Bitget tras el hackeo de 387,5 millones: lo que muestra el análisis forense antes del 2 de octubre

Bitget asegura que todos los saldos de sus clientes siguen intactos tras el mayor robo cripto de 2026 y prevé reactivar los últimos canales de retiro este jueves 2 de octubre. Para quien tiene fondos en el exchange, o sigue de cerca el sector, la pregunta es sencilla: ¿qué muestran realmente las primeras investigaciones forenses independientes sobre el hackeo de 387,5 millones de dólares y qué sigue sin resolverse antes de que vuelvan todos los retiros?

La respuesta corta

La evidencia inicial apunta a una intrusión lenta en la infraestructura, no a un golpe relámpago. SlowMist, una de las dos firmas contratadas por Bitget, situó la primera actividad maliciosa el 31 de agosto, unas tres semanas y media antes de que los fondos salieran de las hot wallets. El atacante no necesitó las claves privadas de Bitget: una herramienta hecha a la medida de la lógica de retiros del propio exchange hizo el trabajo. Por ahora, el balance de Bitget ha absorbido la pérdida mediante su Protection Fund, pero la causa raíz (dos productos de seguridad de terceros sin identificar), la atribución definitiva y la recuperación de los fondos siguen abiertas.

Qué pasó, en orden

Según declaraciones de Bitget recogidas por Decrypt y una reconstrucción de BleepingComputer, las transferencias no autorizadas desde hot y warm wallets se detectaron a las 18:31 UTC del 24 de septiembre. La CEO Gracy Chen cifró primero la pérdida en 351,6 millones de dólares y la elevó a 387,5 millones el 25 de septiembre tras contabilizar otros activos. Bitget afirmó que las cold wallets no se vieron afectadas y que los atacantes "no falsificaron solicitudes de retiro de usuarios ni obtuvieron nuestras claves privadas de la cold wallet ni de ninguna hot o warm wallet", según Decrypt.

El recuento mensual de CertiK, publicado el 30 de septiembre, sitúa a Bitget en 387,5 millones de dólares, la mayor partida de un septiembre que la firma califica como el peor mes de 2026, con 766,5 millones perdidos en total.

La cronología forense

El documento primario más detallado hasta ahora es el informe de avance de la investigación de SlowMist, actualizado al 29 de septiembre (todas las horas del informe están en UTC+8; las conversiones son nuestras):

• 31 de agosto: un servicio en un nodo del "Producto A", un producto de seguridad de terceros, fue afectado por una vulnerabilidad zero-day. El atacante ejecutó un script oculto, leyó una variable de entorno con la contraseña de una base de datos y se conectó a ella.
• 23 y 25 de septiembre: apareció actividad similar de scripts ocultos en otros dos nodos del Producto A.
• Madrugada del 25 de septiembre (UTC+8): el atacante usó la identidad de un empleado interno para entrar en la plataforma de gestión del "Producto B" e intentó inyectar comandos y subir archivos maliciosos.
• 01:49 UTC+8 del 25 de septiembre (17:49 UTC del 24 de septiembre): un programa malicioso empezó a ejecutar el robo.
• De 02:31:00 a 05:23:11 UTC+8 (18:31 a 21:23 UTC del 24 de septiembre): transferencias on-chain a direcciones del atacante durante unas 2 horas y 52 minutos en varias blockchains.

La primera transferencia on-chain verificada por SlowMist coincide al minuto con la hora de detección de 18:31 UTC que anunció Bitget, lo que da cierta coherencia mutua a ambos relatos.

El hallazgo clave: una herramienta de retiro a medida

SlowMist dice haber recuperado, entre archivos que el atacante había borrado, "una herramienta de retiro altamente personalizada", "adaptada a la lógica de retiros del sistema de carteras". La herramienta "falsificaba parámetros de control de riesgo", construía solicitudes de retiro e invocaba el proceso de salida. Una vez iniciadas las transferencias, el atacante también intentó modificar registros de retiro directamente en la base de datos de la cartera; dos órdenes de retiro de BTC fabricadas entraron en proceso y devolvieron error.

Esto importa porque cambia la lectura del incidente. La gestión de claves resistió, según Bitget y los investigadores, pero el sistema que decide si un retiro es legítimo fue subvertido. La descripción de Chen a Bloomberg, vía Claims Journal, coincide: los atacantes aprovecharon una falla en un producto de terceros para obtener credenciales internas y enviar órdenes de retiro fraudulentas que eludieron los controles de riesgo.

La segunda firma, Mandiant, de Google Cloud, publicó una actualización alojada por Bitget. Según cita The Hacker News, Mandiant constató que "el actor de amenaza desplegó un web shell en el appliance de seguridad B y estableció una conexión de comando y control (C2)". Ninguno de los dos informes nombra a los proveedores.

El dinero: pérdidas, salidas y reservas

Bitget dijo que su User Protection Fund, que superaba los 464 millones de dólares antes del incidente, cubriría toda la pérdida (Decrypt, 25 de septiembre). Bloomberg informó el 29 de septiembre que el fondo había caído por debajo de 200 millones y que Bitget registró 463 millones de dólares en salidas netas en las 24 horas posteriores a la reapertura de retiros, la mayor salida diaria desde que DefiLlama empezó a seguir el exchange hace unos cuatro años. El mismo reporte cifró las reservas de Bitget en unos 5.700 millones de dólares.

Chen había prometido reponer el fondo por encima de 300 millones en una semana. El 30 de septiembre publicó que el fondo estaba "de vuelta por encima de 300 millones, como prometimos", según crypto.news e Incrypted. Bitget afirma que las direcciones de las carteras del fondo son públicas, de modo que el saldo puede comprobarse on-chain.

Crypto.news también citó la instantánea de prueba de reservas de Bitget del 29 de septiembre a las 09:00 UTC: un ratio global del 131% en 19 activos, con BTC al 142%, ETH al 110% y USDT al 107%. Un ratio de reservas es una foto autodeclarada. Muestra los activos que se mantienen frente a los saldos de clientes en un momento dado; no es una auditoría completa de pasivos.

La reapertura por fases

Según The Block, los retiros han vuelto por etapas, siempre a las 08:00 UTC: BTC el 28 de septiembre, ETH el 29 de septiembre (Ethereum, BSC, Arbitrum, Base, Optimism) y USDT el 30 de septiembre (Ethereum, BSC, Solana, Tron). El resto de activos, los retiros en moneda fiat y el P2P están programados para el 2 de octubre. Bitget dijo a Bloomberg que el escalonamiento "no guarda relación con la suficiencia ni la disponibilidad de los activos de los usuarios".

Atribución: sospecha, no veredicto

Chen dijo que algunas direcciones IP coincidían con elecciones de VPN de "cierto grupo de la RPDC" y que el patrón se parecía a operaciones norcoreanas anteriores, aunque subrayó que la identidad "no se ha confirmado" (Decrypt). La firma de análisis blockchain Elliptic calificó de "altamente probable" un vínculo con Corea del Norte, según Gizmodo. Ni el informe de avance de SlowMist ni la frase de Mandiant citada arriba nombran a un actor. Conviene tratar la atribución como una hipótesis de trabajo creíble, no como una conclusión.

Lo que sabemos vs. lo que inferimos

• Sabido (fuente primaria o ampliamente reportado): una pérdida de 387,5 millones de dólares; detección a las 18:31 UTC del 24 de septiembre; primera actividad maliciosa el 31 de agosto, según SlowMist; una herramienta personalizada que falsificaba parámetros de control de riesgo; claves privadas y cold wallets reportadas como no afectadas; el Protection Fund reportado de nuevo por encima de 300 millones el 30 de septiembre; el 2 de octubre fijado para la fase final de reapertura.
• Reportado, pero no verificado de forma independiente por nosotros: la salida de 463 millones (Bloomberg, datos de DefiLlama), el ratio de reservas del 131% (instantánea de la propia Bitget) y la frase de Mandiant, que solo leímos citada.
• Inferido: los cerca de 25 días entre la primera intrusión y el robo sugieren fallas de detección en las propias herramientas de seguridad. Es nuestra lectura de la cronología, no una conclusión declarada por ninguna de las firmas.
• Desconocido: la identidad de los Productos A y B, si otras empresas usan el mismo software vulnerable, cuánto de lo robado puede congelarse o recuperarse y la atribución definitiva.

Qué vigilar ahora

• 2 de octubre, 08:00 UTC (04:00 ET / 05:00 UTC-3): reapertura prevista de todos los activos restantes, fiat y P2P. Atención a posibles retrasos o nuevos límites.
• Flujos netos en los días posteriores al 2 de octubre: si el pico de salidas del 29 de septiembre se repite cuando todos los canales estén abiertos.
• Los informes forenses finales: si SlowMist o Mandiant nombran a los proveedores externos y si estos emiten avisos que otras empresas deban atender.
• La próxima instantánea de prueba de reservas de Bitget: compare sus ratios con los del 29 de septiembre.
• Esfuerzos de recuperación: posibles congelamientos por parte de emisores de stablecoins o resultados del programa de recompensas del 5% de Bitget.

Información educativa únicamente — no constituye asesoramiento financiero.