Sygnum ha ofrecido a los clientes institucionales de Bitget una vía para operar con colateral custodiado fuera de los monederos del exchange, mientras Bitget mantenía suspendidos los retiros tras una brecha de seguridad que, según la plataforma, permitió transferir unos 387,5 millones de dólares a direcciones controladas por un atacante.
La suspensión seguía vigente en los avisos publicados hasta el 25 de septiembre. Los depósitos y la negociación continuaban operativos, pero los usuarios con un saldo ordinario en Bitget no podían convertirlo en una retirada efectiva mientras el servicio permaneciera cerrado. La compañía dijo que comunicaría un plan o una actualización sobre los retiros antes del 26 de septiembre a las 04:00 UTC.
Un ataque a las carteras calientes y templadas
Bitget comunicó que sus sistemas detectaron transferencias no autorizadas a las 18:31 UTC del 24 de septiembre. En su primera estimación situó los fondos afectados en unos 351,6 millones de dólares y señaló que el incidente había alcanzado parte de sus carteras calientes y templadas, mientras las carteras frías permanecían seguras.
En una actualización posterior amplió la cifra hasta aproximadamente 387,5 millones de dólares después de incluir en el recuento transferencias de Zcash y TRON. El exchange aclaró que la revisión no implicaba una nueva oleada de movimientos no autorizados. También afirmó haber identificado y corregido la vulnerabilidad, además de contener el incidente. Mandiant y SlowMist colaboraban en la investigación.
Bitget aseguró asimismo que había logrado congelar algunos activos afectados mediante el trabajo con otros participantes del sector, aunque no detalló cuánto dinero había sido inmovilizado o recuperado en la actualización del 25 de septiembre.
Qué cambia con la custodia de Sygnum
El mismo 24 de septiembre, Sygnum anunció que los clientes institucionales de Bitget que cumplan sus requisitos pueden utilizar su servicio Protect para negociar al contado y con derivados mientras los activos aportados como garantía permanecen bajo custodia del banco suizo. Bitget refleja ese saldo como margen de negociación en la cuenta del cliente.
La propuesta admite, según Sygnum, bitcoin, ether, monedas estables y deuda del Tesoro estadounidense. Para acceder, el cliente debe registrarse en Sygnum, firmar el marco contractual, abrir una cartera Protect y aportar los activos antes de recibir margen en el exchange.
El banco describe esas garantías como activos depositados en cuentas segregadas, fuera de su balance y protegidos frente a una eventual quiebra conforme a la legislación bancaria suiza. Esa estructura reduce la exposición directa a un ataque contra los monederos propios de Bitget y, tal como la presenta Sygnum, también pretende mantener el colateral fuera del patrimonio del exchange si este afronta dificultades financieras.
Sin embargo, la información pública no permite saber cuántos clientes de Bitget han completado el proceso, qué volumen de garantías está vinculado a la plataforma ni si alguno de los activos custodiados por Sygnum quedó afectado por el incidente. Tampoco consta cuándo comenzó a estar operativa la integración. El anuncio no demuestra que precediera a la brecha ni que se diseñara como respuesta a ella.
Custodia separada, pero dependencia operativa
La separación del colateral no elimina todos los riesgos asociados al exchange. Aunque los activos estén en Sygnum, la ejecución de órdenes, el cálculo del margen y la liquidación siguen dependiendo de Bitget. Además, la página pública de Protect no especifica las condiciones particulares aplicables a Bitget para liberar las garantías, liquidar posiciones o gestionar el margen si el exchange interrumpe sus retiros.
Por eso, la custodia segregada puede limitar la exposición al robo desde las carteras de Bitget, pero no prueba que el cliente pueda recuperar inmediatamente el colateral durante una interrupción operativa. La información disponible tampoco indica que ningún usuario de Sygnum haya quedado bloqueado en este episodio.
Para los saldos ordinarios mantenidos en Bitget, la plataforma señaló su Fondo de Protección de Usuarios. En el primer aviso afirmó que superaba los 464 millones de dólares, frente a una pérdida estimada entonces en 351,6 millones. La página del fondo indica una reserva de 5.500 BTC y permite reclamar por pérdidas que cumplan los requisitos en incidentes que afecten a la plataforma, aunque Bitget se reserva la evaluación e investigación de cada solicitud. El valor en dólares de esa reserva varía con el precio del bitcoin.
Los próximos datos relevantes serán el calendario confirmado para reabrir los retiros, el balance definitivo de pérdidas y recuperaciones y las condiciones para cualquier pago del fondo. En el caso de Protect, seguirán faltando los datos específicos de adopción entre los clientes de Bitget y el contrato que regula la liberación y liquidación del colateral cuando el exchange opera bajo tensión.
