La directora ejecutiva de Bitget, Gracy Chen, dijo que el atacante envió dos pequeñas transferencias no autorizadas unos 30 minutos antes del robo de $388 millones al exchange. A las 18:31 UTC del 24 de septiembre, salieron 0,184 ETH y 193 TRX de carteras calientes sin activar alertas, ya que ambas transferencias quedaron por debajo de los umbrales de control de riesgos.
Por qué importa
Más tarde, el atacante aprovechó una vulnerabilidad de día cero en un producto de seguridad de terceros para acceder a un sistema interno de gestión e insertar órdenes de retirada fraudulentas en sistemas backend relacionados con las carteras. Chen dijo que las órdenes parecían legítimas y que el atacante borró sus rastros, lo que complicó la investigación. Bitget afirma que sus claves privadas y carteras frías no se vieron comprometidas.
El ataque abarcó 17 transacciones en Ethereum, XRP, Zcash, BNB Chain, Base, Arbitrum, Optimism y Avalanche. Las transferencias sumaron unos $361 millones entre las 18:58 y las 20:09, mientras que el robo total comunicado ascendió a $388 millones. El sistema de conciliación de Bitget detectó una discrepancia en los siete minutos posteriores a la primera transferencia importante, y el exchange bloqueó entonces las retiradas iniciadas por los usuarios en toda la plataforma.
Impacto en el mercado
Bitget afirma que su fondo de protección de usuarios, valorado en $465 millones el 25 de septiembre, cubrirá las pérdidas. Chen dijo que el exchange prevé reponer el fondo hasta alcanzar al menos $300 millones en una semana con reservas corporativas, que superaban los $1.400 millones en una auditoría del 31 de agosto. Calificó el incidente de grave, pero no existencial.
Las retiradas de BTC se reanudaron el lunes y se procesaron más de 3.000 BTC durante la primera hora. Estaba previsto que las retiradas de ETH se reabrieran el 29 de septiembre. Bitget investiga el incidente con Mandiant y SlowMist y espera publicar un informe oficial esta semana.
Preguntas frecuentes
-
¿Cómo puso a prueba el atacante los controles de riesgo de Bitget?
El atacante envió 0,184 ETH y 193 TRX desde carteras calientes. Ambas transferencias quedaron por debajo del umbral de control de riesgos del exchange y no activaron alertas.
-
¿Cómo accedió el atacante a los sistemas backend de Bitget?
La directora ejecutiva, Gracy Chen, dijo que el atacante aprovechó una vulnerabilidad de día cero en un producto de seguridad de terceros para acceder a un sistema interno de gestión e insertar órdenes de retirada fraudulentas.
-
¿Con qué rapidez detectó Bitget las transferencias de mayor cuantía?
El sistema de conciliación de Bitget detectó una discrepancia significativa en los siete minutos posteriores a la primera transferencia importante. Después, el exchange bloqueó las retiradas iniciadas por los usuarios en toda la plataforma.
-
¿Qué cubrirá las pérdidas comunicadas, de $388 millones?
Bitget afirma que su fondo de protección de usuarios, valorado en $465 millones el 25 de septiembre, cubrirá las pérdidas. Chen dijo que el exchange prevé reponerlo hasta alcanzar al menos $300 millones en una semana.
-
¿Qué retiradas se reanudaron tras el ataque?
Las retiradas de BTC se reanudaron el lunes y se procesaron más de 3.000 BTC durante la primera hora. Estaba previsto que las retiradas de ETH se reabrieran el 29 de septiembre.
CryptoSlate
WuBlockchain
Crypto News
CoinDesk