Bitget elevó a unos 387,5 millones de dólares el valor de los activos transferidos a direcciones controladas por un atacante tras la brecha de seguridad detectada el 24 de septiembre. La plataforma mantuvo suspendidos los retiros en los avisos publicados hasta el día 25, aunque los depósitos y la operativa de compraventa continuaron activos.
En paralelo, Sygnum anunció que los clientes institucionales de Bitget podían negociar utilizando como garantía activos depositados en el banco suizo, en lugar de mantener ese colateral dentro de las carteras de Bitget. La coincidencia entre ambos hechos vuelve a poner el foco en los límites de la custodia fuera de los mercados de criptomonedas: qué queda protegido cuando se produce un ataque a una cartera del exchange y qué sigue dependiendo de la propia plataforma si se interrumpen las operaciones o las retiradas.
Bitget amplía la estimación del ataque
Bitget comunicó inicialmente que sus sistemas habían detectado transferencias no autorizadas a las 18:31 UTC del 24 de septiembre. En ese primer balance cifró los fondos afectados en unos 351,6 millones de dólares y señaló que el incidente había alcanzado parte de sus carteras calientes y templadas. Según la empresa, las carteras frías no se vieron comprometidas.
En una actualización del 25 de septiembre, el exchange elevó la cifra hasta aproximadamente 387,5 millones de dólares después de incorporar al cálculo transferencias de Zcash y TRON. La compañía aclaró que la diferencia no correspondía a una nueva oleada de movimientos no autorizados, sino a una contabilidad más completa del incidente.
Bitget afirmó haber identificado y corregido la vulnerabilidad subyacente y haber contenido el ataque. Mandiant y SlowMist colaboraban en la investigación. Mientras tanto, el aviso sobre los retiros indicaba que estos permanecían temporalmente suspendidos, pese a que los usuarios podían seguir depositando fondos y negociando. La plataforma dijo que comunicaría un plan o una actualización sobre los retiros antes del 26 de septiembre a las 04:00 UTC.
Para un cliente con un saldo ordinario en Bitget, que el balance aparezca en pantalla y que la cuenta permita operar no equivale a poder sacar los fondos mientras las retiradas estén bloqueadas.
Qué ofrece la custodia de Sygnum y cuáles son sus límites
El servicio Protect de Sygnum permite a clientes institucionales elegibles operar al contado y con derivados en Bitget mientras los activos comprometidos como garantía permanecen bajo custodia del banco en Suiza. Bitget refleja ese saldo como margen de negociación. Entre los activos aceptados figuran bitcoin, ether, monedas estables y bonos del Tesoro estadounidense.
Para utilizar el mecanismo, el cliente debe registrarse en Sygnum, firmar el marco contractual, abrir una cartera Protect y depositar los activos antes de recibir margen en el exchange. El banco asegura que el colateral se mantiene en cuentas segregadas, fuera de su balance, y separado de un eventual procedimiento concursal conforme a la legislación bancaria suiza.
Este diseño reduce la exposición directa a un robo desde las carteras propias de Bitget y, según la descripción de Sygnum, también pretende mantener los activos fuera del patrimonio del exchange si este afronta dificultades financieras. Sin embargo, la información pública no permite determinar cuántos clientes de Bitget utilizan Protect, si alguno había completado el proceso de alta cuando se produjo el incidente ni si había activos custodiados por Sygnum relacionados con el ataque.
Tampoco se ha publicado el contrato específico aplicable a los clientes de Bitget. Por tanto, no están detallados públicamente los plazos para liberar las garantías, la liquidación de posiciones o el tratamiento del margen si Bitget mantiene suspendidos los retiros. Aunque los activos estén fuera del exchange, la ejecución de órdenes, el cálculo del margen y la liquidación siguen dependiendo de sus sistemas.
El fondo de protección, pendiente de posibles reclamaciones
Bitget remitió a los usuarios afectados a su Fondo de Protección. En el aviso inicial aseguró que el fondo superaba los 464 millones de dólares, frente a una estimación entonces de 351,6 millones para el incidente. Su página pública indica que está compuesto por 5.500 BTC y que puede cubrir pérdidas que cumplan los requisitos en acontecimientos que afecten a toda la plataforma, aunque la empresa se reserva el derecho a evaluar e investigar cada reclamación.
El valor del fondo en dólares varía con la cotización del bitcoin. En su informe de agosto, Bitget situó la media mensual en 382 millones de dólares y el valor al cierre de mes cerca de 432 millones, manteniendo esos 5.500 BTC.
La compañía también dijo que había logrado congelar parte de los activos afectados mediante la colaboración con socios del sector, pero no cuantificó el importe congelado o recuperado en su actualización del 25 de septiembre. Los próximos datos relevantes serán el calendario confirmado de reapertura de retiros, la contabilidad definitiva de las pérdidas y recuperaciones y las condiciones para activar eventuales pagos del fondo.
