El mercado de las criptomonedas volvió a quedar en alerta por un posible ataque informático contra uno de sus principales jugadores. Binance, el mayor exchange del mundo, investiga una serie de movimientos sospechosos de activos digitales que encendieron las alarmas sobre una eventual vulnerabilidad de seguridad. La dimensión del episodio es inédita: la plataforma informó que logró congelar alrededor de u$s3.000 millones en criptomonedas vinculadas con las operaciones bajo investigación.
La respuesta involucró a dos actores centrales del ecosistema de las stablecoins. Tether y Circle, emisores de USDT y USDC, respectivamente, bloquearon activos por más de u$s2.360 millones, mientras Binance aseguró que los fondos de sus clientes están a salvo y que trabaja con autoridades, firmas de inteligencia blockchain y otros participantes de la industria para rastrear nuevos movimientos. Por ahora, la compañía no confirmó que se haya producido un robo de fondos ni precisó el alcance definitivo del incidente. La investigación sigue abierta y el episodio ya tuvo repercusiones en el mercado.
El caso vuelve a poner bajo la lupa la seguridad de las grandes plataformas de intercambio y la capacidad de respuesta de una industria que custodia miles de millones de dólares en activos digitales. No es una preocupación nueva: el 24 de septiembre, Bitget sufrió un ataque que derivó en transferencias no autorizadas por aproximadamente u$s388 millones, en uno de los incidentes de seguridad más relevantes del año. A diferencia de lo que todavía ocurre con Binance, en ese episodio la plataforma pudo reconstruir el mecanismo de intrusión y publicó una cronología detallada de lo sucedido.
La investigación reveló un aspecto especialmente inquietante: los atacantes no necesitaron vulnerar directamente la blockchain ni robar las claves privadas de las billeteras. La puerta de entrada fue una falla en un producto de seguridad de un proveedor externo, que permitió comprometer sistemas internos y ejecutar movimientos fraudulentos. El episodio dejó al descubierto los riesgos que enfrenta el negocio cripto cuando la seguridad de una plataforma depende también de terceros y plantea una pregunta central para el sector: ¿qué tan protegidos están los fondos cuando la vulnerabilidad no está en la blockchain, sino en la infraestructura que administra las operaciones?
La dimensión económica del incidente lo convirtió en un episodio de relevancia para la industria, pero su particularidad está en la metodología utilizada. Según la investigación difundida por la compañía, los atacantes no consiguieron vulnerar directamente la blockchain ni robar las claves privadas de las billeteras. El punto de entrada fue una vulnerabilidad en un producto de seguridad de un proveedor externo, que les permitió obtener credenciales internas de alto privilegio y operar sobre los sistemas que administraban las transferencias.
El caso deja una advertencia para todo el sector: incluso una plataforma que cuenta con mecanismos de protección, almacenamiento en frío y controles de riesgo puede quedar expuesta cuando alguno de los componentes de su infraestructura tecnológica se convierte en la puerta de entrada para un atacante.
Cómo fue el ataque a Bitget: la puerta de entrada estuvo en un tercero
El primer movimiento irregular se produjo el 24 de septiembre, alrededor de las 18:31 UTC. Los atacantes consiguieron ejecutar transferencias no autorizadas desde una parte de la infraestructura de billeteras calientes y tibias (hot y warm wallets) de Bitget.
A las 19:05 UTC, el sistema de conciliación de la plataforma detectó una diferencia significativa en los movimientos de fondos. La respuesta automática fue bloquear las solicitudes de retiro en toda la plataforma, mientras el equipo de seguridad activaba el protocolo de emergencia y comenzaba a aislar los sistemas comprometidos.
La investigación posterior permitió reconstruir una secuencia más compleja que la de un robo convencional de criptomonedas. Los atacantes explotaron una vulnerabilidad de tipo zero-day en un producto de seguridad de terceros utilizado por Bitget. Se trata de fallas que pueden ser aprovechadas antes de que exista una corrección disponible o, en determinados casos, antes de que el fabricante y los usuarios conozcan su existencia.
A partir de esa brecha, consiguieron acceder a sistemas internos de administración y obtener credenciales con permisos elevados. La información de identidad utilizada para ingresar parecía legítima, por lo que los sistemas interpretaron esas operaciones como actividad interna autorizada.
Con ese nivel de acceso, los intrusos llegaron a los servidores de backend vinculados con la gestión de billeteras y pudieron introducir instrucciones de retiro fraudulentas directamente en el sistema. El mecanismo resulta especialmente relevante: las órdenes fueron procesadas como operaciones normales, sin atravesar correctamente los controles de verificación de riesgo que debían intervenir antes de autorizar los movimientos.
Después de ejecutar las transferencias, los atacantes también eliminaron rastros de los comandos falsificados para dificultar la reconstrucción del incidente.
La investigación técnica difundida por Mandiant, la firma de ciberseguridad de Google Cloud, aportó detalles adicionales sobre el acceso inicial. En un informe de situación fechado el 28 de septiembre, la compañía describió el compromiso de dos dispositivos de seguridad de terceros, la instalación de una web shell —una herramienta que permite controlar un servidor de manera remota— y el establecimiento de una conexión de comando y control. Desde allí, los atacantes habrían avanzado lateralmente hacia un servidor de producción encargado de procesar operaciones de las billeteras e instalado paquetes maliciosos.
El documento de Mandiant tenía carácter preliminar y confidencial, por lo que sus hallazgos deben leerse en el contexto de una investigación en curso. El 30 de septiembre, Bitget informó que tanto Mandiant como la firma especializada SlowMist habían completado sus respectivos reportes y que sus conclusiones coincidían, en términos generales, con el vector de ataque identificado por el exchange.
Qué criptomonedas y redes fueron afectadas en el ataque a Bitget
La cifra del incidente también tuvo una evolución durante los primeros días. En su comunicación inicial, Bitget estimó que los fondos comprometidos ascendían a u$s351,6 millones. Luego, a medida que avanzó el análisis de las transacciones en blockchain y se incorporaron movimientos que no estaban contemplados en el cálculo original, la estimación subió primero a u$s387,5 millones y finalmente quedó establecida en aproximadamente u$s388 millones.
La compañía aclaró que la actualización no representó nuevos robos posteriores al ataque, sino una clasificación más completa de las operaciones realizadas durante el incidente original.
El análisis identificó 12 direcciones de billeteras vinculadas con la infraestructura caliente y tibia de la plataforma. Las operaciones involucraron 11 redes blockchain, entre ellas:
- Ethereum
- XRP Ledger
- Zcash
- TRON
- Arbitrum
- Optimism
- Base
- BNB Smart Chain
- Avalanche
- Algorand
- Celestia
Entre los activos alcanzados aparecen XRP, Ethereum (ETH), Tether (USDT), USD Coin (USDC), Zcash (ZEC), BNB, Avalanche (AVAX), TRON (TRX), Algorand (ALGO), Celestia (TIA) y Tether Gold (XAUt), entre otros.
Uno de los puntos centrales para dimensionar el episodio es que el ataque estuvo limitado a una parte de las billeteras calientes y tibias. En la arquitectura de custodia de los exchanges, las hot wallets permanecen conectadas a Internet y permiten procesar operaciones y retiros con mayor rapidez. Las warm wallets funcionan como una capa intermedia de almacenamiento y gestión. En cambio, las cold wallets mantienen los activos fuera de línea y reducen la exposición a ataques remotos.
Según Bitget, las billeteras frías de todas las redes permanecieron intactas. La investigación también descartó que se hubieran comprometido las claves privadas. Esto marca una diferencia técnica importante: los atacantes no necesitaron extraer las claves criptográficas para mover los fondos, sino que lograron manipular los mecanismos internos que autorizaban las operaciones.
Qué pasó con los fondos de los usuarios y cómo respondió Bitget
La primera medida de contención fue suspender los retiros. La decisión generó incertidumbre entre los clientes, aunque la compañía sostuvo que los saldos de las cuentas no habían sido afectados y que las operaciones de trading y los depósitos continuaron funcionando durante el proceso de revisión.
Bitget también informó que notificó a las autoridades correspondientes y que puso en marcha tareas de rastreo junto con empresas de análisis blockchain, exchanges, proyectos del ecosistema y especialistas en seguridad.
En paralelo, la compañía aisló los servidores afectados, corrigió la vulnerabilidad identificada, revocó y renovó credenciales internas y restringió los permisos de acceso a los sistemas más sensibles. También comunicó que incorporó controles adicionales para las operaciones críticas, con mecanismos de aprobación múltiple y una verificación más estricta de los retiros.
La restauración de los servicios se realizó por etapas. Los retiros de Bitcoin se habilitaron el 28 de septiembre; los de Ethereum, el 29; y los de USDT, el 30. Finalmente, el 2 de octubre volvieron a estar disponibles los retiros de los demás activos compatibles, junto con los servicios de moneda fiduciaria y operaciones entre usuarios (C2C).
De esta manera, Bitget completó el cronograma de normalización anunciado después del ataque. La empresa afirmó que no identificó nuevas transferencias no autorizadas una vez contenida la intrusión.
El fondo de protección de Bitget: ¿alcanza para cubrir el hackeo?
Otro de los puntos centrales de la respuesta fue el respaldo financiero anunciado por la compañía. Bitget cuenta con un fondo de protección (Protection Fund) destinado a funcionar como una cobertura adicional frente a incidentes de seguridad que afecten a la plataforma.
Tras conocerse el ataque, la empresa se comprometió a recomponer ese fondo hasta alcanzar al menos u$s300 millones en el plazo de una semana. Según informó el 30 de septiembre, logró superar ese objetivo antes de lo previsto. Su última actualización indicó que el fondo contaba con 3.705 bitcoins, valuados en más de u$s300 millones.
Bitget sostiene que el impacto económico del incidente está contemplado dentro de la cobertura de ese mecanismo y que no será trasladado a los saldos de los clientes.
La compañía también publicó una actualización de su sistema de Prueba de Reservas (Proof of Reserves), que informó una tasa de respaldo global del 131% sobre 19 activos, de acuerdo con una fotografía de las reservas tomada el 29 de septiembre. Según esos datos, todos los activos incluidos en el relevamiento superaban el umbral del 100%.
Sin embargo, ambos instrumentos cumplen funciones diferentes. La Prueba de Reservas busca demostrar que los activos mantenidos por la plataforma respaldan los saldos de los usuarios contemplados en el informe. El Protection Fund, en cambio, constituye una reserva adicional destinada a afrontar determinados incidentes de seguridad.
Por eso, contar con reservas superiores al 100% no equivale, por sí solo, a demostrar que una plataforma es inmune a ataques informáticos. La seguridad también depende de la infraestructura tecnológica, los controles de acceso, los procesos de autorización y la capacidad de detectar operaciones anómalas.
Rastreo de criptomonedas y recompensas para recuperar los fondos
Con el ataque contenido, una de las prioridades pasó a ser seguir el recorrido de los activos y recuperar la mayor cantidad posible de fondos.
Para eso, Bitget publicó un tablero de seguimiento en tiempo real que permite observar los movimientos de las direcciones identificadas y puso en marcha un programa de recompensas para quienes colaboren voluntariamente con el congelamiento o la recuperación de los activos.
La propuesta contempla una recompensa equivalente al 5% de los fondos que puedan ser congelados o recuperados como resultado directo de la colaboración de terceros, sujeta a las condiciones de elegibilidad del programa.
La iniciativa también contempla la cooperación con LazarusBounty, el programa de recompensas impulsado por Bybit para combatir el robo de activos digitales. La estrategia apunta a involucrar a exchanges, emisores de stablecoins, puentes entre redes, proyectos blockchain y empresas especializadas en rastreo de transacciones.
Bitget confirmó que algunos fondos ya habían sido congelados gracias a la coordinación con distintos participantes de la industria. Sin embargo, no publicó un monto acumulado definitivo de activos recuperados, debido a que las tareas de seguimiento continúan y las cifras pueden modificarse a medida que se identifican nuevos movimientos.
