BTCPay Server, el procesador de pagos en bitcoin autoalojado en el que confían comercios de toda Europa y más allá, ha publicado la versión 2.4.7, una actualización de emergencia que corrige una vulnerabilidad crítica de seguridad junto con varios fallos de gravedad media. El proyecto insta a todos los administradores a aplicar el parche cuanto antes.
Los fallos no fueron detectados por los propios desarrolladores del proyecto, sino por un escáner de código de última generación y de código abierto creado por Anthropic, la empresa de inteligencia artificial. Anthropic comunicó los hallazgos de forma privada al equipo de BTCPay Server, lo que permitió preparar una solución antes de que las vulnerabilidades pudieran ser explotadas. El equipo de BTCPay Server agradeció públicamente a Anthropic esta divulgación responsable.
El proyecto también reconoció la presión que este tipo de hallazgos supone para una operación pequeña y en gran medida sostenida por voluntarios. BTCPay Server afirmó que actualmente está defendiendo la red frente a ataques asistidos por IA, una observación que subraya cómo las herramientas automatizadas se están desplegando ya en ambos lados de la ecuación de seguridad: para encontrar vulnerabilidades antes que los delincuentes y, cada vez más, utilizadas también por estos últimos.
Para los comercios y operadores de toda Europa que utilizan BTCPay Server para aceptar pagos en bitcoin sin depender de un procesador externo, la vía de actualización depende de cómo se haya desplegado el software. Los administradores con permisos de administrador pueden aplicar la versión 2.4.7 directamente desde el panel de mantenimiento en la configuración interna. Quienes operan servidores basados en Docker necesitan conectarse por SSH para ejecutar el script de actualización manual. Los operadores que utilizan plataformas de nodos independientes como Umbrel o Start9 tendrán que esperar a que esos proveedores distribuyan la actualización oficial a través de sus propias interfaces, lo que significa que el parche no llegará al mismo ritmo a todas las instalaciones autoalojadas.
Parte de una tendencia más amplia
El parche llega en medio de lo que se ha descrito como un "octubre negro" para la ciberseguridad, un período marcado por una concentración inusual de vulnerabilidades graves en todo el entorno digital. Entre ellas está PHP2Shell, un fallo crítico en el lenguaje de programación que sustenta la mayor parte de la web activa.
El propio protocolo de la red Bitcoin es completamente inmune a PHP2Shell. Pero la extensa infraestructura comercial construida a su alrededor, exchanges, herramientas de pago y servicios web relacionados, ha quedado expuesta a posibles actores maliciosos en las últimas semanas. Charles Guillemet, director de tecnología de Ledger, calificó el escenario como "verdaderamente aterrador".
El caso de BTCPay Server ilustra ambas caras de esa exposición: una pieza de infraestructura ampliamente utilizada en el entorno de Bitcoin que presentaba un fallo crítico, y un escáner impulsado por IA que lo detectó antes de que pudiera ser utilizado como arma. Para los comercios y operadores de nodos europeos, la conclusión práctica es inmediata: comprobar el método de despliegue y aplicar la versión 2.4.7 sin demora.
