TL;DR

  • BTCPay Server pidió el domingo 1 de noviembre a todos los operadores que apaguen sus instancias tras los informes de que las carteras calientes fueron vaciadas por atacantes no autorizados.
  • Aún no se ha hecho público ni el número de servidores afectados, ni la causa, ni la cantidad perdida.
  • El incidente sigue a un parche de emergencia (versión 2.4.7) publicado el 29. de octubre, así como a una brecha de seguridad separada en agosto que afectó a nodos de Lightning.
  • El mercado ya se encuentra en modo de aversión al riesgo: bitcoin cotiza alrededor de los 78.250 dólares y el índice Fear & Greed se sitúa en 37 de 100.

Aviso de crisis emitido en X

BTCPay Server, el sistema de código abierto que permite a los comerciantes aceptar pagos en bitcoin sin un proveedor de pagos de terceros, lanzó una llamada urgente el domingo por la tarde. El proyecto pidió a cualquiera que ejecute su propia instancia que la apague inmediatamente con el comando "./btcpay-down.sh", hasta que concluya una investigación en curso, escribe ForexLive (investinglive.com).

El contexto son los informes de que las carteras calientes en varios servidores han sido vaciadas por atacantes no autorizados. Una cartera caliente (hot wallet) es un monedero en el que las claves privadas se encuentran en un servidor conectado a internet, lo que permite al sistema enviar fondos automáticamente, como por ejemplo reembolsos a los clientes. Esta solución práctica hace que la cartera sea un objetivo mucho más atractivo que el almacenamiento en frío (cold storage), que está físicamente desconectado de la red.

Es importante precisar que el incidente afecta al software en torno a los pagos en bitcoin, no a la red bitcoin en sí. BTCPay aún no ha hecho público cuántos servidores están afectados, qué vulnerabilidad se ha explotado o cuánto ha sido robado.

Estamos recibiendo informes de que las carteras calientes en los servidores de BTCPay están siendo vaciadas por atacantes no autorizados. Si ejecutas una instancia, por favor apágala hasta que hayamos completado la investigación

Tercer incidente en poco tiempo

Esta no es la primera vez este año que BTCPay Server tiene que lidiar con un problema de seguridad. El 29 de octubre, el proyecto lanzó la versión de emergencia 2.4.7 para solucionar una vulnerabilidad crítica y varias de gravedad media. BTCPay no ha confirmado si el nuevo ataque está relacionado con las vulnerabilidades recientemente parcheadas, o si los servidores que ya se han actualizado a la versión 2.4.7 se han visto afectados de todos modos.

En agosto se explotó una debilidad completamente diferente, en la que los atacantes robaron las llamadas credenciales macaroon de los nodos de Lightning Network y drenaron a varios operadores, entre ellos el fabricante de carteras de hardware Foundation. En ese momento, BTCPay enfatizó que las carteras calientes on-chain habituales integradas en el sistema no se vieron afectadas. Esto hace que el aviso del domingo sea particularmente notable, ya que ahora parece afectar precisamente al tipo de monedero que se protegió en agosto.

Un patrón inquietante para los sistemas autoalojados

BTCPay Server se creó originalmente como una alternativa sin custodia (non-custodial) a las soluciones de pago centralizadas como BitPay, precisamente para dar a los comerciantes el control total de sus propios fondos sin intermediarios ni comisiones. Esa fortaleza es al mismo tiempo una vulnerabilidad: como cada operador gestiona y asegura su propia instalación, el ritmo de actualización y las prácticas de seguridad varían mucho de un lugar a otro.

En relación con el incidente de agosto, el proyecto advirtió que la inteligencia artificial está cambiando el equilibrio de poder entre atacantes y defensores, ya que ahora es más rápido y económico buscar debilidades en bases de código grandes. Los proyectos relacionados con bitcoin son particularmente vulnerables, ya que manejan activos valiosos directamente.

Qué sucede ahora

Las preguntas clave de cara al futuro son si BTCPay logrará rastrear el ataque hasta una versión de software específica y si los servidores que ya ejecutan la actualización del 29 de octubre se han visto afectados de todos modos. La magnitud de las pérdidas y cualquier comunicado de comerciantes nombrados mostrarán cuán grave es realmente el incidente. La experiencia de agosto demuestra que el primer aviso no refleja necesariamente el panorama final; en aquella ocasión, el alcance se redujo significativamente a medida que avanzaba la investigación.

Hasta que BTCPay dé luz verde, se recomienda que todos los operadores con fondos en una cartera caliente sigan la recomendación de apagar sus instancias.

Contexto de mercado

El aviso llega en un período marcado por una débil apetencia por el riesgo en el mercado de criptomonedas. Bitcoin cotiza actualmente en torno a los 78.250 dólares, y el índice Fear & Greed se sitúa en 37 de 100, lo que indica miedo entre los inversores. Los incidentes de seguridad de este tipo, incluso cuando afectan a la infraestructura en torno a bitcoin en lugar de a la red en sí, suelen contribuir a amplificar un clima ya de por sí nervioso entre los comerciantes y particulares que utilizan soluciones autoalojadas.