Bitget informó de que unos 387,5 millones de dólares en activos fueron transferidos a direcciones controladas por un atacante durante una brecha detectada el 24 de septiembre. Mientras la plataforma mantenía suspendidas las retiradas en sus avisos del 25 de septiembre, Sygnum anunció una vía para que determinados clientes institucionales operasen con Bitget utilizando como garantía activos custodiados fuera del exchange, en Suiza.
La coincidencia entre ambos hechos vuelve a poner el foco en los límites de la custodia fuera de la plataforma: mantener la garantía en un banco puede reducir la exposición directa a los monederos del exchange, pero no elimina la dependencia de sus sistemas para operar, liquidar posiciones o recuperar los activos comprometidos.
Bitget amplía la estimación del ataque
Bitget comunicó inicialmente que había detectado transferencias no autorizadas a las 18:31 UTC del 24 de septiembre. En ese primer aviso calculó los fondos afectados en unos 351,6 millones de dólares y señaló que el incidente había alcanzado parte de sus capas de monederos calientes y templados, mientras que los monederos fríos permanecían seguros.
En una actualización publicada el 25 de septiembre, la compañía elevó la estimación hasta aproximadamente 387,5 millones de dólares tras incorporar al recuento transferencias en Zcash y TRON. Bitget precisó que el aumento no correspondía a una nueva oleada de movimientos no autorizados, sino a una contabilización más completa de los activos afectados.
La plataforma aseguró que había identificado y corregido la vulnerabilidad subyacente y que el incidente estaba contenido. También indicó que Mandiant y SlowMist colaboraban en la investigación. Las retiradas seguían temporalmente deshabilitadas, aunque los depósitos y la negociación continuaban operativos. Bitget se comprometió a comunicar un calendario o una actualización sobre las retiradas antes del 26 de septiembre a las 04:00 UTC.
Qué cubre la custodia institucional de Sygnum
El servicio Protect de Sygnum permite a clientes institucionales elegibles negociar al contado y con derivados en Bitget mientras los activos aportados como garantía permanecen bajo custodia del banco suizo. Bitget refleja esa garantía como margen de negociación en la cuenta del cliente.
Entre los activos que Sygnum contempla como garantía figuran bitcoin, ether, monedas estables y bonos del Tesoro de Estados Unidos. El proceso exige que el cliente se registre en el banco, firme el marco contractual, abra una cartera Protect y pignore los activos antes de recibir margen en el exchange.
Según la descripción de Sygnum, la garantía se mantiene en cuentas segregadas, fuera del balance del banco, y queda protegida frente a una eventual quiebra conforme a la legislación bancaria suiza. Esta estructura reduce la exposición directa a un robo desde los monederos de Bitget y pretende mantener los activos fuera del patrimonio de la plataforma si esta afronta dificultades financieras.
Sin embargo, las compañías no han revelado cuántos clientes de Bitget utilizan Protect ni si alguna garantía custodiada por Sygnum estaba relacionada con el incidente. Tampoco han publicado el contrato específico aplicable a Bitget, que determinaría cuándo pueden liberarse los activos, cómo se liquidan las posiciones o qué ocurre con el margen si el exchange suspende sus retiradas.
La diferencia entre custodiar la garantía y poder retirar
Un saldo reflejado en Bitget y disponible para negociar no equivale a un saldo que el cliente pueda retirar de inmediato. Incluso cuando la garantía permanece en Sygnum, la ejecución de órdenes, la gestión del margen y la liquidación siguen dependiendo de los sistemas de Bitget.
La información pública del servicio no demuestra que un cliente de Protect pueda recuperar instantáneamente sus activos durante una interrupción del exchange, ni que los problemas operativos de Bitget no puedan retrasar la liquidación. Tampoco hay indicios públicos de que algún cliente de Sygnum haya quedado sin acceso a su garantía en este incidente.
Para los usuarios con saldos ordinarios en Bitget, la compañía remitió a su Fondo de Protección de Usuarios. En su primer aviso afirmó que el fondo superaba los 464 millones de dólares y que la estimación inicial de pérdidas, de 351,6 millones, estaba dentro de su cobertura. La página pública del fondo cifra sus reservas en 5.500 BTC y establece que pueden reclamarse pérdidas que cumplan los requisitos en eventos que afecten a toda la plataforma, aunque Bitget se reserva la evaluación e investigación de cada reclamación.
La valoración en dólares de ese fondo varía con el precio del bitcoin. El informe de agosto de Bitget situó su promedio mensual en 382 millones de dólares y su valor al cierre del mes cerca de 432 millones, manteniendo los mismos 5.500 BTC. La plataforma también afirmó que había congelado parte de los activos afectados con ayuda de socios del sector, pero no cuantificó en su actualización del 25 de septiembre el importe congelado o recuperado.
