MundoBitcoinBitget reanuda las retiradas de BTC tras un incidente de 388 millones de dólares

Bitget volvió a poner en línea sus primeras retiradas de Bitcoin a las 08:00 UTC del 28 de septiembre, cuatro días después de que un atacante utilizara lo que la CEO Gracy Chen describió como “credenciales internas de alto nivel” para enviar órdenes de retiro fraudulentas a través del sistema de billetera del intercambio. Para las 09:00 UTC, los usuarios habían iniciado retiros de 9.585 BTC por un total de 4.098,03574 BTC, y el intercambio informó que el servicio funcionaba con normalidad, según U.today.

Bitget dice que aproximadamente 388 millones de dólares en activos se transfirieron durante el incidente del 24 de septiembre, una cifra que describe como su última conciliación. No se vieron comprometidas las claves privadas ni las billeteras frías, y los retiros de BTC se reanudaron el 28 de septiembre a las 08:00 UTC.

Chen detalló la secuencia de eventos durante una transmisión en vivo pública en X. Dijo que el atacante explotó una vulnerabilidad en un producto de seguridad de terceros para acceder a credenciales internas y luego usó esas credenciales para inyectar instrucciones de retiro en servicios de backend relacionados con la billetera. Afirmó que los comandos provocaron transferencias anómalas que eludieron los controles de riesgo existentes, y que el atacante disfrazó la actividad como operaciones administrativas rutinarias mientras borraba rastros de la misma.

Datos clave

• Las primeras transferencias no autorizadas comenzaron alrededor de las 18:31 UTC del 24 de septiembre, con 0.84 ETH movidos desde una billetera caliente de Ethereum y 93 TRX desde una billetera caliente de Tron, ambas por debajo del umbral de control de riesgos de Bitget, por lo que ninguna activó una alerta.

• Entre las 18:58 y las 20:09 UTC, el atacante inició 17 transferencias más grandes en Ethereum, XRP, Zcash, BNB Smart Chain, Base, Arbitrum, Optimism y Avalanche, con un valor estimado combinado de aproximadamente $361 millones.

• Una segunda ola de siete transferencias entre las 20:55 y las 21:23 UTC, que involucró Avalanche, XRP, Ethereum, Zcash, Algorand, TIA y Cosmos, fue estimada en alrededor de $30 millones.

• crypto.news informó que la cifra de pérdidas citada públicamente aumentó desde la estimación inicial de Bitget de aproximadamente $351.6 millones hasta cerca de $387.5 millones. Esa cifra posterior incluyó activos de Zcash y TRON que no estaban presentes en el primer recuento.

• El Fondo de Protección de Usuarios de Bitget supera los $464 millones, y el intercambio informó un índice de Prueba de Reservas integral del 127%.

Cómo respondió el intercambio, hora por hora

Los sistemas de monitoreo de Bitget detectaron una discrepancia significativa a las 19:05 UTC, siete minutos después de la primera transferencia grande, y la plataforma bloqueó automáticamente los retiros iniciados por los usuarios. El intercambio activó una respuesta de emergencia P0 a las 19:14 UTC, comenzó a contener la situación a las 19:40 UTC y, aproximadamente a las 20:40 UTC, el equipo de billeteras empezó a mover fondos a almacenamiento en frío como precaución mientras evaluaba si se habían comprometido las claves privadas.

Aproximadamente a las 21:44 UTC, Bitget detuvo los servicios de retiros de billetera, incluido su servicio de firma, y aisló el acceso entrante y saliente relacionado con retiros. Chen dijo que este fue el primer evento de seguridad de este tipo que golpeó a Bitget Exchange en ocho años de operaciones, y que actualmente el intercambio no cree que el incidente haya sido un trabajo interno, añadiendo que no especularía sobre la identidad del atacante antes de que la investigación llegue a una conclusión confirmada.

El calendario de recuperación se ejecuta por etapas. Los retiros de ETH se deben a las 08:00 UTC del 29 de septiembre en Ethereum, BNB Smart Chain, Arbitrum, Base y Optimism, mientras que USDT está programado para las 08:00 UTC del 30 de septiembre en Ethereum, BNB Smart Chain, Solana y Tron, según crypto.news. Otros tokens, servicios fiduciarios y transacciones P2P están programados para las 08:00 UTC del 2 de octubre. Chen dijo que BTC fue lo primero porque su canal de retiros ya había superado las verificaciones de seguridad necesarias y que la propia red Bitcoin no se vio afectada por el incidente.

Las dos fuentes difieren en la cifra principal. U.today reporta aproximadamente $388 millones en activos transferidos, que Bitget describe como su última conciliación y clasificación de las transacciones relacionadas con el ataque. crypto.news reporta que el valor transferido a direcciones controladas por el atacante es de aproximadamente $387.5 millones, y señala que el trabajo de trazabilidad del intercambio está en curso y que la cifra puede cambiar a medida que los investigadores clasifiquen transacciones adicionales. Bitget también dijo que sus billeteras frías estaban seguras y que su investigación no encontró evidencia de una filtración de clave privada.

Por qué importa

El incidente de Bitget es un recordatorio de que las brechas en los intercambios llegan cada vez más a través de software de terceros y credenciales que parecen legítimas, en lugar de una clave privada comprometida. Esto desplaza la carga de la seguridad hacia la evaluación de proveedores y los controles internos de acceso que los clientes nunca ven. El calendario de divulgación también importa para quienes mantienen fondos en un centro centralizado: se está levantando una pausa completa de retiros activo por activo y red por red, de modo que la fecha programada de reingreso de un token no garantiza que todas las cadenas en las que opera se reabran al mismo tiempo. Bitget ha dicho que los saldos de las cuentas no se vieron afectados y que las pérdidas se absorberán con su Fondo de Protección de Usuarios. Chen señaló que el intercambio lo estableció en 2022 y que lo repondría con capital de la empresa para superar los $300 millones en USDT o su equivalente dentro de una semana de uso. Ella enmarcó la pausa como “solo una medida de seguridad”, no relacionada con la suficiencia de los activos del usuario, porque esos activos se recuperaron por completo o están cubiertos en su totalidad por el fondo.

Qué observar

Bitget espera publicar su informe oficial de seguridad esta semana y ha dicho que se darán a conocer nuevos hallazgos a medida que se verifiquen. Mientras tanto, los próximos hitos operativos son la reanudación de ETH el 29 de septiembre y USDT el 30 de septiembre, con la disponibilidad mostrada directamente en la plataforma.

Preguntas frecuentes

¿Es seguro retirar Bitcoin desde Bitget ahora?

Los retiros de BTC en las redes Bitcoin y BSC se reabrieron a las 08:00 UTC del 28 de septiembre. Bitget dijo que los usuarios no necesitan pasos adicionales cuando un servicio vuelve a estar disponible, y que siguen aplicándose los montos mínimos de retiro existentes y los límites máximos de 24 horas.

¿Cuánto se tomó realmente en el incidente de Bitget?

La conciliación más reciente de Bitget sitúa la cifra en aproximadamente $388 millones, por encima de una estimación inicial de alrededor de $351.6 millones, según crypto.news. El intercambio ha dicho que el número puede cambiar conforme los investigadores clasifiquen más transacciones.

¿Cuándo se reanudarán los retiros de ETH y USDT en Bitget?

Los retiros de ETH están programados para las 08:00 UTC del 29 de septiembre en Ethereum, BNB Smart Chain, Arbitrum, Base y Optimism. USDT está programado para las 08:00 UTC del 30 de septiembre en Ethereum, BNB Smart Chain, Solana y Tron.

¿Se comprometieron las llaves privadas o las billeteras frías de Bitget?

Bitget dijo que sus claves privadas no se vieron comprometidas y que sus billeteras frías no se vieron afectadas. El CEO Gracy Chen indicó que el atacante utilizó credenciales legítimas para insertar comandos fraudulentos de retiro que eludieron los controles de riesgo.

¿Quién está investigando el ataque a Bitget?

Las firmas forenses Mandiant y SlowMist apoyan la investigación, junto con las fuerzas del orden y otros exchanges. Antes de que se reanudaran los retiros, crypto.news informó que la declaración más reciente de Bitget indicaba que las vulnerabilidades habían sido corregidas.

Esta publicación, Bitget Reanuda Retiros de BTC Tras Incidente de $388 Millones, apareció por primera vez en BitcoinWorld.