BTCPay Server ofrece una recompensa de hasta 3 BTC por la recuperación de fondos robados tras el ataque a los nodos Lightning.
El 10 de agosto, el equipo de BTCPay Server anunció oficialmente el lanzamiento de un programa de recompensas por ayuda en la recuperación de activos robados durante un reciente ataque a nodos Lightning. El incidente, que afectó la infraestructura de pagos, obligó a los desarrolladores a tomar una medida poco convencional: ofrecer una recompensa del 10% del monto recuperado, pero no más de 3 BTC (~$190,000) en caso de recuperación total de los fondos.
El financiamiento de esta iniciativa fue asumido por patrocinadores anónimos y socios del proyecto, a quienes en el comunicado oficial se denominó «amigos y seguidores» de BTCPay Server. Es notable que la oferta se extiende a cualquier persona que posea información capaz de conducir a la devolución de las monedas, incluidos los propios atacantes. Si varias personas participan en el proceso de recuperación, la recompensa se distribuirá proporcionalmente según su contribución y la relevancia práctica de los datos proporcionados, teniendo en cuenta la magnitud del daño de cada víctima.
Detalles del incidente y reacción de la comunidad
Por separado, la Fundación BTCPay Server asignó 0,21 BTC al desarrollador de Sparrow Wallet, Craig Raw, y al grupo voluntario Bitcoin Red Team por la «divulgación responsable de la vulnerabilidad». En el proyecto reconocieron que las cantidades pueden parecer modestas, pero destacaron el estatus sin fines de lucro de BTCPay como proyecto FOSS, lo que limita las capacidades financieras.
La magnitud del ataque aún no se ha revelado: ni el monto exacto de las pérdidas ni el número de nodos afectados han sido divulgados. El equipo promete publicar un análisis técnico completo del incidente más adelante. Se sabe que el ataque afectó exclusivamente a configuraciones con LND, mientras que las carteras on-chain permanecieron intactas. En la versión 2.4.2 se deshabilitó temporalmente el acceso público a la API de LND en las compilaciones Docker, lo que limita la conexión de carteras externas, como Zeus, a través del dominio BTCPay o la dirección onion.
Los desarrolladores se centraron en parches y en reforzar la revisión de código con la participación de auditores externos. En particular, se están estudiando los informes de Bitcoin Red Team, Project Loupe, Magic Grants e investigadores independientes. Se recomienda encarecidamente a los usuarios mantener los fondos en carteras frías hasta que la vulnerabilidad se elimine por completo.
La IA como nuevo factor de amenaza
En el proyecto vinculan el cambio en el enfoque de seguridad con la proliferación de la inteligencia artificial. En su opinión, los modelos de IA hacen que la búsqueda de vulnerabilidades sea más rápida y económica, lo que convierte a muchas plataformas en objetivos fáciles. «La inteligencia artificial desplaza el equilibrio de poder: los atacantes obtienen ventaja. Los modelos se vuelven más inteligentes, y encontrar fallos en grandes bases de código ahora es más barato y rápido. Los proyectos de Bitcoin son el objetivo más codiciado, pero el resto del software no escapará al mismo destino», se afirma en el comunicado oficial.
Se recomienda a los afectados contactar con las autoridades policiales locales y con los servicios a los que pudieron haber sido transferidas las monedas robadas. Los servicios de seguridad de los exchanges, los analistas de blockchain y los representantes gubernamentales ya han ofrecido su ayuda.
Mi comentario: La situación con BTCPay Server es una señal de alerta para toda la industria. El hecho de que incluso proyectos FOSS consolidados se conviertan en víctimas de ataques dirigidos subraya la necesidad de revisar los estándares de seguridad. La IA realmente está cambiando las reglas del juego, y los proyectos tendrán que invertir significativamente más recursos en defensa que antes. La recompensa de 3 BTC es un compromiso razonable, pero difícilmente compensará las pérdidas reputacionales y el daño a la confianza de los usuarios.