Bitget confirma que el hackeo de 351.6 millones de dólares se hizo con transferencias falsificadas, no con robo de llaves privadas

Bitget, una de las diez casas de cambio de criptomonedas más grandes del mundo por volumen de operaciones, confirmó que un grupo de atacantes logró extraer 351.6 millones de dólares de sus billeteras “hot” y “warm” tras comprometer un sistema interno y falsificar datos de transacciones para engañar al propio proceso de autorización de la plataforma. La CEO Gracy Chen fue enfática en un punto clave: las llaves privadas nunca fueron robadas, una distinción que separa este incidente de algunos de los hackeos más catastróficos de la industria y que condiciona qué tan rápido Bitget puede recuperarse.

El ataque fue detectado a las 18:31 UTC del 24 de septiembre de 2026. Bitget aseguró que actuó de inmediato para frenar nuevas transferencias no autorizadas y congeló los retiros como medida de precaución mientras investigaba lo ocurrido. La empresa también informó que su Fondo de Protección al Usuario, que cuenta con más de 464 millones de dólares, cubrirá la totalidad de las pérdidas, por lo que no se espera que los usuarios afectados terminen asumiendo el costo del ataque.

Cómo funcionó el ataque

La explicación de Bitget gira en torno a su arquitectura de billeteras por niveles, una práctica habitual en la industria: las billeteras calientes (hot wallets) mantienen fondos para liquidez inmediata, las billeteras tibias (warm wallets) actúan como un colchón entre las calientes y las frías, y las billeteras frías (cold wallets) permanecen desconectadas de internet para máxima seguridad. En este caso, la compañía aseguró que sus billeteras frías no fueron tocadas. Los atacantes, en cambio, explotaron un sistema interno vinculado a la infraestructura de billeteras, alimentándolo con datos de transacciones falsificados que engañaron al mecanismo de autorización del propio exchange, haciéndolo aprobar transferencias desde los niveles caliente y tibio.

Esto importa porque cambia la naturaleza del riesgo. Un robo de llaves privadas implica que el atacante tiene control criptográfico sobre los fondos de manera indefinida, y históricamente este tipo de brechas ha producido algunas de las pérdidas más grandes y dañinas en la historia de las criptomonedas, ya que las llaves no pueden reemplazarse simplemente como una contraseña. Un ataque de autorización falsificada, en cambio, explota una falla de proceso y no la raíz criptográfica de la custodia. Sigue siendo una falla de seguridad seria —351.6 millones de dólares es una cifra considerable, y el incidente ya se describe como uno de los hackeos a exchanges más costosos del año—, pero en principio es más contenible una vez identificada y corregida la falla interna, sin requerir una migración total de los fondos de los usuarios hacia nuevas billeteras y llaves.

Qué significa para Bitget y sus usuarios

Bitget presta servicio a más de 125 millones de usuarios en su exchange y opera además un producto separado de custodia propia, Bitget Wallet, usado por más de 100 millones de personas, con una plantilla de aproximadamente 1,900 empleados a 2025. La compañía ha ampliado su oferta más allá del trading spot y de derivados hacia acciones tokenizadas, materias primas, divisas y metales preciosos, posicionándose como una plataforma multiactivo y no solo como un exchange cripto puro. Una brecha de esta magnitud pone a prueba no solo las defensas técnicas de Bitget, sino la credibilidad de esa ambición más amplia, ya que tanto usuarios institucionales como minoristas ponderan fuertemente la seguridad de custodia al elegir dónde mantener portafolios diversificados.

La respuesta hasta ahora —congelar retiros, detener nuevas transferencias y comprometerse a un reembolso total a través del fondo de protección— sigue un guion ya conocido entre las grandes casas de cambio que mantienen reservas tipo seguro justamente para escenarios como este. Que el saldo de 464 millones de dólares del fondo y el compromiso público de Bitget se traduzcan en un reembolso completo y oportuno para cada usuario afectado será la verdadera prueba de si este mecanismo funciona como está diseñado. Congelar los retiros de forma amplia también tiene costos: incluso los usuarios no afectados por el hackeo pierden acceso temporal a sus fondos, un sacrificio que los exchanges suelen aceptar para contener el daño durante una investigación activa.

Qué sigue

Hay varios desarrollos concretos que vale la pena seguir en las próximas semanas:

• Si Bitget publica un informe técnico completo que detalle exactamente cómo se comprometió el sistema interno y qué corrección se aplicó.
• El cronograma para levantar el congelamiento de retiros y si los reembolsos del Fondo de Protección al Usuario se distribuyen según un calendario definido.
• Cualquier respuesta regulatoria, dado que Bitget está registrada en Seychelles pero opera globalmente, incluyendo si otras jurisdicciones donde funciona exigen divulgaciones adicionales.
• Si otros exchanges revisan o refuerzan sus propios sistemas de autorización interna en respuesta, ya que el método de ataque —explotar la lógica del proceso y no la criptografía— podría en teoría replicarse en otras plataformas.

El episodio ocurre en medio de un impulso más amplio de las finanzas tradicionales y los proveedores de infraestructura cripto por llevar más activos del mundo real a la cadena de bloques, desde depósitos tokenizados en bancos importantes hasta acciones tokenizadas en exchanges establecidos. Esa tendencia paralela, que ya cubrimos al analizar cómo IBM conectó su plataforma con el libro contable de Swift para depósitos tokenizados y cómo ARK Invest llevó a la blockchain su fondo de capital de riesgo, deja claro cuánta confianza institucional depende hoy de la infraestructura de custodia que sostiene estas plataformas. Una brecha en un exchange del top diez, incluso una contenida sin robo de llaves, es un recordatorio de que la seguridad de los sistemas internos sigue siendo tan relevante como los activos que se negocian, un punto que también se refleja en la cobertura sobre cómo la Reserva Federal exige requisitos de capital y rescate a los emisores de stablecoins, un sector que igualmente depende de una autorización de transacciones a prueba de fallas. Para quienes quieran repasar el detalle completo del ataque y sus cifras, la cobertura sobre el hackeo a Bitget que convirtió a septiembre en el mes más costoso de 2026 para el sector cripto ofrece contexto adicional sobre el impacto regional del incidente.

Fuente: CoinDesk

Este contenido es informativo y no constituye consejo financiero ni de inversión.