BTCPay Server alerta de una vulnerabilidad crítica ya explotada

CoinMarketCap informa de que el viernes el servicio de pagos en bitcoin BTCPay Server avisó a sus usuarios de que una vulnerabilidad crítica está siendo explotada por atacantes, con riesgo de acceso no autorizado y posible pérdida de fondos. El proyecto insta a actualizar de inmediato; si no es posible aplicar la actualización con rapidez, recomienda apagar los servidores. BTCPay pide además rotar credenciales de forma inmediata. Junto con la actualización, aconseja sustituir las credenciales de autenticación conocidas como "macaroons", reconstruir el archivo macaroons.db y renovar las cadenas de autenticación utilizadas por otros backends de Lightning Network. Si el usuario generó previamente una hot wallet on-chain dentro de BTCPay, la recomendación es transferir los fondos cuanto antes y crear de nuevo la cartera. Con ello, el riesgo no se limita al acceso al backend y puede afectar también a los activos gestionados directamente por el servidor. La guía operativa del proyecto incluye: actualizar BTCPay Server de inmediato, apagar el servidor antes de intentar actualizar y reemplazar los macaroons junto con la reconstrucción de los archivos de autenticación. BTCPay no ha publicado detalles técnicos de la vulnerabilidad. Atribuyó el hallazgo a miembros del Bitcoin Red Team, sin concretar el mecanismo, cuándo comenzó el ataque, cuántos servidores se han visto afectados o si se han producido pérdidas de fondos. Cuando la explotación sigue activa, los equipos suelen retrasar la divulgación técnica para evitar que se amplíe la superficie de ataque. En este momento, la prioridad para los usuarios es aislar sistemas, aplicar actualizaciones y rotar credenciales. En paralelo, varios incidentes recientes han señalado el papel de la identificación de fallos asistida por IA. BTCPay no indicó si se usaron herramientas de IA en este caso. Aun así, su uso gana terreno en la seguridad cripto: en mayo, el investigador Taylor Hornby empleó Claude Opus de Anthropic para detectar una vulnerabilidad de Zcash con cuatro años de antigüedad; en agosto, el fabricante de hardware wallets Coinkite apuntó a que atacantes podrían haber usado IA para localizar fallos de firmware vinculados a más de 100 millones de dólares en bitcoins robados. El martes pasado, el servicio de intercambio de bitcoin Boltz suspendió operaciones tras explotaciones repetidas y afirmó que los ataques asistidos por IA están encontrando vulnerabilidades más rápido de lo que su equipo logra parchearlas.