Hackers Exploit BTCPay Server Flaw to Steal Bitcoin and Litecoin From Hot Wallets

El software de procesamiento de pagos de código abierto BTCPay Server reportó que atacantes están explotando vulnerabilidades en versiones 2.4.1 o anteriores para robar fondos. Según análisis de la firma Bitquery, se han rastreado aproximadamente 1.63 millones de dólares en robos, consistentes en 18.38 BTC y 3,405 LTC, distribuidos en 682 movimientos de fondos entre el 30 de octubre y el 2 de noviembre de 2026.

Aunque BTCPay Server lanzó un parche en la versión 2.4.2 el 7 de agosto de 2026, los atacantes utilizaron un método distinto para comprometer los sistemas. El problema radica en que, una vez que un atacante obtiene acceso administrativo, instalar la actualización no garantiza que el intruso sea expulsado, ya que pudo haber robado credenciales o claves secretas.

La investigación indica que los atacantes pudieron haber obtenido archivos de credenciales .macaroon para LND (una implementación de la red Lightning), lo que les permite tomar el control de un nodo y mover fondos. Se ha confirmado que las billeteras cuya clave privada se mantiene fuera del servidor, como las billeteras de hardware (cold wallets), no se han visto afectadas.

El incidente ocurre en un contexto de alta actividad delictiva en el sector, que incluye el robo de 6.43 mil millones de dólares en Binance por actores de Corea del Norte y un ataque de cadena de suministro contra dispositivos Trezor Safe 5 vendidos por terceros.

Qué significa para una pyme colombiana y cucuteña: Si usted utiliza BTCPay Server para recibir pagos, no basta con actualizar el software. Si alguna vez usó la versión 2.4.1 o inferior, debe asumir que su servidor está comprometido: debe migrar a un servidor completamente nuevo, generar una nueva frase semilla (seed phrase) y cambiar todas sus contraseñas de acceso (SSH, API y hosting). Para proteger su capital, mantenga en el servidor únicamente el dinero necesario para la operación diaria y guarde el resto en una billetera de hardware fuera de línea.