Bitget reabrió los retiros de bitcoin tras el hackeo: lo que contó Gracy Chen y cuándo vuelven las demás monedas

Retiros de BTC habilitados en Bitget: lo que se sabe al 28 de septiembre

• Los retiros de bitcoin en la red Bitcoin se habilitaron el 28 de septiembre a las 08:00 UTC, tal como marcaba el calendario que el exchange publicó el 26 de septiembre.
• En los primeros 50 minutos, el exchange procesó 7.683 solicitudes por unos 3.609 BTC y no hay cola, contó Gracy Chen en la transmisión. Para entonces, 6.946 de ellas ya se habían confirmado en la blockchain.
• El dinero para los retiros sale del fondo de protección: sus 5.500 BTC se van moviendo por partes a la billetera caliente del exchange. Poco después de la apertura, el analista on-chain Ai Yi contabilizó 2.042 BTC ya transferidos, unos 169 millones de dólares.
• Nadie tiene prioridad: según Xie Jiayin, los usuarios comunes, los VIP y los influencers (KOL) pudieron retirar al mismo tiempo.
• Durante la transmisión, Chen y Xie Jiayin anunciaron que los retiros de BTC también se habilitaron en la red BNB Smart Chain.
• Para el viernes 2 de octubre, Bitget promete reabrir los retiros de todas las monedas. El siguiente en la lista es ether (ETH): mañana, 29 de septiembre, a las 08:00 UTC.
• El trading y los depósitos han funcionado todo este tiempo y siguen funcionando.

Calendario de retiros de Bitget por moneda

Cada etapa arranca a las 08:00 UTC. Hasta que le llegue el turno a una moneda, no puedes enviarla a tu billetera ni usarla para un intercambio de criptomonedas fuera de Bitget.

Qué dijo Bitget en el AMA: hackeo, fondo de protección y prueba de reservas

La transmisión empezó a las 07:30 UTC. Lo más importante:

• Cómo hackearon el exchange. Es el primer incidente de seguridad en los ocho años de historia de Bitget, reconoció Gracy Chen. Según ella, los hackers encontraron una vulnerabilidad en un producto de seguridad de terceros y la usaron para robar credenciales de la red interna. Luego enviaron órdenes de retiro falsas al sistema de billeteras, que ejecutó las transferencias sin pasar por los controles de riesgo. Las claves privadas no se filtraron, las billeteras frías no se vieron afectadas y el exchange promete revelar los detalles técnicos en un informe de seguridad.
• Sin virus ni infiltrados. Xie Jiayin calificó el ataque de dirigido y muy sofisticado: los hackers no usaron virus ni programas maliciosos, sino que actuaron con cuentas reales, hicieron pasar sus acciones por el trabajo habitual de los administradores y borraron su rastro. Según él, el exchange descartó por completo tanto una filtración de claves como la participación de empleados.
• Qué se ha corregido. Según Xie Jiayin, la vulnerabilidad ya está cerrada y el exchange tomó cuatro medidas: desconectó de la red los servidores afectados; revocó y volvió a emitir todas las credenciales internas y redistribuyó los accesos con privilegios elevados; entregó los detalles de la vulnerabilidad al desarrollador del producto afectado y colabora en la corrección; y ahora cada retiro pasa por una verificación independiente. Junto con Mandiant y SlowMist, el exchange realiza una auditoría independiente y promete controlar con más rigor los componentes de terceros.
• Quién pagará. Toda la pérdida la asume el fondo de protección de usuarios, de unos 464 millones de dólares, y el hackeo se llevó cerca del 84% de esa suma. Según el exchange, los saldos de los clientes no se vieron afectados. Chen afirmó que los recursos propios de Bitget, sumados al fondo, superan los 1.400 millones de dólares, y que en el plazo de una semana el exchange repondrá el fondo hasta al menos 300 millones de dólares: el nivel que prometió mantener cuando lo creó en 2022.
• Por qué se cerraron todos los retiros. Xie Jiayin explicó que el ataque afectó a varias redes a la vez, no a una sola moneda, y que cada red hay que repararla y revisarla por separado: por eso los retiros vuelven por etapas. Según él, la pausa no tiene que ver con el dinero: la prueba de reservas de Bitget está en el 127%.

Hackeo de Bitget: ¿dónde están ahora los fondos robados?

• Pérdidas: 387,5 millones de dólares. El exchange elevó su primera estimación de 351,6 millones de dólares, la cifra de nuestro primer análisis del ataque a Bitget, el 25 de septiembre, cuando sumó al cálculo las transferencias en Zcash y TRON.
• El primer «lavado». El 27 de septiembre, los analistas de AMLBot siguieron el largo rastro de unos 4 BTC: el hacker cambió TRX por USDT en la red TRON, los pasó a Ethereum por el puente USDT0, compró unos 145 ETH, los convirtió en 4,59 BTC a través de THORChain y los envió al mezclador Wasabi CoinJoin.
• Ahora, de ETH a bitcoin. La mañana del 28 de septiembre, Lookonchain detectó que el atacante está cambiando los ETH robados por bitcoin a través del mismo THORChain.
• La mayor parte seguía sin moverse. Según datos de AMLBot al 25 de septiembre, unos 343 millones de dólares, el 88% de lo robado, estaban guardados en 13 billeteras del atacante.
• Aún no se sabe oficialmente quién está detrás. La directora ejecutiva señaló coincidencias de direcciones IP y VPN con un grupo vinculado a Corea del Norte, y TRM Labs encontró vínculos con billeteras usadas para lavar dinero tras el hackeo de Bybit.
• Recompensa por ayudar. Bitget promete el 5% de la suma que se logre congelar y otro 5% de la que se recupere. La investigación la llevan Mandiant y SlowMist.

Cómo retirar BTC de Bitget sin pérdidas

• Retira a tu propia billetera, no a otro exchange. Las claves las tienes tú, y el próximo hackeo de una plataforma no te afectará. Ayer te explicamos en detalle la diferencia entre una billetera custodial y una no custodial.
• Elige la red Bitcoin. Si en la lista de redes aparece BNB Smart Chain, recuerda: por esa vía no recibirás el bitcoin en sí, sino su token en otra red. Para recibir BTC de verdad en tu propia billetera, retíralo por la red Bitcoin, a una dirección que empiece por bc1, 1 o 3.
• Empieza con un monto pequeño. Comprueba que la dirección y la red sean correctas, y solo después retira el resto.
• No te fíes del «retiro acelerado». Tras cada hackeo sonado aparecen falsos servicios de soporte, y Bitget ya advirtió sobre cuentas falsas que suplantan su identidad. Los retiros se abrieron para todos a la vez, así que pagar por un «lugar en la cola» es una estafa. Ningún empleado real te pedirá tu frase semilla ni tus códigos de doble factor.

Cómo cambiar BTC por USDT o Monero después de retirar

El bitcoin que retires no tienes por qué dejarlo tal cual. Si prefieres esperar en dólares, puedes cambiar BTC por USDT TRC20 sin registrarte, y si lo que más te importa es la privacidad, también puedes cambiar bitcoin por Monero directo a tu propia billetera. En VertEXchange no necesitas cuenta para ninguna de las dos cosas, y las monedas llegan directo a tu dirección.