$BTC Resumen de las causas de los tres robos a exchanges (en ninguno se robaron directamente las claves privadas; todos implicaron engaños o intrusiones en el proceso de firma y aprobación)
1. Bybit (2025-02, pérdidas de aproximadamente 14.600 millones de dólares, monedero frío multifirma de Ethereum)
✅ Clave: manipulación de la interfaz del monedero multifirma
Los hackers vulneraron el ordenador de desarrollo del proveedor del servicio de monederos multifirma Gnosis Safe e inyectaron código JS malicioso.
Cuando el personal de Bybit realizaba transferencias rutinarias desde el monedero frío, la interfaz mostraba una transferencia normal, pero los datos reales de la transacción se habían alterado en secreto: la firma no transfería fondos, sino que cedía a un contrato de los hackers el control de todo el monedero multifirma.
Los firmantes aprobaron la transacción con sus monederos de hardware. Cuando se dieron cuenta, ya habían transferido todos los activos del monedero frío.
Punto clave: las claves privadas del monedero frío no se filtraron; las personas fueron engañadas por la interfaz y firmaron una transacción maliciosa. El FBI atribuyó el ataque al grupo de hackers norcoreano Lazarus (TraderTraitor).
2. Bitget (2026-09, pérdidas de aproximadamente 387 millones de dólares, monederos calientes y templados)
✅ Clave: vulnerabilidad en la cadena de suministro de software de seguridad de terceros
Los hackers aprovecharon una vulnerabilidad de día cero en un componente de seguridad de terceros adquirido por Bitget para infiltrarse en la red interna del exchange y obtener credenciales de administrador con privilegios elevados.
Luego falsificaron instrucciones de retiro y engañaron al sistema interno de aprobación y control de riesgos de la plataforma, haciendo que el sistema de firma interno del exchange aprobara automáticamente las transacciones de retiro de los hackers.
No tocaron en absoluto los monederos fríos y las claves privadas no se filtraron; los hackers solo tomaron el control del flujo de aprobación del sistema backend y transfirieron activos en masa desde monederos calientes de varias cadenas.
3. Binance (2026-10, pérdidas de aproximadamente 6.300 millones de dólares, monederos calientes de varias cadenas; conclusión preliminar de la investigación, el informe completo aún no se ha publicado)
✅ Clave: intrusión en el portátil de un ingeniero de operaciones + mecanismo de delegación de contratos EIP-7702
Punto de entrada: los hackers vulneraron el portátil de un ingeniero de DevOps y obtuvieron permisos para acceder a contenedores de servicios internos, desde donde podían enviar solicitudes de transacciones de retiro.
Método en la cadena: aprovecharon la nueva función EIP-7702 de Ethereum para delegar la autorización del monedero caliente de Binance a un contrato de vaciado desplegado por los hackers.
No tuvieron que robar las claves privadas: hicieron que el propio monedero autorizara el contrato de los hackers para transferir automáticamente todos los activos.
Los monederos fríos quedaron intactos; solo se vieron afectados los calientes. También se sospecha firmemente que fue obra del mismo grupo de hackers norcoreano.
✍✍✍✍
1. Bybit (2025-02, pérdidas de aproximadamente 14.600 millones de dólares, monedero frío multifirma de Ethereum)
✅ Clave: manipulación de la interfaz del monedero multifirma
Los hackers vulneraron el ordenador de desarrollo del proveedor del servicio de monederos multifirma Gnosis Safe e inyectaron código JS malicioso.
Cuando el personal de Bybit realizaba transferencias rutinarias desde el monedero frío, la interfaz mostraba una transferencia normal, pero los datos reales de la transacción se habían alterado en secreto: la firma no transfería fondos, sino que cedía a un contrato de los hackers el control de todo el monedero multifirma.
Los firmantes aprobaron la transacción con sus monederos de hardware. Cuando se dieron cuenta, ya habían transferido todos los activos del monedero frío.
Punto clave: las claves privadas del monedero frío no se filtraron; las personas fueron engañadas por la interfaz y firmaron una transacción maliciosa. El FBI atribuyó el ataque al grupo de hackers norcoreano Lazarus (TraderTraitor).
2. Bitget (2026-09, pérdidas de aproximadamente 387 millones de dólares, monederos calientes y templados)
✅ Clave: vulnerabilidad en la cadena de suministro de software de seguridad de terceros
Los hackers aprovecharon una vulnerabilidad de día cero en un componente de seguridad de terceros adquirido por Bitget para infiltrarse en la red interna del exchange y obtener credenciales de administrador con privilegios elevados.
Luego falsificaron instrucciones de retiro y engañaron al sistema interno de aprobación y control de riesgos de la plataforma, haciendo que el sistema de firma interno del exchange aprobara automáticamente las transacciones de retiro de los hackers.
No tocaron en absoluto los monederos fríos y las claves privadas no se filtraron; los hackers solo tomaron el control del flujo de aprobación del sistema backend y transfirieron activos en masa desde monederos calientes de varias cadenas.
3. Binance (2026-10, pérdidas de aproximadamente 6.300 millones de dólares, monederos calientes de varias cadenas; conclusión preliminar de la investigación, el informe completo aún no se ha publicado)
✅ Clave: intrusión en el portátil de un ingeniero de operaciones + mecanismo de delegación de contratos EIP-7702
Punto de entrada: los hackers vulneraron el portátil de un ingeniero de DevOps y obtuvieron permisos para acceder a contenedores de servicios internos, desde donde podían enviar solicitudes de transacciones de retiro.
Método en la cadena: aprovecharon la nueva función EIP-7702 de Ethereum para delegar la autorización del monedero caliente de Binance a un contrato de vaciado desplegado por los hackers.
No tuvieron que robar las claves privadas: hicieron que el propio monedero autorizara el contrato de los hackers para transferir automáticamente todos los activos.
Los monederos fríos quedaron intactos; solo se vieron afectados los calientes. También se sospecha firmemente que fue obra del mismo grupo de hackers norcoreano.
✍✍✍✍