Por Canuto  

La CEO de Bitget atribuyó el ataque valorado en USD $388 millones a una vulnerabilidad en un producto de seguridad de un tercero. El exchange asegura que sus claves privadas y billeteras frías no fueron comprometidas, aunque aún no informa cuánto logró recuperar o congelar.
***

  • Bitget dijo que el atacante obtuvo credenciales internas de alto nivel mediante una falla en un producto de seguridad externo y las usó para ordenar retiros fraudulentos.
  • La plataforma aseguró que sus claves privadas no fueron comprometidas y que sus billeteras frías no resultaron afectadas; además, reforzó sus controles de retiro.
  • El exchange todavía no publica cifras verificadas de recuperación y mantiene abierta la investigación con apoyo de Mandiant y SlowMist.

Bitget atribuye el hackeo de USD $388 millones a una falla externa

Bitget atribuyó el ataque valorado en USD $388 millones a una vulnerabilidad en un producto de seguridad de un tercero, que habría permitido al atacante obtener credenciales internas de alto nivel. La CEO de la plataforma, Gracy Chen, dijo a Cointelegraph que esas credenciales se utilizaron para emitir órdenes de retiro fraudulentas, aunque aseguró que las claves privadas del exchange no fueron comprometidas y que las billeteras frías quedaron fuera del incidente.

Una falla externa habría abierto el paso a los retiros

La explicación divulgada por Chen sitúa el problema en una herramienta de seguridad ajena a Bitget, no en una filtración de las claves privadas de sus billeteras. Según la CEO, el acceso obtenido por el atacante permitió emitir instrucciones de retiro que parecían contar con autorización interna, una distinción relevante para entender qué parte de la infraestructura habría sido afectada y qué protecciones, de acuerdo con la empresa, permanecieron intactas.

En este caso, las credenciales internas son datos de acceso que pueden habilitar acciones dentro de los sistemas de una organización; por eso, su uso indebido puede ser peligroso incluso si las claves privadas no se filtran. Bitget sostuvo que el atacante aprovechó ese acceso para enviar comandos fraudulentos, pero la información disponible no detalla qué producto de terceros presentó la vulnerabilidad ni cómo se produjo exactamente la obtención de las credenciales.

La compañía informó que corrigió la falla y endureció sus procedimientos de retiro después del incidente. Entre los cambios que enumeró figuran restringir el acceso interno, añadir una verificación independiente para las salidas de fondos y ampliar la supervisión de actividades inusuales, medidas dirigidas a reducir la posibilidad de que una sola credencial o instrucción pueda activar transferencias sin controles adicionales.

La diferencia entre billeteras calientes y frías ayuda a dimensionar la declaración de Bitget: las primeras suelen estar conectadas a sistemas que facilitan operaciones, mientras las segundas se mantienen fuera de línea o con menor exposición directa. El exchange afirmó que detectó transferencias no autorizadas desde varias billeteras calientes, pero que sus billeteras frías no fueron afectadas; la información proporcionada no identifica activos específicos ni describe el recorrido de cada transferencia.

El incidente fue detectado el 24 de septiembre

Bitget detectó el 24 de septiembre transferencias no autorizadas desde varias de sus billeteras calientes y suspendió temporalmente los retiros. Esa pausa fue la respuesta inmediata descrita por la empresa mientras atendía el incidente, aunque la información disponible no especifica cuánto duró la suspensión ni cuándo se reanudaron los retiros para los usuarios.

Las cifras comunicadas presentan dos referencias que conviene distinguir: el titular y las declaraciones posteriores describen un ataque de USD $388 millones, mientras que la estimación inicial del exchange situó en unos USD $352 millones los activos afectados. La fuente no explica la diferencia entre ambas cantidades, de modo que no corresponde tratarlas como cifras equivalentes ni concluir, a partir de esos datos, cuál será el monto definitivo de pérdidas.

El caso también deja pendiente una actualización sobre los activos sustraídos. Chen dijo que algunos fueron congelados con ayuda de otros participantes de la industria, pero Bitget todavía no ha informado cuánto logró recuperar o congelar y señaló que publicará un total solo después de verificar las cantidades, una cautela importante cuando las cifras pueden cambiar durante el rastreo.

La falta de un balance final limita por ahora la evaluación del impacto económico del incidente, aunque la empresa sí ha señalado medidas correctivas en sus procesos internos. No se informó en el material disponible si Bitget reembolsará a los usuarios, cómo se distribuirían eventuales pérdidas ni qué proporción de los activos afectados permanece bajo control de terceros, por lo que esas cuestiones siguen sin respuesta pública.

La recuperación depende del rastreo y de las redes implicadas

Bitget pidió previamente a THORChain, un protocolo que permite intercambiar activos entre distintas blockchains, que se negara a prestar servicios a direcciones vinculadas al ataque. La solicitud forma parte de los esfuerzos para dificultar el movimiento de los fondos señalados, pero no equivale a una petición para detener toda la red ni permite afirmar que el protocolo haya congelado los activos.

THORChain indicó que no puede incluir selectivamente direcciones individuales en una lista negra. Chen reconoció esa limitación técnica y dijo que Bitget respeta las capacidades de las distintas redes, además de aclarar que no solicita acciones que los protocolos no puedan ejecutar; así, la disputa no se presentó como un pedido para suspender THORChain, sino como un intento de impedir que se presten servicios a direcciones relacionadas con el caso.

La CEO también matizó las sospechas previas de Bitget sobre una posible participación de Corea del Norte. Chen explicó que esa hipótesis se basó en indicadores preliminares identificados durante la investigación y que esos indicios todavía se evalúan, por lo que la atribución no constituye una conclusión confirmada sobre la identidad del atacante.

Mandiant y SlowMist apoyan la investigación forense independiente, que continúa, según Chen. Bitget dijo que compartirá más hallazgos cuando hayan sido verificados; hasta entonces, siguen abiertos tanto el análisis de la vulnerabilidad externa como la identificación del responsable y el recuento de los activos congelados o recuperados.

Controles reforzados, pero varias respuestas pendientes

La descripción de Bitget apunta a una cadena de riesgos que combina acceso interno, herramientas de terceros y autorizaciones para retirar fondos. El exchange sostiene que reforzó los controles tras el ataque, pero la información pública todavía no permite reconstruir qué verificaciones existían antes del incidente ni determinar si la nueva revisión independiente habría bloqueado las órdenes fraudulentas en esas circunstancias.

La investigación también debe aclarar el papel concreto del producto de seguridad señalado por Chen y cómo el atacante consiguió credenciales capaces de activar retiros. Sin esos detalles, la explicación ofrece una causa general atribuida por la CEO, pero no una reconstrucción técnica completa; esa diferencia importa para evaluar qué mecanismos fallaron y cuáles operaron correctamente.

Por ahora, las afirmaciones sobre las claves privadas y las billeteras frías corresponden a lo comunicado por Bitget, mientras que el alcance financiero continúa sujeto a verificación. La cifra inicial de USD $352 millones en activos afectados y la valoración posterior de USD $388 millones deben mantenerse separadas hasta que el exchange explique su relación y publique un balance definitivo.

El próximo hito será la divulgación de resultados forenses y de un monto comprobado de recuperación o congelamiento, además de cualquier precisión sobre los indicadores que llevaron a considerar una posible relación con Corea del Norte. Hasta que eso ocurra, el episodio combina una causa técnica atribuida a un tercero, controles internos que Bitget afirma haber reforzado y preguntas todavía abiertas sobre los fondos y la autoría.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados