Puntos clave de la noticia:
- BTCPay Server pidió apagar las instancias tras reportes de atacantes drenando hot wallets conectadas, mientras el equipo investigaba el vector del incidente.
- La investigación redujo la exposición a la versión 2.4.1 y anteriores. BTCPay afirmó no tener reportes creíbles de drenajes en la versión 2.4.7.
- Los atacantes obtuvieron acceso de administrador en servidores, pero el método de entrada sigue sin resolverse. BTCPay tampoco ha publicado pérdidas ni número de víctimas.
BTCPay Server pidió a los operadores apagar sus instancias después de recibir reportes de atacantes drenando Bitcoin desde hot wallets conectadas. En una alerta oficial de seguridad, el proyecto recomendó ejecutar su comando de apagado mientras continuaba la investigación. Como cada comercio opera una instancia self-hosted, BTCPay no puede desactivar servidores centralmente, por lo que cada operador debía actuar. La advertencia afecta a infraestructura de pagos de Bitcoin, no al protocolo, y el proyecto no reveló cuántos operadores fueron afectados ni el valor sustraído.
📢 Our incident response investigation identified an attack vector targeting instances running versions 2.4.1 (Jul 23, 2026) or older.
We have no credible reports of hot wallet drains for users running the latest 2.4.7 release. We again urge everyone to keep their BTCPay Server… pic.twitter.com/gYxK4Bb7fc
— BTCPay Server (@BtcpayServer) November 2, 2026
La investigación limita el vector de ataque a versiones antiguas de BTCPay Server
Una actualización posterior identificó el vector de ataque como aplicable a BTCPay Server 2.4.1, publicada el 23 de julio de 2026, y versiones anteriores. El equipo afirmó no haber recibido reportes creíbles de drenajes de hot wallets relacionados con la versión 2.4.7 e instó a mantener las instalaciones actualizadas. Esto reduce el alcance de la alerta inicial, emitida antes de identificar las versiones afectadas.
Nicolas Dorier explicó que el atacante obtuvo acceso con privilegios de administrador en las instancias afectadas, aunque todavía no se había determinado cómo consiguió ese acceso. Los servidores públicos de BTCPay usaban 2.4.7 y no fueron atacados. Como las hot wallets mantienen material de firma disponible online, comprometer la administración puede exponer los fondos almacenados. El incidente afecta entornos self-hosted comprometidos, no el consenso ni la validación de transacciones de Bitcoin.
El incidente llega después de otro evento de seguridad en agosto. Aquella vulnerabilidad llevó a una actualización urgente a la versión 2.4.2 después de que atacantes obtuvieran credenciales relacionadas con Lightning y robaran fondos. Crypto Economy cubrió la vulnerabilidad crítica de BTCPay y la actualización de emergencia, seguida por la recompensa del 10% para recuperar Bitcoin robado a comerciantes. La información disponible no establece si el vector de noviembre está relacionado con el fallo de agosto.
BTCPay todavía no ha publicado una cifra definitiva de pérdidas, número de víctimas ni un post-mortem técnico completo sobre los nuevos drenajes. El proyecto pidió a los operadores afectados compartir detalles y logs mientras continúa la investigación. El episodio se suma a alertas en infraestructura Bitcoin, incluida la recomendación de apagado de Core Lightning. Para los usuarios de BTCPay, la diferencia depende de la versión: las instalaciones antiguas son el objetivo identificado, mientras 2.4.7 no tenía reportes creíbles de drenaje en la actualización más reciente.
