Actualización (3 de noviembre de 2026, 7:00 a. m. UTC): Este artículo ha sido actualizado para incluir comentarios de un portavoz del servidor BTCPay y información adicional del consejo de seguridad oficial del proyecto.

Los atacantes han robado Bitcoin y Litecoin a usuarios que utilizaban software de servidor BTCPay desactualizado, aprovechando una vulnerabilidad de seguridad que el proyecto corrigió en agosto.

La plataforma de pagos Bitcoin anunció el lunes que los robos afectaron las versiones 2.4.1 y anteriores. Los usuarios que instalaron la corrección del 7 de agosto antes del domingo no parecen haberse visto afectados, según el proyecto.

Inicialmente, BTCPay instó a los operadores a cerrar sus servidores mientras investigaba los retiros no autorizados de fondos. El proyecto también pidió a los proveedores de alojamiento que pusieran los instancias del servidor BTCPay fuera de línea como medida de precaución.

Misma vulnerabilidad, pero ataque diferente.

Esta misma vulnerabilidad estuvo implicada en un ataque en agosto que expuso las credenciales necesarias para realizar pagos mediante Lightning. BTCPay indicó que sus carteras en línea no se vieron afectadas en ese momento, pero los atacantes han utilizado desde entonces un método diferente para explotarla.

Los últimos robos afectaron a las carteras en línea, que almacenan las claves necesarias para gastar los fondos en el servidor. Los fondos de las carteras que guardan esas claves en otros lugares (incluidas las carteras físicas) no se vieron afectados.

@@BTCPay instó a los usuarios que todavía utilizan software vulnerable, o que realizaron la actualización después de la advertencia, a reconstruir sus servidores y transferir los fondos a carteras nuevas. También ofreció el mismo consejo a cualquier persona que detecte signos de intrusión.

BTCPay no ha revelado cuántos usuarios han informado robos ni cuánto dinero ha sido robado.“BTCPay es un proyecto autohospedado; cada usuario implementa su propio servidor. Como software gratuito y de código abierto, no tenemos la posibilidad de rastrear a los usuarios“, dijo un portavoz a Cointelegraph.