BTCPay Server alerta sobre vulnerabilidad crítica explotada activamente y pide actualizar a la versión 2.4.2

BTCPay Server emitió una alerta de seguridad urgente este 7 de agosto tras confirmar que una vulnerabilidad crítica está siendo explotada activamente y podría provocar la pérdida de fondos. El proyecto pidió a todos los operadores de servidores actualizar inmediatamente a la versión 2.4.2.

La advertencia fue publicada a través de la cuenta oficial de BTCPay Server en X. El equipo indicó que los administradores deben ingresar al Admin Dashboard, dirigirse a Server → Maintenance → Update y, una vez completado el proceso, comprobar que la versión 2.4.2 aparece correctamente en el pie de página de la instalación.

La urgencia de la actualización radica en que, según BTCPay Server, la vulnerabilidad no es únicamente teórica, sino que ya está siendo utilizada por atacantes.

Publicidad

Para aquellos operadores que no puedan actualizar inmediatamente, el proyecto recomendó apagar temporalmente el servidor hasta poder instalar la versión corregida, con el objetivo de impedir accesos no autorizados.

¿Qué se sabe sobre la vulnerabilidad de BTCPay Server?

Hasta el momento, BTCPay Server no ha revelado públicamente los detalles técnicos del fallo ni el método empleado para explotarlo.

Tampoco se ha informado oficialmente cuántas instalaciones podrían haber sido comprometidas ni el monto de eventuales pérdidas económicas. Aunque el equipo advirtió expresamente que la vulnerabilidad puede derivar en pérdida de fondos, al momento de redactar esta información no existe una cifra oficial de bitcoins robados como consecuencia de este incidente.

La publicación limitada de información técnica puede ser especialmente relevante mientras existen servidores sin actualizar, ya que divulgar detalles completos sobre una vulnerabilidad explotable podría facilitar nuevos ataques antes de que los operadores apliquen el parche.

BTCPay recomienda medidas adicionales después de actualizar

En una comunicación posterior, BTCPay Server agradeció al equipo de seguridad Bitcoin Red Team y a los investigadores involucrados en la divulgación responsable de la vulnerabilidad.

El proyecto mencionó específicamente a Rob Hamilton, Craig Raw, Calle y Evan Kaloudis por su participación en el proceso que permitió identificar y abordar el problema.

BTCPay Server también recomendó que, incluso después de instalar la versión 2.4.2, los administradores adopten medidas adicionales de seguridad. Entre ellas se encuentran renovar los archivos y bases de datos relacionados con macaroons, rotar las credenciales utilizadas para autenticar conexiones con los backends de Lightning Network y trasladar los bitcoins almacenados en hot wallets on-chain creadas desde BTCPay Server hacia nuevas wallets.

Estas acciones son especialmente importantes ante la posibilidad de que determinadas credenciales o información sensible hubieran quedado expuestas antes de aplicar la actualización.

¿Qué es BTCPay Server?

BTCPay Server es un procesador de pagos Bitcoin gratuito, de código abierto y autoalojado que permite a comercios, organizaciones y usuarios recibir pagos directamente mediante Bitcoin y Lightning Network sin depender de un procesador de pagos centralizado.

Precisamente por tratarse de una infraestructura autoalojada, cada administrador es responsable de mantener actualizada su propia instalación. En este caso, los servidores que continúen utilizando versiones vulnerables no pueden recibir automáticamente el parche por parte de BTCPay Server.

Por el momento, la recomendación oficial es clara: actualizar a BTCPay Server 2.4.2 cuanto antes y verificar que la instalación realmente esté ejecutando esa versión. Aquellos que no puedan hacerlo de inmediato deberían mantener su servidor apagado hasta completar la actualización.

El equipo podría publicar posteriormente más información sobre la naturaleza de la vulnerabilidad una vez que una mayor proporción de los usuarios haya tenido oportunidad de proteger sus instalaciones.