BTCPay Server, un procesador de pagos Bitcoin de código abierto, emitió una advertencia urgente de cierre el 1 de nov. 2026 tras informes de que atacantes estaban vaciando bitcoin de hot wallets vinculados a servidores de pago auto‑alojados. La alerta, publicada por la cuenta oficial del proyecto alrededor de las 22:25 UTC, instruía a los operadores a desconectar sus instancias usando el comando ./btcpay-down.sh hasta que se determinara la causa de la brecha. El colaborador principal “Uncle Rockstar Developer” enfatizó la gravedad, diciendo: “No es un simulacro: cierren su BTCPay Server si tienen un hot wallet.”

BTC / USD
Fuente: CoinGecko. Precios orientativos.

La investigación apunta a versiones heredadas

El fundador Nicolas Durier aclaró que los despliegues comprometidos ejecutaban versiones de BTCPay Server anteriores a la 2.4.2. Indicó que rastros forenses mostraron que los atacantes obtuvieron acceso de administrador mediante vulnerabilidades presentes en esas versiones antiguas. En contraste, los servidores públicos y de demostración con la recién lanzada versión 2.4.7 parecían no estar afectados, lo que sugiere que la brecha no fue causada por la última actualización. La versión 2.4.2 ya había parcheado una vulnerabilidad separada que permitía acceso no autenticado a credenciales macaroon del Lightning Network Daemon, pero aún no está claro si el robo actual involucró ese fallo u otro problema más antiguo.

Revisión de seguridad impulsada por IA precedió al incidente

Días antes del aviso de emergencia, BTCPay Server lanzó la versión 2.4.7 el 29 de oct., incorporando correcciones para 85 vulnerabilidades identificadas mediante la iniciativa de escaneo de seguridad de código abierto de Anthropic. El parche abordó una crítica, 13 de alta gravedad, 52 de gravedad media y 19 de baja gravedad. Mientras la revisión asistida por IA resaltó el creciente papel de las herramientas de aprendizaje automático en el descubrimiento de vulnerabilidades, el incidente subraya la brecha entre publicar parches y que los operadores realmente los apliquen. Muchos comerciantes, incluidos Coincards, apagaron sus instalaciones de BTCPay inmediatamente tras la advertencia, sacrificando la disponibilidad de pagos para proteger los fondos.

Qué observar a continuación

La comunidad de BTCPay ha prometido un informe técnico más detallado, que debería revelar si el robo explotó una falla conocida o un vector de ataque nuevo. Los observadores también vigilarán la rapidez con que los comerciantes adoptan la versión 2.4.7 y futuras actualizaciones, así como cualquier guía de la infraestructura Bitcoin más amplia sobre mejores prácticas para hot‑wallets. El episodio plantea preguntas más amplias sobre la capacidad de los servicios de pago operados de forma independiente para mantenerse al día con las divulgaciones de vulnerabilidades impulsadas por IA.