Cronología del hackeo de Bitget: cómo su propio sistema aprobó un robo de 387 millones de dólares
Bitget confirmó que los atacantes robaron 387,5 millones de dólares de las billeteras de su exchange el 24 de septiembre. Los retiros siguen suspendidos, mientras que la empresa afirma que su fondo de protección cubre las pérdidas.
Mandiant y SlowMist están investigando. La directora ejecutiva, Gracy Chen, sospecha que Corea del Norte podría estar implicada, aunque no se ha revelado el punto de entrada inicial.
Entonces, ¿cómo pudo producirse el hackeo? BeInCrypto ha elaborado una cronología basada en información disponible públicamente.
24 de septiembre, 18:31 UTC: Bitget detecta transferencias no autorizadas
Bitget afirma que sus sistemas de seguridad detectaron las transferencias a las 18:31 UTC y activaron procedimientos de emergencia en cuestión de minutos.
La brecha afectó partes de sus billeteras calientes y templadas, que respaldan las operaciones del exchange. Según la empresa, sus billeteras frías sin conexión permanecieron seguras. La hora de detección no determina cuándo obtuvieron acceso los atacantes por primera vez.
19:57–21:06 UTC: operaciones inusuales encienden las alarmas
A las 19:57, el analista DCF GOD señaló que una billetera recién creada gastó 19,67 millones de dólares en USDT0 para comprar 7.111 ETH en seis minutos. Según se informó, pagó hasta un 5 % por encima de los precios de mercado.
Ese comportamiento sugería que alguien daba prioridad a mover los fondos rápidamente. Su motivación aún no estaba clara.
A las 21:06, Bubblemaps informó que unos 180 millones de dólares se habían movido desde billeteras de Bitget a una misma dirección receptora y luego se habían distribuido entre varias billeteras.
21:30 UTC: Chen confirma la brecha de seguridad
El aviso de seguridad de Chen estimó inicialmente las pérdidas en 351,6 millones de dólares y confirmó que se habían pausado los retiros.
El aviso llegó casi tres horas después de la hora en que Bitget dijo haber detectado el problema. Ese intervalo deja dudas sobre su respuesta, pero no demuestra que los fondos siguieran saliendo durante todo ese tiempo.
25 de septiembre, 00:43 UTC: surge el método sospechado
Chen dijo que los atacantes comprometieron un sistema backend crítico, es decir, el software que gestiona las operaciones de las billeteras en segundo plano.
Introdujeron datos de transacciones falsos y activaron el proceso de autorización de Bitget. En términos sencillos, el propio sistema aprobó transferencias fraudulentas.
Chen dijo que se había descartado el robo de claves privadas. Aún hace falta una explicación pública detallada sobre cómo accedieron los atacantes al backend y qué controles fallaron.
14:03 UTC: las pérdidas alcanzan los 387,5 millones de dólares
Bitget revisó su estimación tras incluir los activos afectados de Zcash y TRON. Dijo que el aumento reflejaba un recuento más completo del robo original.
La empresa afirma que la vulnerabilidad ya se ha corregido. Prometió anunciar un plan para los retiros antes del 26 de septiembre a las 04:00 UTC, sin comprometerse a reanudarlos para entonces.
Por qué los investigadores sospechan de la participación de Corea del Norte
Chen citó el comportamiento de las IP y la actividad en la cadena de bloques, compatibles con grupos norcoreanos. Varias características recuerdan al robo de Bybit de febrero de 2025, que el FBI atribuyó a Corea del Norte.
- Autorizaciones manipuladas: Bitget describe instrucciones falsas que llegaron a su sistema de autorización. En Bybit, una interfaz comprometida engañó a los firmantes para que aprobaran una transacción maliciosa. Los mecanismos son distintos, pero ambos explotaron el proceso de autorización.
- Conversión rápida de activos: Los fondos vinculados a Bitget se usaron rápidamente para comprar ETH. El FBI documentó la conversión rápida de los activos robados a Bybit en otras criptomonedas.
- Distribución de fondos entre monederos: Bubblemaps identificó varios monederos receptores. Según el FBI, los fondos robados a Bybit se distribuyeron entre miles de direcciones.
- Uso de THORChain: MistTrack informó que los fondos procedentes de Bitget entraron en el protocolo y señaló que ya se había utilizado para mover fondos robados a Bybit.
Estos paralelismos justifican una investigación más exhaustiva. Por sí solos, no identifican a los atacantes de Bitget.
Fuente: BeInCrypto