Ninguna clave robada, $351 millones en una hora — la intrusión en el hot wallet de Bitget y la frontera de confianza del flujo de aprobación
Bitget confirmó el 25 de septiembre que aproximadamente $351.6 millones salieron de porciones de sus hot wallets y warm wallets en transferencias no autorizadas detectadas a las 18:31 UTC del 24 de septiembre. Se informa que sus cold wallets fuera de línea no fueron afectadas, los retiros están en pausa, y el exchange afirma que su User Protection Fund de $464 millones cubre la pérdida completa. Según Bitget, el atacante no tomó las claves privadas, sino que alcanzó un sistema backend y falsificó datos de transacción para dirigir el flujo de aprobación hacia la liberación de fondos. Examinamos la cuestión de la atribución a Lazarus y el isomorfismo con el tema del plano de gestión e identidad que este observatorio ha tratado en las últimas semanas.
Este artículo fue traducido por máquina.
A las 18:31 UTC del 24 de septiembre de 2026, los sistemas de seguridad de Bitget marcaron transferencias no autorizadas desde una porción de sus hot wallets, y los procedimientos de respuesta de emergencia se activaron en minutos. El día 25, la CEO Gracy Chen declaró públicamente que los activos afectados totalizan aproximadamente $351.6 millones. La estructura de wallets de Bitget tiene tres niveles (hot / warm / cold); según el exchange, la intrusión se limita a partes de las capas hot y warm y no alcanzó las cold wallets fuera de línea, y los saldos de las cuentas de los clientes permanecen coherentes con sus tenencias. Los retiros están suspendidos de forma temporal mientras el trading y los depósitos continúan. El exchange informa que identificó y marcó las direcciones de los destinatarios, notificó a organismos de aplicación de la ley y recurrió a empresas de seguridad de blockchain para rastrear los fondos, y que un informe completo del incidente — que cubre la causa raíz y los pasos correctivos — seguiría dentro de las 24 horas posteriores al aviso inicial (según la declaración de Gracy Chen en X, el aviso oficial de seguridad de Bitget, Cryptopotato, InvestingLive y CyberSecurityNews).
Sobre la ruta del ataque, el relato de Bitget es que el atacante alcanzó un sistema backend dentro de su infraestructura de wallets, falsificó datos de transacción y, con ello, dirigió el proceso de aprobación hacia la liberación de fondos. En otras palabras, según el exchange, no se trata de una filtración de las claves privadas que controlan las propias wallets. Las estimaciones tempranas de investigadores on-chain (analistas como Arkham Intelligence) se situaron en $174M–$183M, alrededor de la mitad de la cifra confirmada; observadores on-chain siguieron movimientos que involucraban ETH, BNB, AVAX, USDT y USDC. Una transacción notable, informada por Decrypt: una wallet recién creada intercambió aproximadamente $19.7M de USDT0 (la versión entre cadenas de Tether) por 7,111 ETH en unos seis minutos, pagando hasta un 5% por encima del precio de mercado para llevar el intercambio a término con rapidez. El User Protection Fund del exchange tiene $464M, por encima de la pérdida, y Bitget se ha comprometido a cubrir el importe completo con él. TFTC señala que la mezcla de activos del fondo no ha sido verificada de forma independiente.
Sobre la atribución: el investigador on-chain Specter ha afirmado que el Lazarus Group vinculado a Corea del Norte está detrás del ataque, y HackRead informó de que Bitget sospecha la participación del grupo, mientras que el propio Bitget ha rehusado atribuir de manera formal, según informaciones de que «rehusó especular». Conviene caracterizar la atribución actual como una «sospecha», y no como una «atribución». Como contexto, se informa que grupos afiliados a Lazarus han estado implicados en muchas de las mayores intrusiones en exchanges de los últimos años — los $1.5B de Bybit en febrero de 2025 (el FBI lo atribuyó a Lazarus), los ~$308M de DMM Bitcoin y los ~$234.9M de WazirX en 2024. Según Chainalysis, el robo de criptoactivos en 2025 totalizó $3.4B, de los cuales $2.02B (más del 60%) se estimaron vinculados a Corea del Norte. Solo en el primer semestre de 2026, se tomó $1.1B a lo largo de 212 incidentes, una mayoría atribuida al Lazarus Group. La rápida dispersión multicadena de este incidente, la conversión inmediata a ETH y la entrada a través de un sistema interno sin filtración de clave coinciden con firmas operativas de grupos vinculados a un Estado — pero la similitud de técnica no es prueba de identidad.
Análisis (separado de los hechos): lo que importa es que «las claves no fueron robadas» no es necesariamente un buen resultado. Según el relato de Bitget, el atacante no tomó las claves de firma, sino que alcanzó el sistema backend que alimenta con datos el proceso de aprobación, y falsificó datos de transacción. Lo que se rompió no es la frontera criptográfica (las claves), sino la frontera de confianza (la fuente de información de la decisión de aprobación). Esto es isomorfo al tema del «plano de gestión e identidad» que este observatorio ha tratado en las últimas dos semanas — el zero-day de OAuth de F5 BIG-IP APM (RCE no autenticada del lado emisor de la identidad), la elusión de autenticación de la API de gestión de Cisco ISE (CVSS 10.0) y el alcance de root de Secure Email Gateway a través de código de parsing — todos comparten la estructura: cuando se captura el plano que toma la decisión misma, ya no se puede confiar en la decisión. El flujo de aprobación de la infraestructura de wallets es precisamente un plano de decisión de ese tipo; la integridad de los saldos y de los datos de transacción que se le entregan, y la autoridad de los sistemas internos que pueden crear o alterar solicitudes de retiro, definen la frontera de confianza. El informe de 24 horas, si muestra qué sistema backend fue comprometido, a qué aprobadores les aparecieron los datos falsificados y si una aprobación en varios pasos podía distinguir «la ruta de los datos falsificados» de «una solicitud genuina», hará más concreto el punto de fallo. Hasta entonces, conviene modelar el fallo como «compromiso de la ruta de datos hacia el proceso de aprobación».
Implicaciones defensivas: (1) Las operaciones que mantienen activos on-chain deberían tratar el propio pipeline de aprobación como una frontera de confianza de primer orden — no solo la custodia de claves, sino la procedencia de los datos de transacción (autenticación/atestación en la capa de API, vistas de datos independientes por aprobador, multifirma con vistas independientes) como requisito de diseño. (2) Fijar de forma conjunta la velocidad de retiro y los topes por cadena, y vigilar anomalías on-chain (velocidad de intercambio anómala, spread anómalo respecto del precio de mercado) como señales de triaje en tiempo real — el paso USDT0 → ETH de este incidente en ~6 minutos con una prima de hasta el 5% es exactamente ese tipo de señal. (3) Como la dispersión multicadena debilita los efectos de congelación, acordar de antemano canales de congelación y de rastreo con las contrapartes de bridges y de DEX. (4) La suspensión de los retiros, la divulgación rápida y el compromiso de compensación limitan el daño secundario — pero la compensación tiene solo tanta solidez como la verificabilidad independiente del tamaño del fondo y de su mezcla de activos, así que hay que mantener esa verificabilidad en el día a día. Los hechos aquí se apoyan en la declaración de Gracy Chen en X (https://x.com/GracyBitget/status/2103235655879074084), el aviso oficial de seguridad de Bitget (https://www.bitget.com/support/articles/12560603896024), Cryptopotato (https://cryptopotato.com/bitget-reports-351m-hot-wallet-breach-says-user-funds-are-covered/), InvestingLive (https://investinglive.com/cryptocurrency/hackers-drain-351-6-million-from-bitget-in-possibly-2026-s-biggest-crypto-heist/), CyberSecurityNews (https://cybersecuritynews.com/bitget-hot-wallet-hacked/), shattered.io (https://shattered.io/bitget-hack-351-million-2026/) y HackRead (https://hackread.com/bitget-hack-suspects-north-korea-lazarus-group/). El análisis se mantiene separado del relato informativo.