Vaciado de Hot Wallets en BTCPay Server

Entre el 30 de octubre y el 2 de noviembre de 2026, los atacantes drenaron las hot wallets de comerciantes que ejecutaban instalaciones desactualizadas de BTCPay Server, llevándose aproximadamente 1,6 millones de dólares — unos 18,38 BTC y 3.405 LTC — en una campaña de 682 pequeños barridos automatizados contra servidores de pago autoalojados.

Qué ocurrió

BTCPay Server es software de código abierto y autoalojado que permite a los comerciantes aceptar pagos en Bitcoin y Lightning directamente en sus propias hot wallets. BTCPay dijo que los ataques "apuntaron a servidores que ejecutaban BTCPay Server 2.4.1 (lanzado el 23 de julio de 2026) o anterior", y no reportó drenajes creíbles en la versión actual 2.4.7. El proyecto no ha revelado exactamente qué fallo dio al ladrón acceso de administrador; su desarrollador principal señaló "rastros de que se usaron vulnerabilidades previas a 2.4.2", y un error crítico de agosto de 2026 — parcheado en la versión 2.4.2 el 7 de agosto — había permitido a atacantes no autenticados filtrar credenciales de Lightning de LND.

Según la investigación de Bitquery, el primer barrido visible ocurrió el 30 de octubre a las 08:22 UTC, y el 87 % de los fondos se movió en una sola oleada el 1 de noviembre entre las 14:12 y las 22:16 UTC. BTCPay publicó su alerta pública a las 22:25 del 1 de noviembre — unas 62 horas después del primer robo — pero 267 barridos más por unos 150.000 USD continuaron hasta la mañana del 2 de noviembre. De los 682 barridos totales, cerca de la mitad fueron de menos de 100 USD, mientras que 32 barridos de 10.000 USD o más acapararon el 77 % del valor. BTCPay nombró una dirección colectora de Bitcoin (bc1p0f7wm…) y una de Litecoin (ltc1qp49tm…); al 2 de noviembre la mayor parte del botín seguía inmóvil en direcciones de pago nuevas, sin que se observara retiro a exchanges.

Consecuencias

• BTCPay instó a cada operador a tratar toda la máquina y todos los secretos en ella como comprometidos, reconstruir en un servidor nuevo con una semilla de wallet totalmente nueva y mantener solo fondos operativos en almacenamiento caliente.
• Se dijo a los operadores que parchear por sí solo es insuficiente: los atacantes pueden conservar el acceso mediante credenciales robadas, por lo que se recomendó rotar claves de API, contraseñas de administrador y activar 2FA.
• La versión 2.4.7 había corregido antes un problema crítico y varios de severidad media detectados por escaneo automatizado de seguridad de código abierto.
• No se ha establecido ninguna identidad del atacante y el número de servidores afectados sigue siendo desconocido; los totales de Bitquery son un piso que cubre solo las wallets nombradas.

Por qué importa

El incidente de BTCPay es un robo en la capa de infraestructura y no un exploit de contrato inteligente: los fondos no se tomaron rompiendo un protocolo, sino comprometiendo el software autoalojado que los custodiaba. Refleja un patrón recurrente de 2026 en el que el compromiso operativo y de servidores — no los fallos de contrato — impulsa las pérdidas de custodia, como se vio en la intrusión al servidor de Gamdom y en la brecha de hot wallet de Mercado Bitcoin. También es una dura lección sobre la latencia de parcheo: la corrección se había publicado 86 días antes, pero cientos de operadores seguían ejecutando versiones vulnerables, y la larga cola de barridos de menos de 100 USD muestra cómo los atacantes raspan metódicamente incluso los saldos más pequeños de los comerciantes una vez que tienen el acceso de administrador en sus manos.