Septiembre de 2026, el peor mes del año en hackeos: robaron US$766 millones y más del 92% salió de Bitget y Liquid

Septiembre de 2026 en cifras

Según CertiK, en septiembre plataformas y usuarios perdieron unos US$766,4 millones por hackeos y phishing. Es el máximo de 2026 tanto por la suma como por el número de incidentes. En agosto se robaron US$215 millones, así que en un mes las pérdidas se multiplicaron por más de 3,5. En todo el primer semestre se acumularon US$1.320 millones en 344 incidentes, y septiembre por sí solo aportó más de la mitad de esa suma.

Casi todo se concentró en dos golpes. El 6 de septiembre Liquid Network perdió US$318,7 millones, y el 24 de septiembre Bitget, US$387,5 millones. Juntos suman más del 92% de las pérdidas del mes, y a su lado el resto de los casos grandes casi pasa desapercibido.

A quién robaron y cómo

Por tipo de víctima, encabezan la lista los exchanges centralizados con US$387,5 millones, seguidos de las redes principales (mainnet) con US$325,1 millones. Los particulares perdieron US$18,5 millones; DeFi, US$13,3 millones, y los proyectos de juegos de azar, US$5,99 millones.

Por método de ataque, CertiK reparte las pérdidas así:

• Hackeo a través de un servicio de terceros — US$387,5 millones, justo lo que perdió Bitget.
• Firmas falsificadas (invalid signature) — US$324,7 millones.
• Billeteras comprometidas — US$20,1 millones.
• Errores en los permisos de acceso — US$13,3 millones.
• Reentrada (reentrancy) — US$2,25 millones.

En el primer semestre, comprometer billeteras fue el método más caro: les costó a las víctimas US$444,5 millones. En septiembre apenas sumó US$20,1 millones, y el grueso del dinero salió por el servicio de terceros y las firmas falsificadas.

Bitget: casi un mes dentro del exchange

El 30 de septiembre, SlowMist y Mandiant, que investigan el ataque, publicaron sus conclusiones preliminares. Los atacantes entraron en el sistema ya el 31 de agosto, a través de una vulnerabilidad de día cero en un producto de seguridad de terceros cuyo nombre no se ha revelado, y pasaron casi cuatro semanas dentro antes del robo. En la práctica, les abrió la puerta el mismo software que debía proteger al exchange.

Nadie robó las claves privadas. Los atacantes consiguieron credenciales internas de empleados y pusieron en marcha una herramienta propia que falsificaba los parámetros de los retiros. Los propios sistemas de firma de Bitget aprobaban esas transferencias falsas.

El robo en sí, el 24 de septiembre, duró 2 horas y 52 minutos, de las 18:31 a las 21:23 UTC. La oleada más grande, de unos US$185 millones, salió a las 19:16 UTC. Solo se vieron afectadas las billeteras calientes y templadas: el almacenamiento en frío y la app Bitget Wallet quedaron fuera del ataque.

Bitget, los analistas de Elliptic y los investigadores on-chain manejan como principal hipótesis a Corea del Norte, aunque ningún Estado ha hecho una atribución oficial. Lo que pasó en las primeras horas lo contamos en el análisis de cómo los hackers sacaron el dinero de las billeteras calientes de Bitget. Si tus monedas siguen en Bitget, te servirá el paso a paso de cómo retirar tus criptos de Bitget a tu propia billetera.

Liquid: 36 minutos de tokens vacíos a bitcoins reales

Liquid es una sidechain de bitcoin creada por Blockstream. El usuario bloquea BTC y recibe a cambio tokens L-BTC, que luego puede canjear de nuevo por bitcoin. La cronología del ataque, minuto a minuto, la reconstruyó TRM Labs.

El 6 de septiembre a las 13:53 UTC, los atacantes emitieron unos 4.000 L-BTC sin ningún respaldo. Se aprovecharon de un fallo en la caché de verificación de las pruebas de rango (range proofs) del software Elements, que dejó pasar una salida inválida como si ya estuviera verificada. A las 14:06 UTC salió por SideSwap una solicitud de retiro, y a las 14:28 UTC la federación de Liquid, una multifirma 11 de 15, aprobó el pago de unos 4.000 BTC. Entre la emisión de los tokens vacíos y la llegada de bitcoins reales pasaron 36 minutos.

El pago rondó los US$319 millones. El 7 de septiembre, los atacantes devolvieron unos 3.400 BTC, cerca de US$272 millones o el 85% de lo robado. Otros 598,5 BTC, unos US$47 millones, se los quedaron como «recompensa» y dejaron escrito en la blockchain que son «hackers de sombrero blanco». Nada lo confirma.

Blockstream publicó un parche para Elements, y las claves de firma no se vieron comprometidas. Aun así, la red Liquid sigue en pausa: el trading y el canje de L-BTC están detenidos, y se calcula que el respaldo de los tokens ronda el 86%.

En los dos mayores hackeos del mes las claves quedaron intactas, y las transferencias las aprobaron los propios sistemas de las víctimas, a los que les colaron datos falsos. Por eso no tiene sentido dejar monedas en un exchange solo para cambiarlas: puedes hacerlo con un intercambio instantáneo de criptomonedas que no pide cuenta.

Adónde va el dinero

Para blanquear lo robado a Bitget se usaron órdenes de CoW Protocol, intercambios cross-chain en Chainflip y CoinJoin para los bitcoins. Las plataformas reaccionaron de formas muy distintas. Chainflip intentó bloquear los intercambios, THORChain se negó a poner las direcciones en una lista negra y se escudó en su arquitectura abierta, mientras que el sistema SHIELD de NEAR Intents bloqueó más de US$50 millones vinculados a los atacantes.

El 30 de septiembre le tocó el turno a ZEC. Entre las 08:15 y las 08:46 UTC, tres transferencias movieron 2.746 ZEC, unos US$3,9 millones, al pool blindado Ironwood de Zcash. Es cerca del 15% de los ZEC robados al exchange, que en total suman unos 18.917. Seguir esas monedas se ha vuelto más difícil, pero los investigadores siguen cruzando los horarios y las cantidades con que el dinero sale del pool.

En total, según CertiK, durante el mes se recuperaron o congelaron US$270,6 millones de los US$766,4 millones. Por ahora siguen sin recuperarse unos US$496 millones.

Qué significa para ti

Un usuario cualquiera acaba en estos informes de dos maneras: junto con la plataforma hackeada donde tiene su saldo o por su cuenta, a través de su propia billetera. Solo en septiembre, los particulares perdieron US$18,5 millones. Unos cuantos hábitos reducen bastante ambos riesgos.

• Tu saldo en un exchange es una deuda que el exchange tiene contigo. Las claves de las monedas las controla la plataforma, y después de un hackeo tu retiro depende de sus reservas y de sus decisiones. Deja ahí lo que necesitas para operar y guarda tus ahorros en tu propia billetera. Si todavía no tienes una, empieza por nuestra guía sobre qué billetera elegir para guardar tus criptomonedas: custodial o no custodial.
• La frase semilla, solo offline. En papel o en metal, sin fotos, nubes ni notas en el teléfono. Comparamos las distintas opciones en la guía sobre dónde guardar la frase semilla para no perder tus criptomonedas.
• No firmes lo que no entiendes. Si la billetera te pide aprobar una transacción o dar un permiso sobre tus tokens y no tienes claro qué es ni para qué sirve, recházalo. Un permiso para gastar tus tokens sigue vigente aunque ya hayas cerrado la web.
• Revisa la dirección completa. Compara cada carácter, también los del medio. Un programa malicioso puede cambiar la dirección en el portapapeles, y los estafadores pueden colarte una dirección parecida en el historial de transferencias.
• No te creas los correos sobre «compensaciones». Un hackeo sonado es la excusa habitual para el phishing: correos sobre reembolsos, «verificación urgente de la billetera», webs de soporte falsas. El soporte de verdad nunca te pide la frase semilla, la contraseña ni los códigos 2FA.

Si te quedan stablecoins en el exchange y quieres tener tus ahorros en bitcoin dentro de tu propia billetera, puedes cambiar USDT TRC20 por bitcoin sin registro. En VertEXchange no hay cuentas ni saldos: las monedas llegan directamente a tu dirección. Si tienes ether, puedes cambiar ETH por BTC en las mismas condiciones.

Preguntas frecuentes

¿Cuánto se robó en criptomonedas en septiembre de 2026?

Según CertiK, unos US$766,4 millones por hackeos y phishing. Es el peor mes de 2026 tanto por la suma como por el número de incidentes, con más de 3,5 veces lo robado en agosto.

¿Cómo hackearon a Bitget?

Según las conclusiones preliminares de SlowMist y Mandiant, los atacantes entraron el 31 de agosto a través de una vulnerabilidad de día cero en un producto de seguridad de terceros, consiguieron credenciales de empleados y lanzaron su propia herramienta de retiros con parámetros falsificados. Los sistemas de firma del exchange aprobaron esas transferencias, y las claves privadas no fueron robadas.

¿Quién hackeó a Bitget?

La principal hipótesis de Bitget, Elliptic y los investigadores on-chain es Corea del Norte. Ningún Estado ha hecho una atribución oficial.

¿Qué pasó con Liquid Network?

El 6 de septiembre, los atacantes aprovecharon un fallo del software Elements para emitir unos 4.000 L-BTC sin respaldo y obtuvieron a cambio unos 4.000 BTC, cerca de US$319 millones. Al día siguiente devolvieron unos 3.400 BTC y se quedaron con 598,5 BTC. Blockstream publicó un parche, pero la red sigue en pausa, con el trading y el canje de L-BTC detenidos.

¿Se recuperará el dinero robado?

En parte. De los US$766,4 millones de septiembre se recuperaron o congelaron US$270,6 millones, y unos US$496 millones siguen sin recuperarse. Los atacantes de Liquid devolvieron el 85% de los bitcoins, y en el caso de Bitget el sistema SHIELD de NEAR Intents bloqueó más de US$50 millones vinculados a los atacantes.

¿Cómo proteger tus criptomonedas de un hackeo?

Deja en el exchange solo lo que usas para operar y guarda tus ahorros en tu propia billetera. Mantén la frase semilla offline, no firmes transacciones ni permisos que no entiendas, revisa completa la dirección del destinatario y no respondas a correos sobre «compensaciones» después de un hackeo sonado.