Dos transferencias de prueba pasaron bajo el umbral de seguridad
El CEO de Bitget, Gracy Chen, reveló el 28 de septiembre de 2026 cómo el atacante que robó 388 millones de dólares logró eludir los sistemas de detección del exchange. Dos transferencias iniciales de prueba el 24 de septiembre pasaron por debajo de los umbrales de seguridad: 0,184 ETH desde una cartera activa de Ethereum y posteriormente 193 TRX desde una cartera activa de Tron.
Estas cantidades pequeñas permitieron al atacante verificar que las direcciones de destino estaban bajo su control sin activar alertas automáticas. Chen explicó que las actividades sospechosas iniciales no fueron detectadas hasta que "una discrepancia activó los controles internos del exchange" siete minutos después de la primera transferencia grande.
El ataque principal ocurrió entre las 18:58 y 20:09 UTC del 24 de septiembre de 2026, cuando el atacante extrajo aproximadamente 361 millones de dólares en la fase principal. El total alcanzó los 388 millones al incluir movimientos posteriores.
Vulnerabilidad de día cero en producto de seguridad externo
El atacante aprovechó "una vulnerabilidad de día cero en un producto de seguridad de terceros" para acceder a sistemas internos e insertar comandos fraudulentos de retiro en el backend. Estos comandos se procesaron como operaciones legítimas en Bitget, lo cual explica por qué no fueron bloqueados automáticamente.
Una vulnerabilidad de día cero es un fallo de seguridad desconocido para el fabricante del software. En este caso, el proveedor de seguridad que Bitget utilizaba para proteger sus sistemas tenía un agujero que nadie había identificado. Los atacantes lo descubrieron primero y lo usaron antes de que pudiera parchearse.
Chen reveló que los atacantes incrustaron comandos fraudulentos y eliminaron evidencia de sus métodos de acceso. Esto dificultó la investigación posterior porque el sistema no registró cómo entraron ni qué herramientas usaron para ocultar sus rastros.
El hueco de siete minutos que costó millones
Los controles internos detectaron anomalías, pero el sistema tardó siete minutos en identificar la discrepancia. Para entonces, los atacantes ya habían ejecutado las primeras transferencias grandes y eliminado evidencias. Ese intervalo de tiempo fue suficiente para drenar fondos de múltiples carteras calientes.
Los exchanges como Bitget mantienen la mayoría de sus fondos en carteras frías sin conexión a internet. Las carteras calientes de Bitget, conectadas para procesar retiros de usuarios, contienen solo lo necesario para operaciones diarias. En este caso, los atacantes vaciaron las carteras calientes antes de que el sistema pudiera bloquearlas.
La ventana de siete minutos plantea preguntas sobre la arquitectura de seguridad. ¿Por qué transferencias de cientos de millones de dólares no activaron alertas instantáneas? Chen explicó que los comandos fraudulentos se insertaron en el backend con credenciales aparentemente legítimas, por lo que el sistema no los marcó como sospechosos de inmediato.
Atribución a Corea del Norte y dificultad de recuperación
Análisis posteriores atribuyeron el ataque a grupos vinculados con Corea del Norte. Estos grupos han ejecutado algunos de los mayores robos de criptomonedas de los últimos años, incluyendo el hackeo de Ronin Network por 625 millones de dólares en marzo de 2022.
Chen reconoció que la recuperación de los fondos robados es difícil. Una vez que los atacantes mueven criptomonedas a través de mezcladores o las convierten en otras cadenas, rastrear los fondos se vuelve extremadamente complejo. Las autoridades pueden seguir las transacciones en blockchain, pero recuperar físicamente los activos requiere identificar y arrestar a los responsables. Los hackeos en DeFi durante 2026 superaron los 1.300 millones de dólares, con patrones similares de aprovechamiento de fallos de seguridad.
Bitget anunció que compensaría a los usuarios afectados con fondos de reserva. El exchange mantiene un fondo de protección de activos diseñado para cubrir pérdidas en casos de hackeos. Las pruebas de reservas permiten verificar si un exchange respalda realmente los activos de los usuarios. Sin embargo, el incidente deja claro que las vulnerabilidades de día cero en proveedores de seguridad externos representan un riesgo que los exchanges no siempre pueden controlar directamente.
La industria debe preguntarse si la arquitectura actual de exchanges centralizados, con carteras calientes manejadas por software de terceros, es sostenible frente a atacantes sofisticados con recursos de estados nacionales. Las dos transferencias de prueba que pasaron desapercibidas demuestran que los sistemas actuales tienen puntos ciegos que los atacantes pueden aprovechar.