Actualización (3 de nov. de 2026, 7h UTC): Este artículo ha sido actualizado para incluir comentarios de un portavoz del BTCPay Server e información adicional del comunicado oficial de seguridad del proyecto.

Los atacantes robaron Bitcoin y Litecoin a usuarios que estaban utilizando una versión desactualizada del software BTCPay Server, explotando una vulnerabilidad de seguridad que el proyecto ya había corregido en agosto.

La plataforma de pagos en Bitcoin anunció el lunes que los robos afectaron a las versiones 2.4.1 y anteriores. Según el proyecto, los usuarios que instalaron la corrección del 7 de agosto antes del domingo aparentemente no se vieron afectados.

Inicialmente, BTCPay recomendó a los operadores que desactivaran sus servidores mientras investigaba los saques no autorizados de las carteras de usuarios. El proyecto también pidió a los proveedores de alojamiento que eliminaran las instancias del BTCPay Server como medida de precaución.

Se trata de la misma vulnerabilidad, pero se ha utilizado un método de ataque diferente.

Dicha vulnerabilidad también estuvo implicada en un ataque en agosto que expuso los datos de autenticación utilizados para realizar pagos a través de la tecnología Lightning. BTCPay indicó que sus carteras de almacenamiento de fondos («carteras calientes») no se vieron afectadas en ese ataque, pero desde entonces los atacantes han empleado métodos alternativos para explotar la misma vulnerabilidad.

Los robos más recientes han afectado a las carteras de almacenamiento de fondos, que guardan en el servidor las claves necesarias para gastar los fondos. Los fondos contenidos en carteras que almacenan estas claves en otros lugares (incluidas las carteras de hardware) no se han visto afectados.

BTCPay recomienda a los usuarios que todavía estén utilizando una versión vulnerable del software, o que lo hayan actualizado después de la alerta, que reconstruyan sus servidores y transfieran los fondos a carteras nuevas.La misma recomendación se dio a cualquier persona que encontrara evidencias de una invasión.

BTCPay no divulgó cuántos usuarios informaron robos ni cuánto dinero fue robado. “BTCPay es un proyecto auto-hospedado; cada usuario instala su propio servidor. Como somos un software gratuito y de código abierto, no tenemos la capacidad de rastrear a los usuarios”, dijo un portavoz a Cointelegraph.

Relacionado: Las salidas netas de Binance aumentan a 5,8 mil millones de dólares mientras que los retiros se reanudan tras un ataque récord.