Vaciaron cajas de criptomonedas por 1,63 millones de dólares; tiendas que usan BTCPay Server, afectadas

Los pagos en criptomonedas siguieron llegando a las tiendas mientras los atacantes vaciaban los monederos de los propietarios. Los usuarios de BTCPay Server se enfrentaron al robo de Bitcoin y Litecoin desde monederos «calientes» en los servidores. La empresa Bitquery estimó el volumen de transferencias sospechosas en aproximadamente $1,63 millones, sin embargo los desarrolladores del sistema de pagos aún no han confirmado la cifra final de pérdidas.

Según los cálculos de Bitquery, desde el 30 de octubre hasta la mañana del 2 de noviembre los atacantes retiraron 18,38 BTC y 3405 LTC mediante 682 operaciones de vaciado de monederos. Alrededor del 87% de la suma detectada se movió en cuestión de horas el 1 de noviembre. El número de transferencias no equivale al número de tiendas afectadas, ya que un monedero pudo participar en varias operaciones y la cadena de bloques no muestra la cantidad de servidores comprometidos.

Los desarrolladores de BTCPay Server confirmaron los ataques a instalaciones de la versión 2.4.1 del 23 de julio de 2026 y a versiones anteriores. Los delincuentes aprovecharon una vulnerabilidad que se cerró el 7 de agosto en la versión 2.4.2, pero usaron un método de explotación distinto. Cómo obtuvieron los atacantes acceso administrativo no se revela por completo en el informe publicado.

BTCPay Server permite a las tiendas aceptar criptomoneda directamente, sin intermediario de pago. Al operar con un monedero «caliente», las claves para disponer de los fondos se almacenan en el propio servidor. Al obtener permisos suficientes, un atacante puede enviar criptomoneda a una dirección externa. Si las claves se almacenan por separado, incluso en un dispositivo hardware, estas transferencias a través de un servidor comprometido son imposibles.

El primer aviso sobre el robo llegó al equipo el 1 de noviembre a las 20:56 UTC, y a las 22:25 pidieron a los usuarios desconectar los servidores mientras se realizaba la comprobación. Los desarrolladores contactaron con los proveedores de hosting, entre ellos LunaNode, tras lo cual algunos servicios detuvieron preventivamente las instalaciones de BTCPay Server. Según los cálculos de Bitquery, ya después de la advertencia se produjeron otras 267 operaciones por un valor de alrededor de $150.000.

Para la mañana del 2 de noviembre más del 99% de la suma rastreada por Bitquery permanecía en direcciones empleadas por primera vez durante el robo. Los analistas no detectaron transferencias de fondos a exchanges conocidos. Al mismo tiempo, el equipo de BTCPay advierte que el historial de dos direcciones publicadas no permite determinar con fiabilidad el daño total ni establecer el momento de inicio de la explotación de la vulnerabilidad.

Un riesgo adicional está relacionado con servidores comprometidos con anterioridad. Incluso después de actualizar, el acceso no autorizado y las claves filtradas pueden persistir. Por eso BTCPay recomienda a los propietarios de instalaciones 2.4.1 y anteriores transferir los saldos a un nuevo monedero con una nueva frase semilla, desplegar un servidor limpio y cambiar contraseñas, tokens API y otros secretos. Solo actualizar a la versión más reciente no resuelve el problema.

En agosto BTCPay ya informó sobre el robo de fondos mediante acceso a credenciales de nodos de Lightning Network. El incidente actual afectó a otros monederos y puso de manifiesto el riesgo de operar durante largo tiempo sin correcciones. Amenazas similares para almacenamientos conectados a la red se manifestaron durante el el hackeo de Gamdom en octubre. Para los servidores que ejecutaban la versión 2.4.2 o posterior al 1 de noviembre, BTCPay no ha detectado por ahora consecuencias de este ataque.