Una nueva alerta ha surgido en el sector cripto, específicamente con BTCPay Server, porque lo que comenzó a finales de octubre como una actualización de seguridad preventiva se ha transformado a inicios de noviembre en una emergencia activa para la comunidad de Bitcoin.
BTCPay Server, el procesador de pagos de código abierto de referencia en el ecosistema cripto, ha confirmado que atacantes no autorizados están explotando vulnerabilidades en instancias desactualizadas para infiltrarse como administradores y vaciar los monederos activos (hot wallets) de los comercios afectados.
To update: – In BTCPay Server: If you’re a server admin, go to Server Settings → Maintenance → click the Update button. – Docker (most servers): Log in over SSH and run: sudo su – cd btcpayserver-docker btcpay-update(.)sh (remove parentheses) – Node platforms (@umbrel @start9labs etc): Install the update as soon as your platform makes it available.
— BTCPay Server (@BtcpayServer) October 29, 2026
29 de octubre: BTCPay Server lanza de emergencia la versión 2.4.7 tras corregir una vulnerabilidad crítica y varias de severidad media. La falla fue descubierta gracias a la herramienta de escaneo de código abierto Frontier OSS de Anthropic. En ese momento, el equipo urgió a los administradores a actualizar.
UPDATE: https://t.co/kLmxewna4W
— BTCPay Server (@BtcpayServer) November 2, 2026
Sin embargo, el 1 de noviembre: Se encienden las alarmas. Tras recibir múltiples reportes de usuarios sufriendo el drenaje de sus fondos en Bitcoin y Litecoin, el equipo emite una alerta crítica pidiendo a todos los administradores apagar inmediatamente sus servidores (./btcpay-down.sh) mientras investigaban el vector de ataque.
If you run BTCPay Server through a hosting provider, your instance may have been shut down automatically to keep older versions from being exploited. We thank @LunaNode and other hosting providers for their swift action after our initial announcement.
— BTCPay Server (@BtcpayServer) November 2, 2026
Y luego este lunes, 2 de noviembre: Las investigaciones preliminares, confirmadas por el fundador del proyecto, Nicolas Dorier, revelan que el ataque está dirigido específicamente a servidores que ejecutan la versión 2.4.1 (lanzada el 23 de julio de 2026) o anteriores.
Update on my part: Our public servers were not attacked (on 2.4.7), it seems reports are on before 2.4.2. The attacker managed to log in as admin on those instance, we are still trying to figure out how.
— Nicolas Dorier (@NicolasDorier) November 2, 2026
“Actualización de mi parte: Nuestros servidores públicos no fueron atacados (en 2.4.7), parece que los reportes son anteriores a 2.4.2. El atacante logró iniciar sesión como administrador en esas instancias, todavía estamos tratando de averiguar cómo”, aclaró Dorier.
Para frenar la ola de robos, proveedores de alojamiento VPS como LunaNode actuaron rápidamente desactivando e aislando de forma automática las instancias de BTCPay Server que ejecutaban versiones vulnerables.
Por su parte, el equipo del proyecto ha instado, a que cualquier afectado pueda enviar sus registros de auditoría (logs) a [email protected] para colaborar con las investigaciones y presentar las denuncias pertinentes ante las autoridades.
Este ataque ocurre en un contexto de altísima tensión para la ciberseguridad cripto, apenas días después de la explotación masiva a Binance atribuida a grupos de ciberguerra estatal, y tres meses después de que BTCPay sufriera otro incidente relacionado con credenciales macaroon en nodos LND.
De allí que, la recomendación oficial es categórica como se informó en el Blog oficial: ningún servidor debe estar en línea si ejecuta la versión 2.4.1 o inferior. Si no has actualizado: Apaga la instancia inmediatamente desde la terminal con ./btcpay-down.sh.
Si usas la interfaz web: Ve a Configuración del servidor → Mantenimiento → Actualizar a la versión 2.4.7. Si usas Docker (SSH): Bash sudo su – cd btcpayserver-docker para luego ejecutar: ./btcpay-update.sh. Si usas plataformas como Umbrel o Start9: Aplica la actualización de la tienda de aplicaciones tan pronto como esté disponible.
BTCPay Server es importante porque se utiliza en el procesamiento de pagos de código abierto, autofacturado y sin intermediarios. A diferencia de servicios comerciales tradicionales donde un tercero procesa los fondos y cobra un porcentaje por transacción, BTCPay Server te permite conectarte directamente a tu propio nodo de Bitcoin y Lightning Network.
En términos sencillos: sus usuarios son su propia pasarela de pagos. No hay comisiones por transacción (más allá de las propias de la red blockchain), no hay registros de KYC (“Know Your Customer”) impuestos por intermediarios corporativos, y los fondos van directamente a tu monedero sin pasar por cuentas de terceros.
Además, posee varias ventajas clave que lo convierten en una interesante opción desde el punto de vista comercial. Se paga cero comisiones por intermediación, ya que al eliminar a los procesadores de pagos tradicionales, el dinero va íntegramente del cliente a tu monedero. Esto es ideal para optimizar márgenes operativos.
Provee a sus usuarios de soberanía y privacidad, porque ninguna empresa externa recopila los datos de tus clientes ni puede congelar tus fondos por disputas comerciales o políticas de uso arbitrarias.
Asimismo brinda una integración nativa con Lightning Network, lo que permite pagos instantáneos con comisiones de fracciones de centavo, abriendo la puerta a micropagos y transacciones globales en segundos.
Del mismo modo, BTCPay Server, ofrece flexibilidad de despliegue, ya que cualquiera puede alojarlo en su propio servidor privado virtual (VPS) económico, en un dispositivo de hardware dedicado (como una Raspberry Pi con RaspiBlitz o Start9), o utilizar proveedores de alojamiento de terceros que ofrecen instancias gestionadas sin sacrificar el control de tus llaves privadas.
Y por su fuera poco, posee un ecosistema de plugins oficiales y conexión a pasarelas de pago con que se han ido integrando con ayuda de la comunidad para integrarse sin fricciones en plataformas de comercio electrónico como WooCommerce, Shopify, PrestaShop, o mediante APIs personalizadas para aplicaciones a medida.
Claramente, este incidente ataca una vez más, la decisión de los usuarios cripto de tener su propia soberanía financiera a través del software de código abierto, para eliminar los riesgos de censura y comisiones de terceros, pero exige una disciplina estricta de parcheo y mantenimiento de infraestructura.
De todos modos, los operadores de BTCPay Server que son una gran comunidad a nivel global, queda claro que deben actualizar a la versión 2.4.7 de inmediato o mantener el servidor fuera de línea si no quieren perder sus fondos.