Robo en Bitget: 351,6 M$ y sospechas sobre Corea del Norte

El exchange de criptomonedas Bitget ha revelado que unos atacantes se llevaron 351,6 millones de dólares de sus carteras calientes y templadas. Son carteras que permanecen conectadas a los sistemas de la plataforma para la operativa diaria. La compañía atribuye el robo a hackers norcoreanos.

Bitget detectó la intrusión el jueves por la noche, cuando sus sistemas de seguridad dieron la alerta por varias transferencias no autorizadas desde un pequeño número de carteras de criptomonedas. Ha suspendido todas las retiradas mientras investiga. Colaboran en la investigación las fuerzas de seguridad, instituciones de seguridad on-chain y expertos de Mandiant y SlowMist.

Las carteras frías y los saldos de los clientes, intactos

El exchange asegura que los daños se limitan a una parte de su infraestructura. Sus carteras frías, que se mantienen desconectadas de internet, no se vieron afectadas. Según la compañía, la mayoría de los activos de la plataforma también están a salvo.

Bitget gestiona además un producto de autocustodia, Bitget Wallet, en el que los usuarios guardan sus propias claves. Ese producto funciona sobre una infraestructura independiente de Bitget Exchange, y la empresa afirma que el ataque no llegó hasta él.

Las pérdidas se cubrirán con el Fondo de Protección al Usuario de Bitget. El fondo cuenta con 5.500 BTC, que valen unos 464 millones de dólares a los precios actuales.

«Según nuestra evaluación actual, se han visto afectados aproximadamente 351,6 millones de dólares en activos. Las carteras frías de Bitget y la inmensa mayoría de los activos de la plataforma siguen seguros y no se han visto afectados», señaló la compañía.

«El incidente entra dentro de la cobertura del Fondo de Protección al Usuario de Bitget, que actualmente cuenta con más de 464 millones de dólares. Los saldos de las cuentas de los clientes siguen siendo correctos, y los depósitos y la negociación continúan funcionando con normalidad».

Siete cadenas, varios activos

La consejera delegada de Bitget, Gracy Chen, explicó que los fondos robados se movieron a través de las cadenas Ethereum, XRP Ledger, Arbitrum, Avalanche, Optimism, BSC y Base. Los atacantes se llevaron ETH, XRP, BNB, AVAX, USDT, USDC y otros tokens. XRP fue la mayor pérdida en una sola cadena.

Según Chen, desde que se produjo el robo algunas cadenas han congelado las direcciones de cartera utilizadas por los atacantes.

Chen vinculó el ataque a Corea del Norte a partir de las pruebas reunidas hasta el momento.

«Según los patrones de comportamiento de las IP y el análisis on-chain, el método de ataque de este incidente coincide en gran medida con patrones conocidos de organizaciones de hackers norcoreanas. Lo hemos comunicado a las instituciones pertinentes y estamos colaborando plenamente en una investigación a escala global», afirmó Chen.

Un sistema interno comprometido

Bitget todavía no ha explicado cómo accedieron los atacantes al sistema. Lo que sí ha descrito es el mecanismo general. Los intrusos lograron acceder a un sistema interno clave del servicio de carteras y lo usaron para falsificar información de transferencias. Esos datos falsificados activaron después el propio proceso de firma de autorizaciones del exchange, que envió los fondos al exterior.

«El atacante comprometió un sistema interno crítico de nuestra infraestructura de carteras, lo utilizó para falsear datos de transacciones y activó nuestro proceso de autorización para sacar los fondos. No es posible realizar más transferencias no autorizadas. El método concreto de intrusión en el sistema sigue bajo investigación», declaró Chen.

En su última actualización, el exchange indicó que las retiradas se reanudarán en cuanto los investigadores confirmen que es seguro volver a la operativa normal. No dio ningún plazo.

Un sospechoso habitual

Los grupos de amenazas norcoreanos se han relacionado con muchos de los mayores robos del sector cripto. El más grande fue el hackeo de Bybit, en el que los atacantes robaron 1.500 millones de dólares de la cartera fría de ETH de ese exchange. Sigue siendo el mayor robo de criptomonedas del que se tiene constancia.

La firma de análisis de blockchain Chainalysis informó hace dos años de que grupos norcoreanos respaldados por el Estado robaron 1.340 millones de dólares en 47 robos de criptomonedas durante 2024. En febrero de 2025, Elliptic calculó que los hackers norcoreanos habían robado más de 6.000 millones de dólares en criptoactivos desde 2017. Según se informó, lo obtenido se destinó al programa de misiles balísticos del país.

Por qué importa

Llama la atención cómo se movieron los fondos. No parece que los atacantes se limitaran a robar claves privadas. La descripción de Bitget apunta a que consiguieron que el propio proceso de firma del exchange aprobara transferencias falsificadas. Esto señala una debilidad en los sistemas que rodean a las carteras, y cuando se trata solo del almacenamiento de claves, más no siempre es mejor. Los exchanges que dependen de la autorización automatizada quizá quieran revisar cuánto confían en los datos que les llegan de sus servicios internos.

Para los clientes, el fondo de protección y las carteras frías no afectadas limitan el impacto directo. Las retiradas suspendidas siguen siendo, por ahora, el problema práctico.

Conviene estar atentos a si Bitget publica detalles del método de intrusión y a si se congelan más fondos robados a medida que se mueven entre cadenas. Si la atribución a Corea del Norte se sostiene, el incidente se suma a una tendencia que ha convertido a los exchanges de criptomonedas en una fuente constante de ingresos para el régimen.