BTCPay Server ha recomendado a los usuarios actualizar su software de pagos con criptomonedas autogestionado tras recibir informes de que unos atacantes robaron Bitcoin y Litecoin de monederos calientes en instancias antiguas. La investigación del proyecto determinó que los ataques se dirigieron a servidores que ejecutaban la versión 2.4.1 o anteriores.
La vulnerabilidad se corrigió en la versión 2.4.2, publicada el 7 de agosto de 2026. BTCPay Server recomienda a los usuarios de la versión 2.4.1 o anteriores migrar a un servidor nuevo y crear un monedero nuevo, incluso si no han detectado ningún robo. Cualquier persona que sospeche que hubo acceso no autorizado debe considerar que la máquina y todos los secretos almacenados en ella están comprometidos y seguir los mismos pasos de recuperación.
Se desconoce cuándo comenzaron los atacantes a explotar la falla. Los informes sobre esta actividad surgieron alrededor del 1 de noviembre de 2026. BTCPay Server dijo que no había recibido informes creíbles de vaciado de monederos calientes de usuarios que ejecutaran la versión 2.4.7, que corrige una vulnerabilidad crítica y varias de gravedad media identificadas mediante el escáner OSS de Anthropic.
El proyecto también recomendó a los usuarios que necesiten un monedero caliente para las operaciones diarias mantener en el servidor solo los fondos necesarios y guardar los activos restantes en un monedero cuyas claves de gasto se almacenen en otro lugar. Es posible que las instancias administradas por proveedores de alojamiento se hayan apagado automáticamente para impedir que se explotaran las versiones antiguas.
Fuentes: The Hacker News.