El fundador de BTCPay vincula los barridos de monederos calientes a inicios de sesión de administradores en servidores anteriores a la versión 2.4.2
- Nicolas Dorier, fundador de BTCPay Server, dijo que los vaciados de billeteras calientes del domingo parecen involucrar servidores que ejecutan versiones anteriores a la 2.4.2.
- El atacante inició sesión como administrador en esas instancias, y el equipo aún no sabe cómo.
- BTCPay encontró un vector de ataque dirigido a la versión 2.4.1 o anterior y no tuvo informes creíbles de drenaje en la 2.4.7.
Los vaciados de billeteras calientes reportados el domingo parecen involucrar servidores que ejecutan versiones anteriores a la 2.4.2, dijo Nicolas Dorier, fundador de BTCPay Server.
El atacante inició sesión como administrador en esas instancias y el equipo aún está averiguando cómo.
La investigación señala el vector de ataque en las versiones 2.4.1 o anteriores
BTCPay envió una alerta a las 5:25 p. m. ET del domingo. Recomendó a cualquier persona que ejecutara una instancia que la apagara con ./btcpay-down.sh hasta que finalice la investigación.
Dorier publicó sobre 2 horas después. Los servidores públicos de BTCPay que ejecutaban la versión 2.4.7 no fueron atacados, dijo.
Dorier más tarde declaró que el equipo tenía rastros de que «se habían utilizado vulnerabilidades anteriores a la versión 2.4.2».
La actualización de BTCPay a las 11:07 p. m. ET acotó el objetivo. La investigación encontró un vector de ataque dirigido a instancias que ejecutan la versión 2.4.1 lanzada el 23 de julio o versiones anteriores.
El proyecto «no tenía informes creíbles de vaciado de carteras calientes» por parte de usuarios en la versión 2.4.7, lanzada el 29 de octubre. Recomendó a los operadores mantener el software actualizado y pidió a las víctimas enviar detalles y registros a su equipo de seguridad.
Algunos proveedores de alojamiento pueden haber apagado automáticamente las instancias para evitar que se exploten las versiones antiguas. BTCPay agradeció a LunaNode y a otros por su acción rápida.
Los operadores que hayan actualizado al menos una vez desde que se lanzó la versión 2.4.2 no tienen «motivo para entrar en pánico», según lo dijo Dorier también advirtió a los usuarios que no mantengan demasiado dinero en una billetera caliente, prometiendo publicar un artículo con más detalles.
Los vaciados del domingo alcanzaron fondos que la advertencia de agosto consideraba seguros
Dado que BTCPay es autoalojado, el proyecto no puede cambiar el servidor de un comerciante ni apagarlo. Su modo de billetera caliente firma pagos con una semilla almacenada en ese servidor, lo que significa que quien controle ese servidor puede mover las monedas.
La línea 2.4.2 se remonta a agosto. BTCPay lanzó la versión 2.4.2 el 7 de agosto para parchear una vulnerabilidad crítica que ya estaba siendo atacada, Cryptopolitan informó.
Todas las versiones anteriores, incluidas las candidatas a lanzamiento 2.4.2, permitían a un atacante no autenticado robar las credenciales macaroon de LND. Un atacante podía tomar el control de un nodo Lightning y usarlo para mover sus fondos.
La Fundación y Citadel21 reportaron ataques contra sus nodos Lightning. Craig Raw, desarrollador de Sparrow Wallet, dijo que también fue afectado.
Con el lanzamiento de la versión 2.4.2, los macaroons de LND se regeneraron automáticamente. Cuando los operadores exponían LND a través de su propio proxy, servicio Tor o puerto reenviado, tenían que cambiar esas credenciales manualmente.
La versión 2.4.2 también corrigió una vulnerabilidad separada de evasión de autenticación de dos factores TOTP mediante la Autenticación Básica de la API Greenfield, reportada el 4 de agosto. BTCPay indicó que el error no estaba relacionado con el robo de macaroons.
El aviso de BTCPay indicó que sus propias billeteras on-chain, incluidas las billeteras calientes, no se vieron afectadas por esa falla. Los informes del domingo indicaron que las billeteras calientes estaban siendo vaciadas.
Ni BTCPay ni Dorier han dicho si el atacante explotó el error de macaroon de agosto o alguna otra vulnerabilidad anterior a la 2.4.2. En agosto, los patrocinadores ofrecieron una recompensa de recuperación del 10% de los fondos devueltos, hasta 3 BTC.
River informó que el uso promedio de Bitcoin por parte de los comerciantes creció un 74% en 2025, con el volumen de Lightning superando los $1.000 millones mensuales.
Las mentes más inteligentes del mundo cripto ya leen nuestro boletín. ¿Quieres unirte? Únete a ellos.
Preguntas frecuentes
¿Qué les pidió BTCPay Server a los operadores?
Apagar sus instancias con `./btcpay-down.sh` hasta que finalice la investigación.
¿Se vieron afectados las billeteras calientes en el incidente anterior de agosto?
No. BTCPay indicó que sus billeteras on-chain, incluidas las billeteras calientes, no se vieron afectadas por la vulnerabilidad de agosto.
¿Qué versiones de BTCPay eran vulnerables al error de agosto?
Cada versión anterior a la 2.4.2, incluyendo sus candidatas a lanzamiento, exponía las credenciales macaroon de LND.
Descargo de responsabilidad. La información proporcionada no constituye asesoramiento financiero. Cryptopolitan.com no asume ninguna responsabilidad por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente realizar una investigación independiente y/o consultar con un profesional calificado antes de tomar cualquier decisión de inversión.
Randa Moses
Randa Moses es editora y reportera en Cryptopolitan, donde cubre tecnología, IA, robótica, criptomonedas, estafas y ciberataques. Ha trabajado en el espacio de las criptomonedas desde 2017. Ocupó cargos en Forward Protocol, AmaZix y Cryptosomniac. Randa posee un grado en Ingeniería Eléctrica y Electrónica de la Universidad de Bradford.
