La plataforma de intercambio de criptomonedas Bitget ha confirmado que reanudará las retiradas de fondos de manera escalonada a partir del 28 de septiembre, después de haber identificado y solucionado la falla que permitió movimientos no consentidos por aproximadamente 387,5 millones de dólares desde algunas de sus billeteras. La empresa continuará efectuando auditorías de seguridad antes de habilitar por completo todas las funciones.
Plan de reactivación de los retiros
La reapertura dará comienzo con bitcoin (BTC) a las 8:00 UTC. Al día siguiente, se permitirán las extracciones de ether en Ethereum, BNB Chain, Arbitrum, Base y Optimism. El 30 de septiembre llegará el turno de USDT en Ethereum, BNB Chain, Solana y Tron, mientras que el resto de los criptoactivos, monedas fiat y transacciones entre usuarios se incorporarán el 2 de octubre.
Los fondos de los clientes están a salvo
Bitget subrayó que la suspensión de las retiradas fue una medida de precaución y no guarda relación con la liquidez de los usuarios. Los saldos de las cuentas no sufrieron alteraciones, y tanto los depósitos como las operaciones de compraventa permanecen activas. La pérdida está respaldada por el fondo de protección de la plataforma, que supera los 464 millones de dólares.
Detalles del ataque y su descubrimiento
Según informó CriptoNoticias, el incidente fue detectado el 24 de septiembre a las 18:31 UTC, cuando se observaron transferencias no autorizadas desde algunas billeteras del exchange. La pesquisa determinó que los delincuentes comprometieron un sistema interno de la infraestructura de carteras y manipularon datos transaccionales para activar el proceso de autorización de la plataforma. Las claves privadas no se vieron afectadas y las billeteras frías quedaron fuera del suceso.
La estimación inicial de los activos sustraídos era de 351,6 millones de dólares, pero Bitget la elevó a 387,5 millones tras incluir Zcash y TRON que no se habían contabilizado en un principio. Este ajuste no implica nuevas transferencias ilícitas. Entre los tokens damnificados se encuentran XRP, ether, USDT, USDC, ZEC, USDT0, XAUt, BNB, AVAX y TRX. Solo XRP representó unos 103 millones de unidades, valoradas en ese momento en cerca de 157 millones de dólares.
Investigación en curso y medidas adicionales
Mandiant, firma especializada en investigación de ciberincidentes, y SlowMist, compañía de seguridad centrada en redes de criptomonedas, continúan colaborando en el análisis. Bitget mantiene un programa que ofrece una recompensa equivalente al 5% de los fondos congelados o recuperados gracias a la colaboración voluntaria de terceros. La empresa también ha divulgado las direcciones vinculadas a los atacantes para facilitar su rastreo.
Próximos pasos y lecciones de seguridad
El siguiente desafío para Bitget será restaurar las retiradas sin incrementar el riesgo operativo. Más allá de recuperar el dinero hurtado, la investigación deberá esclarecer cómo un sistema interno pudo autorizar transacciones fraudulentas sin vulnerar las claves, un aspecto que podría influir en los controles de seguridad que implementen otros exchanges centralizados.