Se sacaron 83 millones de dólares en XRP de manos del hacker de Bitget.
Ripple no puede congelarlo. Esto no es un fallo técnico: en el diseño del libro contable de XRP Ledger, simplemente no existe la función de listas negras. Circle y Tether, en cambio, se movieron rápido: bloquearon la cartera marcada como «Bitget Exploiter 8», y dejaron atrapados aproximadamente 318 mil dólares en USDC y USDT. 318 mil, frente a 83 millones. Ni siquiera cuenta como calderilla.
Revisé la cronología. El 25 de septiembre, el atacante falsificó una solicitud interna de transferencia y se llevó 3.875 millones de dólares de las carteras caliente y tibia de Bitget. Más tarde, Bitget aclaró que el monto realmente afectado era de aproximadamente 388 millones de dólares, 35 millones más que lo reportado inicialmente; la parte adicional estuvo en Zcash y TRON. El CEO dijo que las huellas dactilares apuntan a Pionyang.
Entonces los hackers empezaron a mover el dinero. Dos carteras quedaron casi vacías; la tercera se estaba drenando. En las cinco cuentas originales todavía quedaban aproximadamente 75 millones.
La mayor parte del dinero se cambió a ETH. Tampoco se puede congelar el ETH.
Ahí es donde está lo más incómodo de todo. USDT y USDC se pueden bloquear en lista negra porque los emisores tienen una lista negra a nivel de contrato: Circle y Tether pueden congelarlo de un momento a otro. ETH y XRP no tienen eso. Una vez que se hace una transferencia de ETH y se registra en la cadena, ninguna entidad centralizada puede revocarla unilateralmente. El XRP Ledger es aún más completo: ni siquiera admite contratos inteligentes; no hay dónde añadir una lógica de congelación.
El hacker sabe perfectamente dónde está esa línea. Cambia primero a ETH, luego a XRP. Si las stablecoins pueden circular, que circulen; si no, se abandonan. La parte de 318.000 que quedó bloqueada probablemente sean los restos que no alcanzaron a intercambiar.
El problema está en las vulnerabilidades estructurales de la gestión de riesgos de las bolsas. En la billetera caliente de Bitget yacen, a la vez, stablecoins y monedas nativas. El sistema de control puede bloquear las stablecoins, pero no puede con ETH y XRP. Mientras el atacante sustituya primero los activos congelables en la ruta de transferencia, el mecanismo de congelación queda básicamente inutilizado. Esto no es solo un problema de Bitget: todas las bolsas enfrentan la misma diferencia de capacidad de congelación entre sus activos en las billeteras calientes.
Le tengo el ojo puesto en este asunto desde hace un tiempo. Cada vez que ocurre un gran caso, los avisos de congelación de Circle y Tether salen muy rápido y con números importantes. Pero en comparación con la pérdida total, la proporción es ridículamente baja. Esta vez es 318.000 contra 83 millones: menos de cuatro milésimas.
La actualización Batch del XRP Ledger originalmente debía salir el 26 de septiembre; ahora se pospone al 9 de octubre, porque el porcentaje de apoyo de los validadores cayó temporalmente por debajo del umbral de activación del 80%, y el conteo regresivo de dos semanas se reinició. Esta actualización permite a los usuarios agrupar hasta ocho transacciones, incluyendo transferencias de activos y pagos. No tiene relación con la congelación, pero el momento coincide de forma bastante irónica.
Del lado de Ripple no hay mucho que puedan hacer. El atractivo de XRP es que no se puede congelar ni alterar; esa es la base para competir con las stablecoins en el mercado de pagos transfronterizos. Ahora esa ventaja se convirtió en un callejón sin salida para perseguir el botín.
Hay otro dato que siempre estoy mirando. En las cinco cuentas originales aún quedan 75 millones; lo que el hacker se llevó fueron 83 millones. A este ritmo, el dinero restante se cambiará de manos por completo en cuestión de pocos días.
Hasta ahora no he podido entender una cosa: si el diseño subyacente de una cadena es rechazar cualquier forma de intervención centralizada, cuando esa cadena se utiliza para transferir el botín, ¿qué más puede hacer la parte que intenta recuperarlo, aparte de mirar?