamiento en frío, donde las claves privadas se mantienen fuera de línea.
Su última versión, la 2.4.7, fue identificada como la versión para la que el equipo no había recibido informes creíbles de drenajes de carteras. La declaración no estableció que todas las versiones anteriores estuvieran comprometidas ni que todas las instalaciones que ejecutaban una versión afectada hubieran sufrido una pérdida.
BTCPay Server ha solicitado a los operadores afectados que preserven y envíen los registros a su equipo de seguridad mientras los investigadores continúan examinando el acceso de administrador reportado por Dorier.
No se ha proporcionado un cronograma público para la finalización de la investigación, y el proyecto no ha anunciado ninguna recuperación de criptomonedas tomadas de las billeteras afectadas.
