Noticias › Seguridad

Seguridad

BTCPay Server pide a los operadores que apaguen sus servidores tras informes de carteras calientes vaciadas

El aviso del 2 de noviembre pide ejecutar ./btcpay-down.sh en instalaciones con la 2.4.1 o anterior; aún no se han publicado pérdidas ni número de servidores.

BTCPay Server, el software libre que usan miles de comercios para cobrar en Bitcoin sin intermediarios, emitió el 2 de noviembre una alerta de seguridad poco habitual: pidió a los operadores que apagaran temporalmente sus instalaciones con el script ./btcpay-down.sh después de recibir informes de carteras calientes vaciadas. La fecha exacta varía según la fuente, una de ellas habla del 1 de noviembre, pero el contenido del aviso es coherente en todas.

El vector sospechoso afecta a instalaciones con la versión 2.4.1 o anterior. Algunos proveedores de alojamiento, entre ellos LunaNode, apagaron por precaución parte de las instalaciones que gestionan. Es la segunda alerta de este tipo en 2026: en agosto el proyecto avisó de una vulnerabilidad explotada activamente que permitía vaciar nodos Lightning que funcionaban detrás de BTCPay, y recomendó actualizar a la versión 2.4.2 o, si no era posible, apagar el servidor.

Conviene separar bien los hechos de lo que todavía no se sabe. El proyecto no ha revelado cuánto se ha sustraído, cuántos servidores se han visto comprometidos ni cuántos usuarios han comunicado pérdidas. Tampoco está claro si el incidente de noviembre guarda relación con el fallo de agosto. A los afectados se les pide que envíen los detalles y los registros a la dirección de seguridad del proyecto, y mientras no haya un análisis publicado, cualquier cifra que circule debe tratarse con cautela.

En agosto, BTCPay precisó que sus carteras estándar en cadena, incluidas las carteras calientes generadas dentro de la propia herramienta, no estaban afectadas por el fallo de Lightning. Esa distinción es útil, pero no sirve de coartada para el caso actual, en el que las informaciones hablan precisamente de carteras calientes. La conclusión práctica es la misma: si administras un servidor, sigue el canal oficial de avisos, actualiza y no dejes fondos en una cartera caliente más allá de lo que necesitas para operar.

Para un comercio, la regla de higiene es antigua pero se olvida: la cartera caliente de un servidor de cobros debe ser un monedero de gasto, no un ahorro. Lo que se recibe se barre con regularidad a una cartera fría o a una configuración con firmas múltiples, de manera que un fallo del software exponga el saldo de un día y no el de un año.

Estos incidentes también recuerdan por qué autoalojarse tiene un precio. Quien monta su propio BTCPay gana soberanía y elimina intermediarios, pero asume el trabajo de vigilar avisos y actualizar. Es un intercambio razonable, siempre que se haga con calendario, copias de seguridad y fondos limitados en el servidor. BitCorner seguirá la evolución de este caso y actualizará esta información cuando el proyecto publique su análisis.

Solo hechos, nunca asesoramiento financiero.