El hackeo a Bitget se agrava: pérdidas suben a 387.5 millones de dólares en ataque atribuido a Corea del Norte

Las pérdidas de Bitget tras la vulneración de su infraestructura de billeteras subieron a 387.5 millones de dólares, muy por encima de los 351.6 millones confirmados inicialmente, mientras los investigadores siguen rastreando los fondos a través de al menos cinco blockchains. El exchange y firmas de seguridad externas atribuyen el ataque a un grupo de hackers vinculado a Corea del Norte, en lo que se considera el mayor robo a un exchange cripto de 2026 y una nueva señal de que los actores respaldados por estados encuentran formas cada vez más sofisticadas de burlar las defensas de las plataformas.

El ataque fue detectado el 24 de septiembre de 2026 a las 18:31 UTC. Los investigadores on-chain ya habían contabilizado 183 millones de dólares en salidas sospechosas en apenas una hora, un ritmo que deja claro qué tan rápido puede moverse el dinero una vez que un atacante logra entrar a los sistemas internos de un exchange. Bitget aseguró que el intruso no robó llaves privadas ni falsificó solicitudes de retiro de usuarios, el mecanismo que ha comprometido a otras plataformas en el pasado. En cambio, el atacante vulneró un sistema backend y falsificó datos de transacciones, engañando al propio proceso de autorización del exchange para que aprobara transferencias que debía rechazar. Esa distinción importa: apunta a una falla en la lógica interna de verificación, no a una fuga de credenciales de clientes ni a una llave privada comprometida, un problema distinto y, posiblemente, más difícil de cerrar por completo.

Cómo se ejecutó el robo

Una vez dentro, el atacante vació criptomonedas de las billeteras “hot” y “warm” de Bitget —las que los exchanges mantienen más accesibles para procesar retiros del día a día— en varias blockchains. El activo individual más grande sustraído fueron 103 millones de XRP, con un valor aproximado de 157 millones de dólares, la porción más grande del botín total. En una maniobra aparte y notablemente veloz, el atacante usó 19.67 millones de dólares en USDT0 para comprar 7,111 ETH en solo seis minutos, pagando cerca de un 5% por encima del precio de mercado a través de UniswapX y 1inch Fusion. Pagar de más para garantizar velocidad de ejecución sugiere que el atacante priorizó convertir rápidamente los activos robados en ether antes que maximizar el valor obtenido, un patrón típico de quienes buscan mover fondos antes de que las billeteras puedan ser marcadas o congeladas. Los intentos de interceptar el dinero tuvieron éxito limitado: Circle y Tether congelaron una billetera controlada por el hacker, pero solo lograron recuperar una fracción mínima de lo que ya había circulado por ella, según se detalla en la cobertura sobre el intento de congelar la billetera del hacker de Bitget.

Bitget respondió congelando los retiros como medida de precaución, mientras mantuvo activos los depósitos y el trading, un paso pensado para frenar más salidas de fondos sin cerrar la plataforma por completo. El exchange trabaja junto a la firma forense Mandiant y a la compañía china de seguridad SlowMist para investigar el hackeo, y se comprometió a publicar un informe completo del incidente. La CEO Gracy Chen tiene además una historia personal con el grupo sospechoso: ha declarado que anteriormente perdió 80,000 dólares a manos de los mismos actores, un detalle que le da una dimensión personal a una crisis que afecta a todo el exchange. Bitget mantiene un Fondo de Protección al Usuario que ya supera los 464 millones de dólares, frente a los 300 millones que tenía en 2023, y al que la empresa ha señalado como respaldo para los usuarios afectados, aunque su crecimiento también refleja cuánto se ha expandido la amenaza desde entonces.

Un patrón que va más allá de un solo exchange

Este hackeo no ocurre de manera aislada. El FBI ya había atribuido al grupo Lazarus de Corea del Norte —también identificado como TraderTraitor— el robo de 1,400 millones de dólares a Bybit en febrero de 2025, en su momento el mayor hackeo a un exchange cripto registrado. La firma de análisis blockchain Chainalysis estima que el botín total robado por Corea del Norte en criptomonedas durante 2025 supera los 2,000 millones de dólares, una cifra que refleja una campaña sostenida y organizada, no ataques oportunistas. Llegando tan poco después del incidente de Bybit, el hackeo a Bitget refuerza la imagen de un adversario con muchos recursos que estudia la infraestructura de los exchanges, adapta sus métodos y trata el robo de criptoactivos como una fuente confiable de ingresos. Para quienes siguen de cerca la seguridad de los exchanges, los detalles de cómo funcionó el exploit —mediante autorización backend falsificada y no una llave robada— quedaron documentados en el propio relato de Bitget sobre el mecanismo de transferencias falsificadas detrás del hackeo.

Qué sigue

Quedan varios frentes abiertos. El informe de incidente que prometió Bitget debería aclarar exactamente qué controles internos fallaron y qué cambios está haciendo el exchange en su proceso de autorización. Los investigadores seguirán rastreando los activos robados a través de las más de cinco blockchains involucradas, incluyendo si es posible congelar más fondos que pasaron por emisores de stablecoins como Circle y Tether antes de que terminen de lavarse. El episodio ya convirtió a septiembre en el mes más costoso para el robo de criptoactivos en 2026, una magnitud analizada previamente en la cobertura sobre la escala del hackeo a Bitget, y ese ranking podría volver a modificarse si las pérdidas se ajustan al alza nuevamente, como ya ocurrió una vez. Más allá de Bitget, es probable que el incidente renueve el escrutinio sobre cómo diseñan los exchanges sus sistemas internos de aprobación de transacciones en toda la industria, ya que la falla explotada aquí no fue una debilidad visible para el usuario, sino un control interno que rara vez se examina desde afuera hasta que algo sale mal.

Para el ecosistema cripto de América Latina, donde exchanges internacionales operan como puerta de entrada para el ahorro, el trading y el envío de remesas en dólares y stablecoins, este tipo de episodios recuerda que la seguridad de una plataforma no depende solo de proteger las llaves privadas de los usuarios, sino también de blindar los sistemas internos que autorizan cada movimiento de fondos.

Fuente: Decrypt

Este contenido es informativo y no constituye consejo financiero ni de inversión.