BTCPay Server pide apagar instancias tras reportes de billeteras calientes drenadas
El proyecto BTCPay Server pidió a los operadores detener sus servidores tras recibir reportes de billeteras calientes vaciadas por atacantes no autorizados. La investigación sigue abierta y todavía no hay una explicación oficial del vector de ataque.
Lo esencial
- Qué pasó: BTCPay Server reportó drenajes de billeteras calientes en instancias autoalojadas y pidió apagarlas.
- Acción inmediata: los operadores deben ejecutar
./btcpay-down.shy esperar la investigación. - Alcance: el aviso habla de hot wallets, no de todas las carteras ni de todos los fondos de BTCPay.
- Sin confirmar: monto robado, número de servidores afectados, versiones vulnerables y causa raíz.
- Contexto: BTCPay publicó la versión 2.4.7 el 29 de octubre con 85 correcciones de seguridad; no hay confirmación de que este incidente esté relacionado.
Qué pasó
La cuenta oficial de BTCPay Server publicó la noche del 1 de noviembre de 2026 que estaba recibiendo reportes de billeteras calientes en servidores BTCPay siendo vaciadas por atacantes no autorizados. En el mismo mensaje pidió a cualquier persona que esté ejecutando una instancia que la apague con ./btcpay-down.sh hasta completar la investigación.
La alerta no incluyó una lista de versiones afectadas, una cifra de fondos sustraídos ni una explicación técnica. Tampoco indicó si el problema está en el servidor BTCPay, en un plugin, en una configuración de wallet o en otro componente.
Cronología oficial de @BtcpayServer
Publicaciones de la cuenta oficial de BTCPay Server desde la alerta del 1 de noviembre, convertidas a hora de Venezuela (UTC-4). La tabla se actualiza con las nuevas publicaciones que detecte el monitor.
| Hora (VE) | Publicación |
|---|---|
| 02 nov · 10:37 AM | BTCPay Server 📢 Incidento de Seguridad que Afecta a BTCPay Server 2.4.1 y Versiones Anteriores
Lee el aviso de seguridad completo, incluyendo detalles y cronogramas, en nuestro blog: https://t.co/YTlthDbLIM
Si te afectó, por favor envía todos los detalles y registros a security@btcpayserver.org https://t.co/dSAWHgW0fc Ver publicación |
| 02 nov · 12:07 AM | BTCPay Server 📢 Nuestra investigación de respuesta a incidentes identificó un vector de ataque que apuntaba a instancias que corrían versiones 2.4.1 (23 de julio de 2026) o versiones anteriores.
No tenemos informes creíbles de drenajes de cartera caliente para usuarios que están ejecutando la última versión 2.4.7. Volvemos a instar a todos a que mantengan actualizada su BTCPay Server.
Si fueron impactados, por favor envíen todos los detalles y registros a security@btcpayserver.org Ver publicación |
| 01 nov · 06:25 PM | BTCPay Server 🚨 Estamos recibiendo reportes de billeteras calientes en servidores BTCPay que están siendo vaciadas por atacantes no autorizados. Si estás ejecutando una instancia, apágala (./btcpay-down.sh) hasta que completemos la investigación. Ver publicación |
Solo incluye publicaciones de @BtcpayServer. Las traducciones son automáticas; el texto original se conserva en el monitor.
Lo que se sabe y lo que no
| Aspecto | Estado |
|---|---|
| BTCPay reportó drenajes de hot wallets | Confirmado por la cuenta oficial |
| Pidió apagar las instancias | Confirmado en el mismo aviso |
| Monto total sustraído | No confirmado |
| Versiones afectadas | No confirmado |
| Causa o vector de ataque | En investigación |
| Relación con la versión 2.4.7 | No confirmada |
| Alcance en servidores de terceros | Desconocido |
Qué deben hacer los operadores
- Apagar la instancia con
./btcpay-down.sh, como pidió el proyecto. - No borrar el servidor, los volúmenes, los logs ni los backups: pueden ser necesarios para la investigación.
- Guardar evidencia de contenedores, logs y movimientos recientes, sin exponer claves privadas ni seeds.
- No reiniciar hasta que BTCPay publique una actualización o una guía oficial.
- Revisar el estado de la wallet y de los fondos desde una fuente segura, sin compartir frases semilla.
- Monitorizar la cuenta oficial de X, el blog y GitHub de BTCPay Server.
Lo que no debes hacer
- No compartas tu seed, clave privada,
wallet.datni credenciales con nadie que diga ser soporte. - No envíes fondos a direcciones que lleguen por mensajes privados, correos o respuestas en redes sociales.
- No publiques logs con datos sensibles ni capturas que revelen claves o xpubs.
- No asumas que una hardware wallet o una cold wallet está automáticamente a salvo: verifica cada configuración.
- No sigas tutoriales no oficiales para “recuperar” fondos sin verificar la fuente.
Contexto: una racha de actualizaciones de seguridad
BTCPay Server es un procesador de pagos Bitcoin open source y autoalojado. Cada operador ejecuta su propio nodo, su servidor y, en muchos casos, su propia wallet. Eso reduce la dependencia de un intermediario, pero también traslada al operador la responsabilidad de asegurar la máquina y las claves.
El 29 de octubre de 2026, el proyecto publicó BTCPay Server 2.4.7, una versión que corrigió 85 hallazgos de seguridad detectados por el programa OSS Scanner de Anthropic: 1 crítico, 13 altos, 52 medios y 19 bajos, según las notas de la release. La actualización recomendaba actualizar, especialmente en servidores compartidos por varios comercios.
Antes, en agosto de 2026, BTCPay ya había atravesado otros incidentes de seguridad, incluido un compromiso del servidor del Plugin Builder y un exploit que afectó a nodos Lightning. El proyecto publicó entonces las versiones 2.4.2 y 2.4.4. No hay confirmación de que la alerta del 1 de noviembre sea el mismo problema ni de que esté relacionada con 2.4.7.
Cronología
| Fecha | Hecho |
|---|---|
| 29 oct 2026 | BTCPay publica la versión 2.4.7 con 85 correcciones de seguridad. |
| 1 nov 2026, noche | BTCPay alerta de reportes de hot wallets drenadas y pide apagar las instancias. |
| 1 nov 2026, 11:11 PM UTC | Medios especializados replican la alerta; no hay aún un comunicado técnico del proyecto. |
| Al cierre | No hay cifra, versiones afectadas ni causa confirmada. |
Preguntas frecuentes
Toca una pregunta para ver la respuesta.
¿BTCPay Server fue hackeado?
El proyecto reportó drenajes de billeteras calientes y pidió apagar las instancias. No ha confirmado la causa, el monto ni las versiones afectadas.
¿Qué hago si opero una instancia?
Apágala con ./btcpay-down.sh, conserva logs y backups, y no la reinicies hasta que BTCPay publique una actualización oficial.
¿Están seguros los fondos en una cold wallet?
El aviso se centra en hot wallets. Una cold wallet no está conectada al servidor, pero cada configuración debe verificarse y no se debe compartir la seed.
Fuentes
- BTCPay Server en X, alerta sobre hot wallets, 01-11-2026: x.com/BtcpayServer
- The Defiant, “BTCPay Server Urges Shutdown After Reports of Hot-Wallet Sweeps”, 01-11-2026: thedefiant.io
- GitHub, BTCPay Server 2.4.7: github.com/btcpayserver
- BTCPay Server Blog, “2.4.5: Security Hardening and a Leaner Docker Deployment”, 05-10-2026: blog.btcpayserver.org
- Documentación de BTCPay Server: docs.btcpayserver.org
Preguntas y comentarios
Deja tu pregunta, comentario u opinión sobre esta noticia. Los mensajes con enlaces, insultos o datos personales se ocultan para revisión.
Cargando comentarios…
Noticias Eulises no opera BTCPay Server ni custodia fondos. Esta nota se basa en el aviso público del proyecto y en reportes de prensa; el incidente está en desarrollo. No es asesoramiento financiero ni instrucciones de recuperación.