Bitget detectó transferencias no autorizadas desde sus wallets a las 18:31 UTC del 24 de septiembre, unos 30 minutos antes de que los atacantes empezaran a mover cientos de millones de dólares. La reconstrucción de Hypernative concluyó que a las 19:01 salieron 87,6 millones de dólares de las hot wallets, seguidos de 202,8 millones de las warm wallets a las 19:16. Ambos movimientos se produjeron en solo 24 segundos y representaron aproximadamente tres cuartas partes de los 387,5 millones de dólares que, según Bitget, se transfirieron a direcciones controladas por los atacantes.
Por qué importa
El momento de las transferencias pone bajo escrutinio la respuesta del exchange. Bitget afirmó que su equipo de seguridad activó protocolos de emergencia tras recibir la alerta, pero las transferencias vinculadas a los atacantes continuaron hasta las 21:23 UTC, casi tres horas después de la hora en que dijo haber detectado el incidente. La pregunta clave es por qué la vía de firma comprometida siguió operativa tras la primera alerta.
Bitget dijo que un atacante comprometió un sistema backend de su infraestructura de wallets, falsificó datos de retiradas y engañó al proceso de autorización para que aprobara las transferencias. La empresa afirmó que las claves privadas no se vieron comprometidas. Según Hypernative, las transacciones se firmaron con las propias wallets de Bitget y se parecían mucho a retiradas habituales de clientes.
Impacto en el mercado
El ataque comenzó con transferencias de prueba pequeñas: 0,84 ETH y 93 TRX a las 18:31. Unos 28 minutos después, el atacante movió 34,75 millones de dólares en USDT y luego aceleró el vaciado de fondos a través de varias blockchains. Hypernative señaló posibles medidas de protección, como cotejar de forma independiente las transferencias firmadas con las retiradas aprobadas, marcar parámetros de transacción inusuales, establecer límites de velocidad según el nivel de las wallets y suspender automáticamente a los firmantes que presenten anomalías.
Bitget afirmó que corrigió la vulnerabilidad y que no se produjeron más transferencias no autorizadas tras contener el incidente. Mandiant y SlowMist siguen participando en la investigación forense. Para los operadores de exchanges y sus clientes, el incidente subraya la importancia de contar con controles capaces de detener automáticamente las firmas cuando los sistemas internos detectan actividad sospechosa.
Preguntas frecuentes
-
¿Cuánto dinero se movió en las dos mayores oleadas de transferencias de Bitget?
La reconstrucción de Hypernative concluyó que salieron 87,6 millones de dólares de las hot wallets y 202,8 millones de las warm wallets. Ambas oleadas se produjeron en 24 segundos.
-
¿Cuánto tiempo después de la alerta de Bitget comenzó la primera gran oleada?
Bitget afirmó que detectó transferencias no autorizadas a las 18:31 UTC. La primera gran oleada, de 87,6 millones de dólares desde las hot wallets, comenzó a las 19:01.
-
¿Qué dijo Bitget que había comprometido el atacante?
Bitget afirmó que el atacante comprometió un sistema backend de su infraestructura de wallets, falsificó datos de retiradas y engañó al proceso de autorización para que aprobara las transferencias.
-
¿Se comprometieron las claves privadas de Bitget?
Bitget afirmó que sus claves privadas no se vieron comprometidas. Atribuyó la brecha a un sistema backend comprometido y a la falsificación de datos de retiradas.
-
¿Qué medidas de protección potenciales señaló Hypernative?
Hypernative señaló la verificación independiente de las retiradas aprobadas, la supervisión de los parámetros de las transacciones, límites de transferencia por wallet, aprobaciones adicionales y la suspensión automática de firmantes con anomalías.
WuBlockchain
Crypto News
CoinDesk