BTCPay Server insta a los operadores a apagar sus servidores tras informes de vaciado de hot wallets
BTCPay Server, el software de pagos en bitcoin de código abierto, pidió a los operadores que apagaran sus instancias tras informes de barridos no autorizados de hot wallets. El fundador del proyecto indica que las versiones afectadas parecen ser anteriores a la 2.4.2, mientras que el proyecto ahora señala la 2.4.1 y anteriores.
Escrito por la redacción de IA de CoinArticle · a partir de 3 fuentes citadas. Cómo trabajamos
Lo que BTCPay pidió a los operadores
BTCPay Server, el software de pagos en bitcoin de código abierto, pidió el domingo a los operadores que apagaran sus instancias mientras investiga los informes de que atacantes no autorizados estaban vaciando hot wallets conectadas a ellas. En una publicación en X a las 5:25 p. m. ET, el proyecto indicó a los usuarios que ejecutan una instancia que la detuvieran con ./btcpay-down.sh hasta que concluya la investigación. Decrypt y CoinDesk informaron sobre la solicitud.
Algunos proveedores de alojamiento, entre ellos LunaNode, han apagado automáticamente instancias de BTCPay para limitar la explotación de versiones antiguas, según el proyecto. El proyecto no ha indicado cuántos servidores resultaron afectados ni cuántos bitcoin fueron sustraídos.
Versiones afectadas y vector de ataque
El alcance es más limitado de lo que sugería la alerta inicial. Unas dos horas después de la primera publicación, el fundador Nicolas Dorier dijo que los informes parecían referirse a versiones anteriores a la 2.4.2 y que el atacante había iniciado sesión en los servidores afectados con acceso de administrador. Más tarde el domingo, el proyecto indicó que su investigación había identificado un vector de ataque dirigido a instancias que ejecutan la versión 2.4.1, publicada el 23 de julio, o anteriores.
El proyecto afirmó que no tiene informes creíbles de vaciados de hot wallets en la última versión, la 2.4.7. Pidió a los usuarios afectados que envíen detalles y registros a su equipo de seguridad. La cifra 2.4.2 del fundador y el límite 2.4.1 y anteriores del proyecto son declaraciones atribuidas, y el proyecto no ha publicado un aviso formal que concilie ambas.
Hot wallets e historial reciente de versiones
Dado que BTCPay es autoalojado, cada comerciante ejecuta el software en su propio servidor, por lo que no existe un operador central que pueda desactivar las instancias. Los comerciantes pueden utilizar una hot wallet, que mantiene la semilla de la cartera en un servidor conectado a internet para firmar transacciones de forma automática. La documentación de BTCPay etiqueta esta función como "DANGER" y advierte que "conlleva implicaciones de seguridad".
El proyecto publicó la versión 2.4.7 el jueves como una actualización de emergencia que corrige una vulnerabilidad crítica y varias de gravedad media, que, según indicó, fueron identificadas mediante el escáner de software de código abierto de vanguardia de Anthropic. BTCPay no ha dicho si los ataques explotaron alguna de esas fallas. En agosto, el proyecto advirtió que una vulnerabilidad crítica que afectaba a todas las versiones anteriores a la 2.4.2 estaba siendo explotada activamente. Posteriormente, los partidarios financiaron una recompensa de recuperación del 10 % de cualquier fondo robado que fuera devuelto, con un límite de 3 BTC.
Pérdidas y preguntas abiertas
No se ha publicado ninguna cifra de pérdidas, y el proyecto no ha indicado cuántas carteras ni cuántos bitcoin podrían estar implicados. Tampoco ha anunciado un análisis post mortem formal. Hasta que se publique uno, el alcance total del incidente y el límite exacto de versiones siguen sin resolverse.
Por qué importa
Para los traders
Los comerciantes y servicios que aceptan bitcoin a través de BTCPay podrían sufrir interrupciones en sus pagos, pero la falta de una cifra de pérdidas dificulta calcular el impacto en el mercado.
Para los inversores
Los incidentes de seguridad reiterados en infraestructura de pagos de código abierto muy utilizada pueden erosionar la confianza en los sistemas de pago en bitcoin autoalojados, incluso cuando el daño queda contenido.
Para los desarrolladores
Los operadores deben confirmar la versión instalada frente tanto al límite de la 2.4.1 y anteriores como a la referencia de la 2.4.2 del fundador, actualizar a la 2.4.7 y auditar las claves de sus hot wallets hasta que se publique un aviso oficial.
Este artículo es solo informativo y no constituye asesoramiento financiero. Lee el aviso legal completo.
