Bitget mantiene suspendidos los retiros después de una brecha de seguridad que permitió transferir unos 387,5 millones de dólares en activos a direcciones controladas por el atacante. Mientras los depósitos y la operativa de compraventa continuaban disponibles, Sygnum anunciaba una vía para que los clientes institucionales de la plataforma negociasen utilizando garantías custodiadas fuera de Bitget, en Suiza.
La coincidencia entre ambos hechos pone el foco en los límites de la custodia fuera de la plataforma: mantener el colateral en un banco puede reducir la exposición a los monederos del mercado, pero no elimina necesariamente la dependencia de sus sistemas para ejecutar operaciones, calcular márgenes o liquidar posiciones.
Bitget eleva la estimación del incidente
Bitget comunicó que sus sistemas detectaron transferencias no autorizadas a las 18:31 UTC del 24 de septiembre. En su primer aviso cifró los fondos afectados en aproximadamente 351,6 millones de dólares y señaló que el acceso había alcanzado parte de sus capas de monederos calientes y templados. Según la compañía, los monederos fríos no se vieron comprometidos.
En una actualización publicada el 25 de septiembre, el mercado elevó la estimación hasta unos 387,5 millones de dólares tras incorporar al cálculo transferencias de Zcash y TRON. Bitget precisó que la revisión no implicaba una nueva oleada de movimientos no autorizados. La empresa afirmó haber identificado y corregido la vulnerabilidad, además de contener el incidente, con la asistencia de Mandiant y SlowMist en la investigación.
Los retiros permanecían temporalmente suspendidos en los avisos emitidos hasta el 25 de septiembre, aunque los depósitos y la negociación seguían operativos. Bitget indicó que comunicaría un calendario o una actualización sobre la reanudación de los retiros antes del 26 de septiembre a las 04:00 UTC. Para un usuario con un saldo ordinario en la plataforma, poder consultar ese saldo y operar no equivale a poder retirar los fondos mientras el servicio está interrumpido.
Una estructura de garantías separada de los monederos de Bitget
Sygnum explicó que los clientes institucionales de Bitget que cumplan sus requisitos pueden utilizar su servicio Protect para operar al contado y con derivados mientras los activos dados en garantía permanecen bajo custodia del banco suizo. Bitget refleja ese importe como margen de negociación. Entre los activos aceptados figuran Bitcoin, Ethereum, monedas estables y bonos del Tesoro estadounidense.
El proceso publicado por Sygnum exige que el cliente se registre en el banco, firme el marco contractual, abra una cartera Protect y deposite los activos antes de recibir margen en el mercado. El banco sostiene que las garantías se mantienen en cuentas segregadas, fuera de su balance, y protegidas frente a una eventual quiebra conforme a la legislación bancaria suiza.
La estructura, tal y como la describe Sygnum, reduce la exposición directa a los monederos de Bitget y pretende mantener el colateral fuera del patrimonio de la plataforma si esta sufriera problemas financieros. Sin embargo, las compañías no han revelado cuántos clientes de Bitget utilizan el servicio ni si alguna garantía custodiada por Sygnum estaba relacionada con el incidente.
El anuncio de Sygnum está fechado el 24 de septiembre, pero no indica cuándo comenzó a estar operativo el acceso para los clientes de Bitget. Tampoco afirma que la integración fuese anterior a la brecha de las 18:31 UTC o que se pusiera en marcha como respuesta a ella. Las cifras generales que Sygnum publica sobre los activos de Protect o sobre el volumen de negociación de sus mercados integrados no permiten medir la adopción específica entre los clientes de Bitget.
La custodia externa no elimina la dependencia operativa
La página pública de Protect contempla aportaciones y retiradas flexibles de garantías, pero no detalla el contrato específico aplicable a Bitget. Por tanto, no se conocen públicamente las condiciones para liberar el colateral, liquidar posiciones o gestionar el margen si Bitget mantiene suspendidos los retiros.
La custodia segregada puede limitar la exposición al robo desde los monederos de Bitget y a una eventual insolvencia de la plataforma. Aun así, los materiales disponibles no demuestran que un cliente pueda recuperar de inmediato sus garantías durante una interrupción del mercado, ni que los problemas operativos de Bitget no puedan retrasar la liquidación. Tampoco indican que ningún cliente de Sygnum haya quedado bloqueado en este episodio.
Para los usuarios con saldos ordinarios, Bitget señaló como respaldo su Fondo de Protección de Usuarios. En el aviso inicial afirmó que el fondo superaba los 464 millones de dólares, frente a una estimación entonces de 351,6 millones de dólares afectados. La página pública del fondo menciona 5.500 BTC y permite solicitar compensaciones por pérdidas que cumplan los requisitos en incidentes que afecten a toda la plataforma, aunque Bitget se reserva la evaluación e investigación de cada reclamación. La empresa también dijo haber congelado parte de los activos afectados con ayuda de socios del sector, sin cuantificar en la actualización del 25 de septiembre cuánto había recuperado o inmovilizado.
Los próximos datos relevantes serán el calendario confirmado para reanudar los retiros, una contabilidad más precisa de las pérdidas y recuperaciones y las condiciones de cualquier pago con cargo al fondo. En el caso de Protect, seguirán faltando cifras sobre su uso concreto por clientes de Bitget y el contrato que regula las garantías cuando la plataforma atraviesa una interrupción.
