La versión crítica de BTCPay Server 2.4.2 aborda una grave vulnerabilidad que permitía a los atacantes extraer credenciales del Lightning Network Daemon (LND) y drenar fondos de nodos en funcionamiento activo.

BTCPay Server funciona como un procesador de pagos de criptomonedas altamente popular, de código abierto y autoalojado.

Empodera a los comerciantes,cartera de hardwarefabricantes y creadores de contenido para aceptar Bitcoin directamente sin depender de intermediarios de terceros ni pagar comisiones por procesamiento de transacciones.

Sin embargo, esta arquitectura descentralizada y autohospedada significa que cuando surge una vulnerabilidad de seguridad crítica, no hay una autoridad central para aplicar un parche universal en nombre de los usuarios.

En agosto de 2026, una vulnerabilidad de día cero que estaba siendo explotada activamente comprometió esta infraestructura. Actores maliciosos apuntaron a la integración entre el backend de pagos y el protocolo Lightning Network, obligando a operadores de nodos de alto perfil, incluyendo la firma de monederos de hardware Foundation y la publicación de Bitcoin Citadel21, a enfrentar pérdidas de capital inmediatas.

Conclusiones Clave

• Las versiones de BTCPay Server anteriores a 2.4.2 contenían una vulnerabilidad grave que permitía a los atacantes robar LND..macaroonarchivos de credenciales y drenar fondos de nodos Lightning activos.
• La falla de seguridad comprometió exclusivamente las credenciales del nodo LND, mientras que las carteras nativas en cadena de BTCPay Server y las configuraciones que no son LND permanecieron sin afectar.
• La remediación requiere que los operadores actualicen inmediatamente a la versión 2.4.2 y regeneren sus archivos de macaron para revocar el acceso a cualquier credencial expuesta antes de la corrección.

Acerca de la Vulnerabilidad del Servidor BTCPay

Para responder exactamente qué es la vulnerabilidad del BTCPay Server, es un defecto de acceso remoto no autenticado que permite a los atacantes externos descargar ilegalmente.macaroonarchivos de servidores que ejecutan implementaciones específicas de Lightning Network.

Los macaroons funcionan como tokens de autenticación altamente privilegiados dentro del ecosistema Lightning; poseerlos otorga a un usuario autoridad administrativa total sobre un nodo, eludiendo con éxito la autenticación web estándar y las protecciones por contraseña.

En cuanto a qué versiones de BTCPay están afectadas, el equipo de desarrollo principal confirmó que cada una de las versiones publicadas antes de la 2.4.2, incluidas todas las versiones candidatas de la 2.4.2, alberga esta vulnerabilidad crítica.

El error permaneció indetectado por auditorías de seguridad rutinarias y herramientas avanzadas de escaneo de IA desplegadas por el Equipo Rojo de Bitcoin.

Solo salió a la luz después de que desarrolladores prominentes, como Craig Raw de Sparrow Wallet, investigaran las pérdidas financieras directas originadas de sus propios nodos.

La vulnerabilidad impacta exclusivamente a las implementaciones que utilizan LND.

Consecuentemente, los usuarios que operan otras implementaciones de Lightning, o aquellos que únicamente procesan transacciones en la cadena, permanecen totalmente no afectados por esta exposición específica de credenciales, aunque se aconseja una actualización de manera universal.

El Mecanismo de Explotación: Cómo se Comprometieron las Credenciales

Abordar si el exploit de BTCPay está activo requiere una confirmación inequívoca: los atacantes han utilizado activamente esta vulnerabilidad en el mundo real, drenando nodos durante la noche antes de que los operadores pudieran procesar el aviso de seguridad oficial.

Debido a que la vulnerabilidad ataca controles de acceso fundamentales, los scripts de explotación automatizados pudieron barrer los nodos de manera concurrente.

Detallar cómo se expusieron las credenciales del nodo Lightning revela un vector de ataque altamente específico centrado completamente en la extracción de tokens.

Los actores maliciosos escanearon internet en busca de puntos de acceso API de BTCPay expuestos para extraer el.macaroonarchivos.

Debido a que los atacantes adquirieron con éxito los tokens de autorización reales, no necesitaban vulnerar el sistema operativo subyacente, inyectar código SQL o adivinar las contraseñas de administrador.

Ellos simplemente se autenticaron directamente con el daemon LND actuando como administradores autorizados. Una vez dentro, la secuencia de explotación fue rápida y destructiva. Los atacantes iniciaron sistemáticamente cierres forzados en todos los canales de Lightning bien financiados.

Leer también:¿Qué es una dirección de billetera BTC? Una explicación

Al colapsar estos canales, la liquidez localizada fue empujada de vuelta a la billetera de la capa base del nodo, que los atacantes posteriormente barrieron hacia externos, anónimosDirecciones de Bitcoin.

Porque los archivos de credenciales persisten de forma independiente de la sesión del servidor, los atacantes mantuvieron acceso persistente hasta que los operadores de nodo invalidaron estructuralmente los archivos específicos.

Impacto del Nodo y Pasos de Remediación Requeridos

Cuando se evalúa si BTCPay puede robar Bitcoin, la arquitectura dicta el alcance exacto del daño: los atacantes poseen la capacidad total para drenar todos```html Bitcoin ```bloqueado en canales Lightning vinculados a un nodo LND comprometido.

Por el contrario, al determinar si las billeteras en cadena están afectadas, los desarrolladores verificaron que las billeteras en cadena estándar de BTCPay, incluidas las billeteras calientes generadas directamente a través del panel de control, permanecen fundamentalmente aisladas y seguras.

Consecuentemente, el mandato sobre si los usuarios de LND deben actualizar es innegociable; los operadores deben parchear sus sistemas de inmediato o cortar por completo la conexión a internet del servidor.

Ejecutar cómo actualizar BTCPay Server 2.4.2 requiere que los administradores naveguen a la interfaz de Configuración del Servidor, seleccionen Mantenimiento e inicien la actualización del sistema.

Este proceso parchea la API de BTCPay mientras actualiza simultáneamente el software interno de LND a la versión 0.21.1. Sin embargo, simplemente instalar la actualización no es suficiente para una remediación total.

Los operadores deben regenerar manualmente sumacaroons.dbarchivos y rotar todas las cadenas de autenticación para bloquear a los atacantes que poseen tokens copiados anteriormente. Finalmente, comprender cómo verificar los pagos de Lightning no autorizados es un procedimiento obligatorio después del incidente.

Los administradores de nodos deben auditar sus registros de enrutamiento en busca de cierres forzosos inesperados de canales, aislar conexiones de pares desconocidos y reconciliar los saldos en cadena con los datos históricos del libro mayor para identificar la extracción no autorizada de capital.

Seguridad de Infraestructura Reevaluada

El exploit de agosto de 2026 sirve como un recordatorio técnico contundente de los riesgos operativos inherentes asociados con la infraestructura financiera autohospedada.

Eludir a los custodios de terceros maximiza la soberanía financiera, pero al mismo tiempo traslada la carga absoluta de la mitigación de amenazas directamente sobre el operador individual.

La extracción precisa de los macarrones LND demuestra que las pasarelas de pago que están expuestas a Internet requieren una vigilancia continua, almacenamiento aislado de credenciales y tuberías de parches automatizadas.

A partir de ahora, la comunidad de desarrolladores y los comerciantes independientes deben diseñar límites de tasa internos más estrictos y puntos finales de API altamente particionados para garantizar que los fallos de autorización en un solo punto no desencadenen una liquidación sistemática de capital.

FAQ

¿Qué es la vulnerabilidad del servidor BTCPay?

Es una vulnerabilidad de seguridad crítica de día cero, activamente explotada, en BTCPay Server que permite a los atacantes remotos no autenticados extraer.macaroonarchivos de credenciales. Estos archivos actúan como tokens administrativos para el Demonio de la Red Lightning (LND). Al obtener estos archivos, los atacantes pueden obtener control total sobre un nodo LND, forzar el cierre de canales activos y drenar los fondos de Bitcoin conectados.

¿Qué versiones de BTCPay Server están afectadas?

Cada versión de BTCPay Server anterior a la 2.4.2 está afectada, incluidos todos los candidatos a liberación 2.4.2. El riesgo se aplica específicamente a las implementaciones que utilizan el Daemon de la Red Lightning (LND). Los usuarios que operan otras implementaciones de Lightning o que únicamente procesan transacciones on-chain no están expuestos a este robo de credenciales específico, aunque se recomienda actualizar a la versión 2.4.2 de manera universal para todos los usuarios.

¿Están comprometidas las carteras en cadena por esta explotación?

No. Los desarrolladores principales han confirmado que las billeteras en cadena estándar de BTCPay Server, incluyendo las billeteras calientes generadas y accesibles directamente a través del panel de control de BTCPay, no se ven afectadas en absoluto por esta vulnerabilidad. La falla tiene como objetivo exclusivo las credenciales de token utilizadas por el backend de LND.

¿Cómo puedo asegurar mi servidor BTCPay contra esta vulnerabilidad?

Los operadores deben actualizar de inmediato a la versión 2.4.2 de BTCPay Server, que parcha los puntos finales de API vulnerables y actualiza el software interno de LND a la versión 0.21.1. Sin embargo, debido a que se robaron.macaroonLos archivos sobreviven a las actualizaciones de software, simplemente aplicar parches no es suficiente. También debes regenerar manualmente tumacaroons.dbarchivos y rota todas las cadenas de autenticación para revocar el acceso a cualquier atacante que ya haya copiado tus credenciales. Si no puedes actualizar de inmediato, deberías desconectar tu servidor.

¿Se robó realmente Bitcoin utilizando esta vulnerabilidad?

Sí. La vulnerabilidad fue explotada activamente en la naturaleza antes de que se pudiera emitir un aviso público. Actores maliciosos drenaron sistemáticamente fondos de varios nodos Lightning activos, incluidos los operados por el fabricante de billeteras de hardware Foundation y la publicación de Bitcoin Citadel21. El ataque fue descubierto inicialmente cuando los desarrolladores notaron cierres de canal inesperados y extracción de capital ocurriendo en sus propios nodos durante la noche.

Las opiniones expresadas pertenecen exclusivamente al autor y no reflejan las opiniones de esta plataforma. Esta plataforma y sus afiliados renuncian a cualquier responsabilidad sobre la exactitud o idoneidad de la información proporcionada. Es únicamente para fines informativos y no está destinada como asesoramiento financiero o de inversión.