Puntos clave de la noticia:
- Bitget perdió $351,6 millones tras un hackeo que comprometió su backend de wallets mediante transferencias falsificadas, no hubo robo de claves privadas.
- La CEO Gracy Chen confirmó que el flujo no autorizado fue detenido y que el User Protection Fund de $464 millones cubre la pérdida total.
- El exchange suspendió los retiros como medida preventiva. Los equipos técnicos trabajan en la remediación del sistema comprometido.
El exchange de criptomonedas Bitget sufrió un hackeo por $351,6 millones tras un exploit en el backend de su infraestructura de wallets. Gracy Chen, CEO de la compañía, explicó que los atacantes no robaron las claves privadas del exchange, sino que manipularon el sistema que prepara y valida las solicitudes de transferencia para engañar al proceso de autorización.
«El atacante comprometió un sistema backend crítico dentro de nuestra infraestructura de wallets, lo usó para falsificar datos de transacciones y activó nuestro proceso de autorización para mover fondos», escribió Chen.
Live about Bitget Hot Wallet Incident on September 24, 2026 https://t.co/limZaY2pRf
— Bitget (@bitget) September 24, 2026
Transferencias Falsificadas: Distinción Clave
Chen describió el ataque como la versión digital de introducir comprobantes de retiro falsificados a través de la propia ventanilla de un banco. Las llaves del cofre nunca salieron del edificio. Alguien accedió a la oficina que prepara los formularios, fabricó documentación de apariencia legítima y la envió por el mismo canal de aprobación que el sistema utiliza cotidianamente. Para el proceso de validación, todo lucía como una operación normal.
La distinción técnica entre este método y el robo de claves privadas es muy importante. Cuando un atacante obtiene una clave privada, puede seguir firmando nuevas transferencias de forma indefinida y vaciar fondos sin límite. En este caso, el vector fue distinto: una intrusión al sistema intermediario que procesa y presenta las órdenes, no al núcleo criptográfico que las autoriza. El flujo no autorizado fue detenido de forma definitiva, según confirmó Bitget.
Bitget Cubre Todo con su Fondo de Protección
La vulnerabilidad fue detectada a las 18:31 UTC del 24 de septiembre, cuando los sistemas de Bitget identificaron transferencias no autorizadas desde algunas hot wallets del exchange. El ataque también alcanzó la capa de warm wallets, una reserva semi-conectada que opera como buffer entre las hot wallets automatizadas y el almacenamiento offline. Las cold wallets del exchange están intactas.
Bitget confirmó que el User Protection Fund de la compañía supera los $464 millones y cubre la pérdida en su totalidad. Los depósitos y operaciones continúan activos, aunque los retiros fueron suspendidos como medida preventiva.
La plataforma no estableció un plazo para su reanudación y aclaró que la investigación técnica sigue en curso. Hay múltiples equipos trabajando en paralelo en la remediación y el endurecimiento de los sistemas comprometidos.
