BTCPay Server investiga el vaciado de hot wallets en instancias 2.4.1 y anteriores

BTCPay Server investiga una serie de ataques en los que intrusos obtuvieron acceso de administrador a servidores antiguos y vaciaron las hot wallets conectadas, según informó DiarioBitcoin. El equipo pidió a los operadores apagar sus instancias mientras revisaba el incidente.

Versiones en riesgo

El equipo dio la alarma a última hora del 1 de noviembre de 2026. Después acotó el riesgo a la versión 2.4.1, publicada el 23 de julio de 2026, y a las anteriores.

BTCPay Server afirma que no tiene reportes creíbles de drenajes entre usuarios de la versión 2.4.7. Esa distinción delimita lo que se conoce hasta ahora, pero no equivale a una garantía de seguridad absoluta.

Acceso y pérdidas sin aclarar

Según informó BeInCrypto, el fundador Nicolas Dorier confirmó que los intrusos iniciaron sesión como administradores en los servidores afectados. El equipo encontró además indicios de vulnerabilidades anteriores a la versión 2.4.2.

BTCPay Server aún no ha establecido cómo los atacantes llegaron a las sesiones administrativas. No ha precisado si fue por una vulnerabilidad concreta, credenciales comprometidas u otro mecanismo.

Tampoco ha divulgado cuántos operadores resultaron afectados ni el valor de los fondos sustraídos. Dorier recomendó no mantener en una hot wallet más fondos de los que el operador esté dispuesto a perder.