coindesk.com
BTCPay Server, una herramienta gratuita y de código abierto que las empresas utilizan para aceptar pagos en bitcoin, instó a sus usuarios el domingo a apagar sus servidores.
La alerta se produjo después de que el proyecto recibiera informes de que atacantes estaban drenando “billeteras calientes” en algunos de esos servidores.
Como software de código abierto, BTCPay Server permite a cualquier persona desplegar y ejecutar el sistema en sus propios servidores, los ordenadores que mantienen el software en funcionamiento las 24 horas del día.
Debido a que no existen intermediarios ni custodios terceros, las empresas reciben pagos en bitcoin directamente en sus propias billeteras, y BTCPay les permite gestionarlas como billeteras calientes, que permanecen conectadas a internet.
Sin embargo, esta facilidad para realizar transacciones conlleva dos riesgos.
El primero es la billetera caliente. Cada una reside en el propio servidor individual de un comerciante. Lo que la hace caliente es que la frase semilla, el secreto necesario para enviar monedas, se almacena en ese servidor, que está conectado a internet. Esta billetera también puede aceptar pagos sin necesitar la frase semilla.
La documentación de BTCPay indica que BTCPay Server luego “utilizará automáticamente la semilla almacenada en un servidor para firmar” y aprobar un pago.
Así, el servidor del comerciante puede enviar las monedas por sí mismo, sin que el comerciante las apruebe en un dispositivo separado. Eso es conveniente, pero cualquiera que irrumpa en ese servidor puede enviar las monedas a su propia dirección. La documentación marca la función con una etiqueta de “PELIGRO” y dice que “implica riesgos de seguridad.”
La segunda es la descentralización. Cada comerciante aloja el software en su propio servidor privado. Por lo tanto, no existe un interruptor maestro que se pueda accionar cuando algo sale mal. Cada propietario de negocio es responsable de forma independiente de asegurar su propia infraestructura.
Esta es la razón por la cual BTCPay tuvo que solicitar a cada propietario de servidor que cerrara su sistema. No puede hacerlo por ellos.
“Estamos recibiendo reportes de que carteras calientes en los servidores BTCPay están siendo vaciadas por atacantes no autorizados. Si está operando una instancia, por favor deténgala (./btcpay-down.sh) hasta que completemos la investigación,” BTCPay dijo en X.
Barrido significa que las monedas se trasladaron fuera de la cartera de una sola vez. El comando, ./btcpay-down.sh, detiene el software. BTCPay pidió a los propietarios que lo mantuvieran apagado hasta que la investigación esté completa.
