Actualización (3 de noviembre de 2026, 7:00 a. m. UTC): Este artículo se ha actualizado para incluir comentarios de un portavoz de BTCPay Server e información adicional del aviso de seguridad oficial del proyecto.

Los atacantes han robado Bitcoin y Litecoin a usuarios que ejecutaban una versión obsoleta del software de BTCPay Server, aprovechando una vulnerabilidad de seguridad que el proyecto corrigió en agosto.

La plataforma de pagos de Bitcoin dijo el lunes que los robos afectaron a las versiones 2.4.1 y anteriores. Según el proyecto, los usuarios que instalaron la corrección del 7 de agosto antes del domingo no parecían afectados.

Inicialmente, BTCPay instó a los operadores a apagar sus servidores mientras investigaba los retiros no autorizados de las billeteras. El proyecto también pidió a los proveedores de alojamiento que desconectaran las instancias de BTCPay Server como medida de precaución.

La misma vulnerabilidad, un ataque diferente

La vulnerabilidad también estuvo implicada en un ataque ocurrido en agosto que expuso credenciales para pagos de Lightning. BTCPay dijo que sus billeteras calientes on-chain no se vieron afectadas en ese momento, pero desde entonces los atacantes han utilizado un método diferente para explotar la vulnerabilidad.

Los robos más recientes afectaron a billeteras calientes, que mantienen en el servidor las claves necesarias para gastar los fondos. Los fondos de las billeteras que mantienen esas claves en otro lugar, incluidas las billeteras de hardware, no se vieron afectados.

BTCPay instó a los usuarios que aún ejecutan software vulnerable, o que lo actualizaron después de la advertencia, a reconstruir sus servidores y transferir los fondos a billeteras recién creadas. Dio el mismo consejo a cualquiera que encontrara indicios de una intrusión.

BTCPay no ha revelado cuántos usuarios denunciaron robos ni cuánto se sustrajo. «BTCPay es un proyecto autoalojado; cada usuario implementa su propio servidor. Como software gratuito y de código abierto, no tenemos forma de rastrear a los usuarios», dijo un portavoz a Cointelegraph.

Relacionado: Las salidas netas de Binance se disparan a 5.800 millones de dólares mientras se reanudan los retiros tras un hackeo récord