Incidente con la billetera caliente de BTCPay Server: lo que los comerciantes deben saber y hacer ahora

02/11/2026

El domingo, 1 de noviembre de 2026, el proyecto BTCPay Server pidió a todos los que tuvieran una instancia en funcionamiento que la apagaran tras recibir informes de que atacantes no autorizados estaban vaciando las billeteras calientes de los servidores BTCPay. Si aceptas bitcoin mediante un BTCPay Server autoalojado, esto es lo que se ha confirmado hasta ahora, lo que implica para tu proceso de pago y las medidas que conviene tomar hoy.

Qué ocurrió

Alrededor de las 22:25 UTC del 1 de noviembre, BTCPay Server publicó en X: «Estamos recibiendo informes de que atacantes no autorizados están vaciando las billeteras calientes de los servidores BTCPay. Si tienes una instancia en funcionamiento, apágala (./btcpay-down.sh) hasta que completemos la investigación».

Según CoinDesk, el fundador Nicolas Dorier dijo posteriormente que los informes «parecen involucrar versiones de BTCPay Server anteriores a la versión 2.4.2», que un atacante inició sesión como administrador en los servidores afectados y que los servidores públicos del propio proyecto que ejecutaban 2.4.7 «no fueron atacados». El equipo aún no ha explicado cómo obtuvo el atacante acceso de administrador.

En el momento de la publicación, no se habían revelado el total de las pérdidas, el número de servidores afectados ni la causa raíz, y tampoco se había anunciado que el peligro hubiera pasado (Bitcoin.com Noticias). La versión 2.4.7, publicada el 29 de octubre, corrigió 85 problemas de seguridad detectados, incluido uno crítico y 13 de gravedad alta; el equipo no ha vinculado esa versión con el incidente (notas de la versión).

Por qué las billeteras calientes son el punto débil

Una billetera caliente guarda su semilla en un servidor conectado a internet para poder firmar transacciones automáticamente, por ejemplo, para reembolsos o desembolsos. La propia documentación de BTCPay señala que esta opción «conlleva implicaciones de seguridad». Cualquiera que consiga acceso de administrador al servidor puede mover los fondos. Como cada instancia de BTCPay está gestionada por el comerciante, el proyecto no puede aplicar parches ni apagar servidores de forma centralizada: cada operador es responsable de las actualizaciones, el control de acceso y la supervisión.

Qué significa esto para los comerciantes

Interrupción del proceso de pago. Apagar el servidor impide que se creen facturas. Cada hora sin servicio supone ventas perdidas, especialmente para las tiendas donde bitcoin es uno de los principales métodos de pago.
Posible exposición de los fondos. Los comerciantes que tengan una billetera caliente habilitada en una versión antigua deben considerar que su saldo está en riesgo hasta que termine la investigación.
Plazos inciertos. Como aún no se ha publicado la causa raíz, no hay una fecha definida para reiniciar el servicio de forma segura.

Qué hacer ahora

Sigue la instrucción oficial: apaga tu instancia con ./btcpay-down.sh y mantenla desconectada hasta que BTCPay anuncie que el peligro ha pasado.
Comprueba qué versión utilizas. Los resultados preliminares señalan las versiones anteriores a 2.4.2.
Antes de reiniciar, transfiere cualquier saldo restante de la billetera caliente a una billetera cuyas claves no estén en el servidor y, en adelante, limita los saldos de las billeteras calientes a cantidades que puedas permitirte perder, tal como aconsejó Dorier.
Revisa las cuentas de administrador, cambia las contraseñas y las claves de API y habilita la autenticación de dos factores.
Informa a los clientes de qué métodos de pago están disponibles mientras tanto para evitar que abandonen sus pedidos.
Decide si el autoalojamiento sigue siendo adecuado para tu equipo. Gestionar un servidor de pagos implica responsabilizarse de su seguridad a todas horas.

Sigue aceptando criptomonedas mientras investigas

Si tu proceso de pago con BTCPay está fuera de servicio, una pasarela alojada puede mantener los pagos con criptomonedas en funcionamiento mientras decides tu configuración a largo plazo. Con la pasarela de pagos en criptomonedas de PassimPay no hay ningún servidor que mantener: conectas un complemento de CMS, un enlace de pago o una API y empiezas a aceptar BTC, USDT y otras monedas (74+ admitidas) a través de una pasarela de pagos con Bitcoin o una pasarela de pagos con USDT. Las opciones de liquidación, como el retiro automático, te permiten transferir fondos a tu propia billetera según un calendario, en lugar de mantener grandes saldos en un solo lugar.

¿Estás comparando opciones? Consulta nuestra guía de alternativas a BTCPay Server y nuestra comparativa de funciones de seguridad de las pasarelas de criptomonedas.

Actualizaremos este artículo cuando BTCPay Server publique los resultados completos de su investigación.

Preguntas frecuentes

¿Es seguro usar BTCPay Server ahora mismo?
A fecha del 2 de noviembre de 2026, BTCPay Server pide a los operadores que mantengan sus instancias apagadas hasta que finalice la investigación. Sigue sus canales oficiales para saber cuándo ha pasado el peligro.

¿Qué versiones están afectadas?
Los hallazgos preliminares apuntan a versiones anteriores a 2.4.2. La solicitud de apagar los servidores no se limitó a esas versiones.

¿Se robaron fondos?
BTCPay Server afirma que se vaciaron las billeteras calientes de algunos servidores. No se ha publicado el importe total de las pérdidas ni el número de comercios afectados.

¿Puedo seguir aceptando bitcoin mientras mi servidor está desconectado?
Sí. Una pasarela alojada como PassimPay te permite aceptar BTC, USDT y otras monedas sin gestionar tu propio servidor, mediante plugins, enlaces de pago o una API.

¿Cuál es la diferencia entre una billetera caliente y una pasarela alojada?
Una billetera caliente almacena las claves de firma en tu propio servidor conectado a internet, por lo que su seguridad depende de cómo lo gestiones. Con una pasarela alojada, el proveedor gestiona la infraestructura y tú retiras los fondos a tu propia billetera.

Fuentes: