La vulnerabilidad crítica de BTCPay Server que vació nodos Lightning: ¿Qué pasó y cómo reaccionar?

La semana del 7 de agosto de 2026 marcó una de las crisis de seguridad más graves en la historia de la infraestructura de Bitcoin. El viernes, BTCPay Server, el procesador de pagos Bitcoin de código abierto y autoalojado utilizado por miles de comerciantes, exchanges y servicios de cartera en todo el mundo, reveló que se estaba explotando activamente una vulnerabilidad crítica que drenaba fondos de nodos de la Red Lightning . El incidente ocurrió apenas unos días después de que un fallo independiente en el firmware de las carteras hardware Coldcard ya hubiera provocado el robo de más de $116 millones en Bitcoin . En conjunto, ambos eventos expusieron vulnerabilidades profundas en la capa de pagos de Bitcoin y desencadenaron una auditoría de seguridad de emergencia que descubrió miles de errores más en todo el ecosistema .

Este artículo desglosa lo que sucedió, quiénes se vieron afectados, qué medidas de emergencia tuvieron que tomar los operadores y el panorama de seguridad más amplio durante esa semana tumultuosa.

La vulnerabilidad de BTCPay Server: un error lógico en la autenticación de la API

El fallo explotado en BTCPay Server fue un error lógico en la capa de autenticación de la API Greenfield, la interfaz utilizada por integradores externos, sistemas automatizados y servicios de cartera . Crucialmente, permitía que un atacante remoto no autenticado extrajera los archivos de credenciales .macaroon de LND, los tokens de acceso que rigen los permisos en los nodos de la Red Lightning .

Una vez que los atacantes obtenían las credenciales macaroon, podían tomar el control total del nodo LND conectado y vaciar los saldos de sus canales . La vulnerabilidad fue descubierta y reportada de manera responsable por el Bitcoin Red Team .

Aclaración importante: Esto fue un fallo a nivel de software/aplicación. El protocolo subyacente de Bitcoin no se vio comprometido . El ataque se dirigió a la lógica de autenticación del procesador de pagos autoalojado, no a la cadena de bloques de Bitcoin ni al protocolo de la Red Lightning en sí.

¿Quiénes se vieron afectados?

La vulnerabilidad afectó específicamente a configuraciones que usaban LND (Lightning Network Daemon), el software más utilizado para operar un nodo Lightning .

• Comerciantes, exchanges y servicios de cartera que ejecutaban BTCPay Server con LND en cualquier versión anterior a la 2.4.2, incluyendo los candidatos de lanzamiento de la 2.4.2
• Las carteras activas en cadena (hot wallets) generadas en BTCPay también estaban en riesgo si un atacante lograba tomar el control total del servidor
• Los usuarios que no usaban LND o que no utilizaban Lightning en absoluto no estaban expuestos al riesgo de robo de credenciales

Varias organizaciones conocidas de Bitcoin que ejecutaban BTCPay confirmaron que sus nodos Lightning habían sido drenados. Foundation, un fabricante de carteras hardware, y Citadel21, una publicación sobre Bitcoin, se encuentran entre las víctimas confirmadas .

Medidas de emergencia requeridas para los operadores

BTCPay Server y su mantenedor principal Nicolas Dorier emitieron un aviso urgente con dos imperativos :

1. Actualizar inmediatamente — Actualizar a la versión 2.4.2 de BTCPay Server a través del Panel de Administración → Servidor → Mantenimiento → Actualizar, y verificar la cadena de versión en el pie de página .
2. Apagar el servidor si no se puede actualizar de inmediato .

Además, se informó a los operadores que también debían revocar y regenerar todas las credenciales macaroon de LND, porque la aplicación del parche solo detenía el robo nuevo de credenciales. Las credenciales ya robadas durante la ventana de explotación seguían siendo válidas y podían seguir utilizándose para drenar fondos . El proyecto también recomendó actualizar NBXplorer, el backend de seguimiento de carteras de BTCPay, a la versión 2.6.10 .

Otros incidentes de seguridad en la capa de pagos de Bitcoin esa misma semana

El exploit de BTCPay fue la segunda gran brecha en la infraestructura de Bitcoin en aproximadamente diez días. Ambos ocurrieron a finales de julio y principios de agosto de 2026, creando lo que algunos medios llamaron la "semana de los exploits" de Bitcoin .

Fallo en el firmware de la cartera hardware Coldcard (del 30 de julio al 3 de agosto)

Una vulnerabilidad crítica en la versión 4.0.0 del firmware de Coldcard, presente desde marzo de 2021, provocó que el dispositivo omitiera su chip de aleatoriedad hardware dedicado durante la generación de claves, utilizando en su lugar un sustituto de software predecible . Esto hacía que las frases semilla (seed phrases) pudieran ser enumeradas por los atacantes.

Los atacantes explotaron esto para robar más de $116 millones en Bitcoin de más de 5,200 direcciones en cuatro oleadas de robos que comenzaron el 30 de julio . Galaxy Research rastreó los movimientos en la cadena e identificó al menos a 15 atacantes diferentes explotando el fallo . El total robado estimado osciló entre $116 millones y más de $130 millones, dependiendo de la valoración en el momento del informe .

Auditoría de seguridad automatizada a gran escala (8 de agosto)

En respuesta directa a los incidentes de Coldcard y BTCPay, un grupo voluntario de desarrolladores de Bitcoin lanzó una auditoría de seguridad coordinada utilizando herramientas de IA. En 24 horas, identificaron casi 5,000 vulnerabilidades de seguridad en unos 400 proyectos, describiéndose la situación como "extremadamente mala" . Los hallazgos incluyeron 85 errores críticos y 635 de alta gravedad, la mayoría de los cuales ya fueron verificados por los propietarios de los proyectos .

Conclusiones clave para los operadores de Bitcoin

1. Aplicar los parches de inmediato cuando se emiten avisos críticos. El equipo de BTCPay fue transparente sobre el exploit activo, pero algunos operadores retrasaron la aplicación del parche, lo que provocó pérdidas confirmadas .
2. La revocación de credenciales es a menudo tan importante como aplicar el parche. Un parche que cierra una vulnerabilidad no invalida las credenciales ya robadas. Después de la actualización de BTCPay, los operadores aún tuvieron que revocar y regenerar todos los macaroons de LND .
3. La seguridad de la Capa 2 depende de la diligencia del operador de la Capa 1. Si bien el protocolo de la Red Lightning en sí no se vio comprometido, la exposición de credenciales a través de la API de BTCPay demostró que las debilidades en el software de pago autoalojado pueden traducirse en pérdidas de fondos para los usuarios de Lightning .
4. El ecosistema se está auditando a sí mismo. La auditoría de seguridad con IA liderada por voluntarios que encontró casi 5,000 vulnerabilidades en 400 proyectos demuestra tanto la magnitud del problema como la voluntad de la comunidad para abordarlo .

El incidente de BTCPay Server y el exploit paralelo de Coldcard representan un punto de inflexión para la seguridad de la infraestructura de Bitcoin. Estos eventos han intensificado los llamados a una revisión de código más rigurosa, herramientas de seguridad automatizadas y protocolos de respuesta más rápidos en todo el ecosistema de Bitcoin de código abierto.