Servidor doméstico apagado en una estantería oscura, con un solo LED rojo encendido y un cable de red desconectado colgando delante
Ilustración propia generada con IA.

LNbits pide apagar todos los servidores tras una oleada de ataques; el único caso documentado perdió 2.285.545 sats

Equipo NodeWitness 7 min de lectura

LNbits pide a todos sus operadores que apaguen el servidor de inmediato tras una oleada de ataques, mientras prepara varios parches. El único caso público documentado es el de BitTipBot: 2.285.545 sats sacados por cuentas nuevas. El 10 de noviembre salió la v1.7.0; actualizar no basta, hay que rotar también las claves y las credenciales.

Actualización, 11/11/2026: el 10 de noviembre, a las 18:09 (hora de Madrid), LNbits publicó la v1.7.0 [14]. El proyecto pide instalarla antes de volver a encender el servidor, y avisa de que actualizar no basta: las claves o credenciales expuestas pueden seguir sirviendo al atacante despues del parche [15]. Si sospechas que te han entrado, guarda los registros y monta la v1.7.0 en un servidor nuevo. En todos los casos hay que rotar las claves de las carteras (Super Admin → Settings → Users → Reset Wallet Keys), revocar y sustituir las credenciales de la fuente de liquidez (claves API, macaroons u otras) y el resto de secretos de la configuración, y volver a crear las conexiones de NWC Provider, LNDHub, Bolt Cards, TPOS, Bleskomat y FOSSA [15]. A 11 de noviembre sigue sin haber un aviso técnico del fallo ni una cifra total de pérdidas.

LNbits, el software de código abierto con el que mucha gente monta carteras y cobros sobre Lightning en su propio servidor, pidió el domingo 8 de noviembre a las 14:56 (hora de Madrid) que todo el mundo detuviera su instancia de inmediato [1]. «Tras una oleada de ataques, tenemos varios parches de seguridad que empujar. Hasta entonces, es mejor pecar de precavidos», escribió el proyecto en X, en un mensaje que ya pasaba de 96.000 visualizaciones en nuestra consulta [1].

Es el segundo programa de cobros con bitcoin instalado en servidor propio que pide apagar las máquinas en una semana, despues del aviso de BTCPay Server el 1 de noviembre [8]. La diferencia es el canal: aquí los robos documentados van por Lightning, sin direcciones públicas en la cadena que se puedan seguir como en aquel caso.

La alarma creció en hora y media

El primer aviso llegó antes y era más estrecho. A las 13:33 (Madrid), LNbits pidió a quien tuviera la extensión Paywall activada que la desactivara al momento, mientras investigaba un posible error [2]. Paywall sirve para cobrar el acceso a un contenido. El mensaje general de las 14:56 ya hablaba de ataques y de todos los servidores, con o sin esa extensión [1].

Tres minutos después, Ben Arc, colaborador del proyecto, pidió reenviar el aviso a quien pudiera estar corriendo una instancia y dijo que los parches deberían fusionarse y estar disponibles en 24 a 48 horas [3].

A las 18:18 (Madrid), LNbits anunció que había desactivado todas las instancias de su servicio alojado, my.lnbits.com, «como precaución», y que los servicios volverían en 24 horas [4]. El 9 de noviembre por la mañana, en hora de Madrid, esa web volvía a servir la aplicación; no hemos comprobado si las carteras ya estaban operativas [4][11].

El único vaciado con cifra pública

Kevin Ravensberg, que opera BitTipBot sobre una instancia propia de LNbits, respondió al aviso general con el único caso documentado hasta ahora [5]. Dice que su servidor fue explotado antes del anuncio: cuentas nuevas usaron el fallo y retiraron 2.285.545 sats, unos 0,023 BTC, entre las 10:22 y las 15:00 (Madrid), es decir, entre las 09:22 y las 14:00 UTC [5]. Afirma que hará enteros a todos los usuarios del bot, pero que no podrán tocar los fondos hasta que LNbits parchee las vulnerabilidades [5].

Más tarde añadió que el red team de LNbits y Ben Arc le confirmaron qué extensión concreta se usó contra su servidor, y que se trabaja en una forma de evitar ese tipo de ataques [6]. No nombró la extensión. CriptoNoticias recogió el episodio el mismo domingo en español [7].

Qué no se sabe todavía

LNbits no ha descrito en público la naturaleza de los ataques, ni ha dicho si el aviso de Paywall forma parte del mismo vector, ni cuántas instancias fueron golpeadas, ni cuál es la cifra total de pérdidas [1][2][7]. El 10 de noviembre publicó la v1.7.0 [14]; a 11 de noviembre sigue sin haber un advisory nuevo ligado a este incidente [10]. El proyecto pide instalar esa versión antes de volver a encender el servidor, y rotar después claves y credenciales [15]. El aviso técnico del fallo, según LNbits, llegará en un informe posterior [15].

Si tienes LNbits en el nodo de casa

LNbits se instala con un clic en varios nodos domésticos con tienda de aplicaciones. La documentación del proyecto lista esas plataformas de un clic, y en el Marketplace de Start9, el 9 de noviembre, figuraba empaquetado como LNbits 1.6.2 [12][13].

Hasta instalar la v1.7.0 y rotar claves y credenciales, el camino más seguro es:

  1. Detener la app o el servicio LNbits desde el panel del nodo (o apagar el proceso si lo instalaste a mano).
  2. Revisar saldos, cuentas recién creadas y qué extensiones tenías activas, en particular Paywall [2].
  3. No reabrir la instancia hasta instalar la v1.7.0 y rotar claves y credenciales, como indica la guía del proyecto [15].
  4. Si había sats asignados a carteras de LNbits, tratarlos como fondos en una cartera caliente del nodo: conviene sacarlos a una cartera cuyas claves no vivan en ese servidor, en la línea de lo que explicamos en la comparativa de custodia.

Cartera en el servidor, claves fuera

LNbits no guarda por sí mismo una semilla on-chain al estilo de una cartera fría. Opera como sistema de cuentas sobre la cartera Lightning del nodo (LND o Core Lightning): el operador de la instancia puede crear carteras para terceros y esos saldos salen, en la práctica, del mismo nodo [12]. Quien logra abusar de la instancia puede retirar sats por Lightning. Por eso el vaciado de Ravensberg no deja un rastro público de direcciones en la cadena comparable al de BTCPay.

La lección se parece a la de hace una semana. Un programa de cobros conectado a internet es conveniente, tambien es el primer sitio donde un fallo se convierte en dinero perdido. Ahora el proyecto pide instalar la v1.7.0 antes de volver a encender el servidor, y rotar después las claves y las credenciales [15].

Fuentes

Tipo de fuente entre corchetes. Horas en UTC cuando la fuente las da así; en el cuerpo, convertidas a hora de Madrid (UTC+1). Consultadas el 9 de noviembre de 2026, salvo [14] y [15], del 11 de noviembre.

  1. LNbits, mensaje en X, 13:56 UTC del 8 de noviembre de 2026 (14:56 Madrid). Petición de detener todos los servidores; oleada de ataques; parches pendientes. 96.160 impresiones en la consulta. (Primaria, proyecto)
  2. LNbits, mensaje en X, 12:33 UTC del 8 de noviembre de 2026 (13:33 Madrid). Desactivar la extensión Paywall de inmediato. (Primaria, proyecto)
  3. Ben Arc (@arcbtc), mensaje en X, 13:59 UTC del 8 de noviembre de 2026. Parches en 24 a 48 horas; reenviar el aviso. (Primaria, colaborador del proyecto)
  4. LNbits, mensaje en X, 17:18 UTC del 8 de noviembre de 2026 (18:18 Madrid). Desactivación de my.lnbits.com; reanudación en 24 horas. (Primaria, proyecto)
  5. Kevin Ravensberg (@KevinR4v), mensaje en X, 15:29 UTC del 8 de noviembre de 2026. 2.285.545 sats retirados entre 09:22 y 14:00 UTC; compromiso de resarcir a los usuarios de BitTipBot. (Primaria, operador afectado)
  6. Kevin Ravensberg, respuesta en X, 17:47 UTC del 8 de noviembre de 2026. Confirmación de la extensión por el red team y Ben Arc, sin nombrarla. (Primaria, operador afectado)
  7. CriptoNoticias, LNbits pide a todos sus usuarios detener sus servidores tras una «oleada de ataques», Franco Scandizzo, 8 de noviembre de 2026. (Secundaria, prensa)
  8. NodeWitness, BTCPay Server pide apagar los servidores tras el vaciado de carteras calientes en versiones antiguas, 2 de noviembre de 2026. (Primaria, propia)
  9. LNbits, releases en GitHub, última v1.6.2 publicada el 18 de septiembre de 2026. Consulta del 9 de noviembre. (Primaria, proyecto)
  10. LNbits, GitHub Security Advisories, consulta del 9 de noviembre de 2026: sin advisory nuevo ligado a este incidente. (Primaria, proyecto)
  11. my.lnbits.com, comprobación propia de respuesta HTTP el 9 de noviembre de 2026 por la mañana (hora de Madrid). (Primaria, consulta propia)
  12. LNbits, Node Platforms, documentación oficial de instalación con un clic en nodos domésticos. (Primaria, proyecto)
  13. Start9 Marketplace, listado LNbits 1.6.2, consulta del 9 de noviembre de 2026. (Primaria, plataforma)
  14. LNbits, v1.7.0 en GitHub, publicada el 10 de noviembre de 2026 a las 17:09 UTC (18:09 Madrid). Actualización urgente de seguridad. (Primaria, proyecto)
  15. LNbits, LNbits 1.7.0: security update and upgrade guidance, 10 de noviembre de 2026. Actualizar no basta; hay que rotar claves y credenciales. (Primaria, proyecto)

Más en Privacidad y autocustodia

Ver los 34 artículos de Privacidad y autocustodia →

Última actualización: 9 de noviembre de 2026