Puntos clave de la noticia:
- SlowMist rastreó la actividad maliciosa vinculada al robo de $388M en Bitget hasta el 31 de agosto, cuando se explotó una vulnerabilidad zero-day.
- El atacante usó una herramienta personalizada para falsificar parámetros de control de riesgo y ejecutar retiros fraudulentos desde las hot wallets del exchange.
- La CEO de Bitget, Gracy Chen, admitió que las claves privadas no fueron comprometidas, pero se mostró pesimista sobre la posibilidad de recuperar los fondos.
La firma de seguridad blockchain SlowMist identificó que la actividad maliciosa más temprana vinculada al robo de $388 millones en Bitget se remonta al 31 de agosto de 2026, cuando un atacante explotó una vulnerabilidad zero-day en un producto de seguridad externo.
Este hallazgo forma parte de un reporte de avance publicado por la compañía, que continúa investigando uno de los hackeos más grandes del año en la industria cripto.
Según el informe, el atacante utilizó un script oculto para acceder a la base de datos de lo que SlowMist denominó «Producto A«, obteniendo su contraseña desde una variable de entorno. Actividad similar fue detectada en otros dos nodos el 23 y el 25 de septiembre. El robo efectivo de los fondos ocurrió el 24 de septiembre (UTC), cuando los activos fueron transferidos desde las hot wallets de Bitget hacia direcciones controladas por el atacante en múltiples blockchains.
SlowMist Encontró una Herramienta de Retiro Personalizada
El 25 de septiembre, el atacante también accedió a la plataforma de gestión de un segundo producto de seguridad —denominado «Producto B«— utilizando la identidad de un empleado interno. Desde ese acceso, intentó inyectar comandos de sistema, modificar configuraciones de servidor y cargar archivos maliciosos.
SlowMist recuperó además una herramienta eliminada, altamente personalizada, diseñada para manipular el proceso de retiro del sistema de wallets: el instrumento falsificaba parámetros de control de riesgo, construía solicitudes de retiro e invocaba el proceso de extracción de fondos.
Transferencias Ejecutadas en el Exploit
La verificación onchain de SlowMist ubicó la primera transferencia confirmada a las 2:31 am UTC+8 del 25 de septiembre, cuando una dirección controlada por el atacante recibió 93 TRX, seguidos 11 segundos después por 0,84 ETH en la red de Ethereum. El registro de transferencias abarcó aproximadamente dos horas y 52 minutos en múltiples blockchains, hasta las 5:23 am de ese día.
La CEO de Bitget, Gracy Chen, confirmó que el exploit se originó en la vulnerabilidad de un producto de seguridad externo que permitió al atacante obtener credenciales internas de alto nivel y emitir comandos de retiro fraudulentos, aunque aclaró que las claves privadas y las cold wallets del exchange no fueron comprometidas.
En declaraciones al programa Chain Reaction de Cointelegraph, Chen se mostró «no muy optimista» respecto a recuperar la totalidad de los fondos, citando como referencia el escaso resultado obtenido tras el hackeo a Bybit en 2025.
