MetaMask y Core Lightning muestran cómo los ataques de criptomonedas se desplazan hacia capas inferiores

Core Lightning ha revelado que los atacantes están explorando nodos de Bitcoin sin parchear. Esto ocurre en la misma semana en que MetaMask mantuvo desactivados durante dos días a los validadores de staking tras una brecha en parte de su infraestructura.

Ambas plataformas afirman que el incidente no afectó a sus capas base respectivas. Bitcoin siguió produciendo bloques y, según MetaMask, ninguna cartera ni fondo de cliente resultó afectado. 

Core Lightning insta a los operadores a dejar de ejecutar versiones antiguas

Core Lightning es un software de código abierto que muchas empresas e individuos utilizan para ejecutar nodos en la Red Lightning de Bitcoin. El equipo publicó una notificación urgente el 2 de octubre instando a cualquier usuario de la versión 26.06.7 o anterior a instalar inmediatamente la versión actual.

El proyecto escribió en X, «Hemos recibido informes de que los atacantes están aprovechándose de nodos sin parchear». Informó a los usuarios que actualizar al nodo actual era un paso importante para proteger sus fondos.

Core Lightning mencionó las vulnerabilidades de la versión anterior, pero no hizo ninguna referencia a fondos robados. 

Los nodos Lightning mantienen salidas reales en canales de pago fuera de la cadena principal de Bitcoin, lo que hace que esta alerta sea muy relevante. Un nodo accesible que no haya sido parcheado puede ser contactado directamente por sus pares, convirtiendo un error teórico en una superficie de ataque expuesta.

Dos meses comprimidos de parches

Este es el último caso de una serie de incidentes que Core Lightning ha detectado en la segunda mitad de 2026.

En agosto, la plataforma indicó que estaba procesando un alto volumen de informes de vulnerabilidades, señalando que muchos de ellos eran generados automáticamente. Posteriormente, lanzó la versión 26.06.7 el 28 de agosto. 

Core Lightning retrasó la publicación del código fuente correspondiente durante aproximadamente dos semanas, permitiendo a los operadores actualizar antes de que los parches hicieran más fácil reconstruir los errores subyacentes.

Un segundo susto se produjo a mediados de septiembre, y los mantenedores tuvieron que informar a los operadores que desactivaran inmediatamente cualquier función experimental debido a un fallo que podría poner en riesgo los fondos. 

Core Lightning lanzó la versión 26.06.8 el 22 de septiembre, esta vez sin embargo de confidencialidad.

MetaMask retira validadores de Lido

MetaMask indicó que estaba respondiendo a un incidente de seguridad que afectaba parte de su infraestructura el 30 de septiembre. Durante el día siguiente, comenzó a retirar los validadores de Ethereum que opera dentro de Lido, el protocolo de staking líquido más grande en Ethereum, como medida precautoria.

MetaMask Staking, anteriormente Consensys Staking, afirmó que sus operaciones son no custodiales y que no conserva las claves de retiro en nombre de los clientes. 

En su Actualización de octubre 1, la empresa dijo que no había encontrado "ninguna amenaza inmediata para las billeteras MetaMask", añadiendo que no había indicios de que se hubiera accedido a los fondos de los clientes.

Lido, que reveló las salidas en un aviso del foro de gobernanza, informó a los titulares de stETH que no era necesaria ninguna acción. Sin embargo, advirtió que este movimiento probablemente implicaría la pérdida de recompensas y posibles penalizaciones por tiempo de inactividad.

La precaución tiene un costo, ya que el ETH retirado podría tardar hasta 45 días en devolverse. Se espera que los últimos validadores afectados hayan salido antes del 7 de octubre. 

Lido no es la única plataforma en la que se están retirando validadores Linea confirmó que también se estaban retirando los validadores que respaldaban su bóveda Yield Boost vinculada a MetaMask. Sin embargo, indicó que los fondos y el control de la bóveda no se vieron afectados.

Un patrón que los defensores han estado señalando

Ambos eventos se ajustan a una tendencia que la industria ha estado advirtiendo. En agosto, BTCPay Server reveló una vulnerabilidad crítica que los atacantes ya habían utilizado para vaciar nodos Lightning pertenecientes a comerciantes. Esta vulnerabilidad también afectó al fabricante de billeteras de hardware Foundation, que perdió su propio nodo en ese ataque.

Ese mismo mes, más de 30 empresas, incluidas Coinbase, Block, Blockstream y ARK Invest, firmaron una carta organizada por el Bitcoin Policy Institute, que señalaba que los investigadores de seguridad de código abierto están trabajando con herramientas de IA más débiles que sus atacantes.

Las mentes más inteligentes del mundo cripto ya leen nuestro boletín. ¿Quieres unirte? Únete a ellos.