El responsable de BTCPay Server, un procesador de pagos con criptomonedas de código abierto, está advirtiendo a los usuarios sobre ataques que han vaciado billeteras calientes en instancias que ejecutaban software desactualizado. Se insta a los operadores que utilizan versiones afectadas a desconectar sus servidores y actualizarse lo antes posible.
El proyecto afirmó que su investigación identificó un vector de ataque dirigido contra BTCPay Server versión 2.4.1, publicada el 23 de julio de 2026, y versiones anteriores. Recomienda actualizar a la versión 2.4.7, aunque señaló que no tiene informes creíbles de robos de billeteras calientes a usuarios que ejecuten la versión más reciente.
El fundador de BTCPay, Nicolas Dorier, afirmó que los ataques no se dirigieron contra servidores públicos. Los investigadores están examinando cómo el atacante obtuvo acceso de administrador a instalaciones que ejecutaban versiones anteriores a la 2.4.2.
BTCPay Server permite a las empresas procesar pagos con Bitcoin y otros activos digitales directamente en sus propias billeteras. La plataforma gestiona las facturas de pago del proceso de compra y la verificación de pagos, incluidas las transacciones realizadas a través de Lightning Network.
El 29 de octubre, el proyecto divulgó una vulnerabilidad crítica identificada por el escáner Frontier OSS de Anthropic y publicó la versión 2.4.7 como una actualización de seguridad de emergencia. Posteriormente, Dorier afirmó que había indicios de que el atacante reciente había aprovechado vulnerabilidades en versiones anteriores a la 2.4.2, un vínculo que el proyecto confirmó después. BTCPay Server no ha especificado qué fallo se está explotando en los ataques actuales.
Se pide a los usuarios que crean estar afectados que envíen detalles y registros de actividad a security@btcpayserver.org. La actualización puede instalarse mediante Ajustes del servidor → Mantenimiento → Actualizar. Los administradores que utilizan Docker pueden actualizarse conectándose mediante SSH, cambiando al directorio de implementación de BTCPay y ejecutando el script de actualización del proyecto.
El proyecto ya había advertido, el 7 de agosto, que un fallo corregido en la versión 2.4.2 estaba siendo explotado activamente para exponer archivos de credenciales de LND, lo que potencialmente permitía a los atacantes controlar los nodos de Lightning afectados y robar fondos.
Fuentes: BleepingComputer.