BTCPay Server pidió el domingo 1 de noviembre apagar de inmediato los servidores que ejecutan su software después de recibir reportes sobre billeteras calientes vaciadas en varias instalaciones. El proyecto todavía no ha determinado cómo obtuvieron los atacantes acceso a esas instancias ni ha comunicado cuántos servidores o fondos estarían afectados.
La recomendación consiste en ejecutar ./btcpay-down.sh y mantener los servidores apagados hasta que concluya la investigación. La alerta se difundió hacia las 17:25, hora de Bogotá, según The Defiant y TokenPost.
Los robos apuntan a versiones antiguas
Nicolas Dorier, fundador de BTCPay Server, señaló que los casos reportados parecen involucrar versiones anteriores a la 2.4.2. Los servidores públicos del propio proyecto, que utilizaban la versión 2.4.7, no fueron atacados, de acuerdo con sus declaraciones recogidas por TokenPost.
Hasta las 21:45, hora de Bogotá, la versión más reciente seguía siendo la 2.4.7, publicada el 29 de octubre. No se había anunciado un parche específico para este incidente ni se habían ofrecido cifras sobre las pérdidas.
El historial del repositorio oficial muestra una sucesión de actualizaciones de seguridad. La versión 2.4.2, publicada el 7 de agosto, corrigió una vulnerabilidad crítica de credenciales de nodos Lightning LND que el proyecto describió como “explotada activamente”. También incluyó una corrección para evitar eludir el segundo factor de autenticación mediante la autenticación básica de la API Greenfield.
Las versiones posteriores —de la 2.4.3 a la 2.4.7— incorporaron nuevas correcciones relacionadas con permisos, claves API, cuentas de administrador, enlaces y entradas no confiables. La última actualización recogía 85 hallazgos de seguridad: uno crítico, 13 altos, 52 medios y 19 bajos.
Si los servidores afectados utilizaban una versión anterior a la 2.4.2, sus administradores habrían dejado sin aplicar durante al menos 86 días el parche publicado en agosto. Ese cálculo corresponde al periodo comprendido entre el 7 de agosto y el 1 de noviembre.
El acceso como administrador sigue sin explicación
Según Dorier, el atacante inició sesión como administrador en las instancias afectadas. El equipo de BTCPay Server no sabe todavía cómo consiguió esas credenciales.
La corrección relacionada con el bypass del doble factor aparece entre los cambios de la versión 2.4.2. También se desactivó por defecto la autenticación básica cinco minutos después de crear una cuenta. La posibilidad de que esa vulnerabilidad esté relacionada con los accesos es una hipótesis, no una conclusión del proyecto. También podrían existir otras vías, como contraseñas filtradas o reutilizadas.
BTCPay Server no ha publicado los detalles completos de los fallos críticos y altos incluidos en la 2.4.7. El proyecto explicó que los omitió de forma intencionada para dar tiempo a los administradores a actualizar. Los informes procedían del programa OSS Scanner de Anthropic e incluían pruebas y correcciones propuestas.
Qué implica para las billeteras y los servidores expuestos
El riesgo se concentra en las billeteras calientes porque sus frases semilla, es decir, las claves que permiten gastar los fondos, se almacenan en el propio servidor. Un administrador con control de la instancia puede mover ese saldo.
En cambio, una billetera fría o de solo lectura utiliza únicamente la clave pública extendida, conocida como xpub, para generar direcciones y consultar pagos. Las claves privadas permanecen fuera del servidor. Aun así, una intrusión podría permitir modificar la configuración de una tienda, incluida la xpub o las direcciones de destino, y desviar cobros futuros.
El proyecto recomienda apagar las instalaciones afectadas, contactar con el proveedor si la administración está externalizada y no volver a encender los servidores sin actualizarlos. También plantea recuperar los fondos de una billetera caliente desde otro entorno, considerar expuesta la semilla anterior y revisar usuarios administradores, claves API, webhooks, procesadores de pagos, pagos pendientes, configuraciones de correo y complementos.
El incidente llega después de otra vulnerabilidad crítica divulgada en agosto, que permitió obtener credenciales “macaroon” de nodos Lightning conectados a BTCPay Server. En aquel caso fueron citados entre los afectados Foundation y Citadel21. El proyecto aún debe publicar la causa de este nuevo ataque.
