BTCPay urge actualizar ya por un fallo crítico que están explotando
Por Luki · Alba.City · Publicado el 8 de agosto de 2026 · Actualizado el 8 de agosto de 2026
La caja registradora de una tienda no se apaga un viernes por la tarde. Ayer, unos cuantos comercios tuvieron que hacerlo.
BTCPay Server es esa caja. Es un programa gratuito que el comerciante instala en su propio ordenador y con el que cobra en bitcoin y por la red Lightning, sin pasar por ninguna empresa ni pedirle permiso a nadie.
Ayer publicó la versión 2.4.2 con una advertencia que casi nunca se lee tan seca. El fallo que corrige ya se está explotando. Quien no pueda actualizar de inmediato debe apagar el servidor.
Apagarlo del todo.
El aviso salió por la cuenta oficial del proyecto y lo recogió The Block el mismo viernes. El equipo admite que puede haber fondos en riesgo, pero no dice cuántos comercios han sido atacados ni cuánto se ha perdido por ahora.
Los dos nombres que ya salieron el jueves
El detalle que cose la semana está en las notas de la versión. El fallo lo reportaron brunoerg y benthecarman, dos investigadores del Bitcoin Red Team. Buscar fallos era su encargo.
Es el mismo grupo del que hablamos el jueves. Entonces era una lista larga de hallazgos. Ahora es un servidor apagado en la trastienda de alguien.
Entre lo corregido hay un salto del segundo factor de autenticación, según el propio registro de cambios. Quien se molestó en poner la clave de seis dígitos del móvil podía estar desprotegido por otra puerta.
Esa otra puerta es la interfaz de programación del propio BTCPay, por donde se colaba una contraseña sencilla sin que el segundo factor llegase siquiera a preguntarse.
La corrección llega con un cambio incómodo. Ese acceso sencillo queda desactivado cinco minutos después de crear la cuenta. Nicolas Dorier, mantenedor principal del proyecto, escribe que no consta ningún usuario afectado por el cambio.
Qué hacer si cobras en bitcoin
La instrucción cabe en una línea. Actualiza a la 2.4.2 y, si usas NBXplorer, a la 2.6.10, que es la pieza que habla con la cadena por debajo.
Si hoy no puedes, apaga el servidor hasta que puedas, aunque te cueste el fin de semana. Perder un par de cobros pesa menos que perder el saldo.
Conviene separar dos cosas que se confunden a diario. Tu monedero personal no entra en esta historia, porque lo expuesto es la caja del comercio y no la billetera del cliente que paga el café.
El bitcoin en peligro es el que un negocio deja dormido en su propio servidor de cobro. El que se barre cada noche a un monedero aparte, no.
Esa costumbre vale hoy dinero contante: no dejar el cajón lleno al cerrar.
Queda sin saberse lo que más importaría. El proyecto no ha publicado cuántos servidores se quedaron sin actualizar, ni si alguien ha perdido algo. The Block dice que pidió explicaciones y aún no las tiene.
Y el precio, a lo suyo
El mercado miró para otro lado. El bitcoin marcó ayer 65.340 dólares, su máximo de agosto, y cotiza esta madrugada sobre los 64.865, unos 56.160 euros.
La subida no salió de aquí, sino de una hoja de cálculo del Gobierno estadounidense. Estados Unidos destruyó 23.000 puestos de trabajo en julio, según la oficina de estadísticas laborales.
Hubo además revisión a la baja de mayo y junio: 103.000 empleos menos de los que se habían contado. Un empleo flojo empuja a la Reserva Federal a abaratar el dinero, y eso anima a todo lo que no paga intereses.
Debajo del precio, la semana entera ha sido de custodia. El robo a los Coldcard suma ya 111 millones de dólares confirmados, y Galaxy Research calcula que superará los 130.
Alex Thorn, responsable de investigación de esa firma, revisó 250 denuncias de víctimas. La pérdida típica por víctima fue de 1,022 bitcoin, y el 88 % de las monedas robadas llevaba más de un año sin moverse del sitio.
Traducido: casi nadie perdió lo que acababa de comprar. Perdieron los que llevaban años tranquilos, que es justo la gente que creía haber terminado el trabajo.
La caja registradora vuelve a encenderse el lunes. La costumbre de vaciarla cada noche decide si esa mañana hay algo que contar.