Hackeo de Bitget: US$387,5 millones robados y retiros pausados hasta octubre — por qué no cobrar tus ventas en un exchange

Qué pasó en el hackeo de Bitget del 24 de septiembre de 2026

A las 18:31 UTC del jueves 24 de septiembre, los sistemas de seguridad de Bitget detectaron transferencias no autorizadas desde algunas de sus hot wallets. Bitget, fundado en 2018 y registrado en Seychelles, tiene unos 120 millones de usuarios registrados, según la nota de Bloomberg. El exchange calculó primero el daño en US$351,6 millones. Luego lo subió a unos US$387,5 millones, y aclaró que el primer conteo había omitido activos en Zcash y Tron, no que hubiera salido más dinero.

Lo robado se repartía entre varias redes: XRP, ether, USDT, USDC, BNB, AVAX, ZEC y TRX, entre otros. Bloomberg informó que unos US$183 millones se cambiaron a ether.

Más que el tamaño, importa cómo se hizo. La CEO, Gracy Chen, le explicó a CoinDesk que el atacante comprometió un sistema crítico del backend de su infraestructura de wallets, lo usó para falsificar datos de transacciones y activó el proceso de autorización del exchange para sacar los fondos. Según Chen, quedó descartado que se filtraran claves privadas. Lo comparó con presentar "boletas de retiro falsificadas en la ventanilla de un banco".

Bitget dice que la brecha se limitó a partes de sus capas de hot y warm wallets y que las cold wallets están seguras. Mandiant y SlowMist ayudan en la investigación. Chen dijo que los patrones coinciden con grupos vinculados antes a Corea del Norte, aunque la atribución no está confirmada. Al 27 de septiembre, Bitget aún no había publicado un informe técnico completo con la causa raíz.

El calendario es la noticia: depósitos abiertos, retiros cerrados

Bitget pausó los retiros de inmediato. El 26 de septiembre dijo que ya había identificado y corregido la vulnerabilidad, y publicó una reapertura por fases, según crypto.news:

Bitget aclara que las fechas dependen de que terminen los controles de seguridad, que valen igual para todos los usuarios y que no hace falta hacer nada. Es una forma razonable de reabrir después de un incidente. También es una foto exacta de lo que significa tener fondos retenidos cuando la retención no viene de un banco sino de una plataforma.

Mientras tanto, el trading y los depósitos siguieron abiertos. Para un trader, eso es una comodidad. Para un negocio que les pasa a sus clientes la dirección de depósito de su exchange como cuenta de cobro, significa que las ventas siguieron entrando en un saldo que no podía salir.

Pongámosle fecha. Una tienda que cobró en USDC el jueves por la tarde no puede mover ese dinero hasta el viernes 2 de octubre. El 30 de septiembre y el 1 de octubre caen dentro de esa ventana, justo cuando muchos negocios pagan el alquiler, los sueldos de fin de mes y a los proveedores. Y quien convierte a moneda local por P2P también espera: el P2P de Bitget vuelve el mismo 2 de octubre.

"Los fondos de los usuarios están seguros", y aun así no están disponibles

El mensaje de Bitget a sus clientes fue claro: los fondos de los usuarios están seguros, los saldos son correctos y los activos están protegidos. El exchange dice que su fondo de protección de usuarios, que tenía más de US$464 millones, cubre toda la pérdida.

Tomémoslo al pie de la letra y veamos qué garantiza. Garantiza la propiedad: vas a recuperar cada unidad. No promete el acceso, es decir, poder pagarle hoy a tu proveedor. Un negocio necesita las dos cosas, y cuando algo se rompe, se separan.

Los números del propio fondo dicen el resto. Una pérdida de US$387,5 millones es cerca del 84% de un fondo de US$464 millones. Un solo incidente consumió casi todo el respaldo. Un fondo así es una promesa de la misma empresa cuyos sistemas acaban de fallar, y el próximo incidente contará con lo que se haya repuesto para entonces.

Nada de esto es exclusivo de Bitget. Toda plataforma custodial funciona igual, sea un exchange, un procesador custodial o un emisor de tarjetas: tu saldo es un derecho de cobro contra ellos, y su incidente se convierte en tu espera. En agosto vimos la versión por insolvencia, cuando un proveedor de pagos cripto cerró de un día para otro. Esta semana tocó la versión por seguridad.

Cómo funcionó el ataque, y la versión comercio del mismo truco

La explicación de Chen importa mucho más allá de Bitget. Nadie robó una clave. El atacante le dio datos de transacciones falsos al propio sistema de aprobación del exchange, y el sistema hizo aquello para lo que fue construido: aprobar. El punto débil fue el mensaje que decía "esta transferencia es legítima".

Los comercios tienen una versión pequeña de la misma debilidad: el falso "ya te pagué". Puede ser una captura de pantalla de una transferencia, un correo de confirmación falsificado o una llamada falsa al backend de tu tienda que marca un pedido como pagado. Si entregas la mercadería por un mensaje y no por lo que dice la cadena, construiste una copia pequeña del mismo punto débil.

Dos defensas lo cubren:

• Confirma en la cadena, no en un mensaje. Un pago es real cuando la transferencia está confirmada en la red, a tu dirección y por el monto correcto. En Solana tarda unos 0,4 segundos; en Base y Polygon, unos dos.
• Verifica cada notificación. Payzum firma sus webhooks. Tu servidor comprueba la firma antes de marcar un pedido como pagado, así que una llamada falsa de "pagado" se rechaza. Lo explicamos en webhooks firmados para pagos cripto.

Los congelamientos de stablecoins recuperaron menos del 1%

Circle puede congelar USDC y Tether puede congelar USDT; el ether no lo puede congelar nadie. Hacia las 05:00 UTC del 25 de septiembre, unas diez horas después de la detección, los dos emisores congelaron una wallet con unos 218.000 USDT y 100.000 USDC. Son unos US$318.000, menos del 1% de la pérdida, según rastreadores on-chain citados por la prensa. Para entonces, el atacante ya había cambiado buena parte de lo robado a ether. La firma de seguridad MistTrack dijo que direcciones vinculadas al atacante aún tenían más de 63.000 ETH.

La política declarada de Circle es congelar cuando una autoridad competente la obliga legalmente, y varios investigadores de seguridad criticaron en público su lentitud. Para un comercio, salen dos lecciones:

1. El congelamiento del emisor es una herramienta de las autoridades, no tu plan de recuperación. Aquí atrapó menos del 1%. Planifica como si no te fuera a salvar.
2. Ese mismo poder aplica a cualquier dirección con USDC o USDT. Para un negocio legítimo el riesgo práctico es bajo, pero existe, y por eso conviene saber quién te pagó y por qué. Analizamos el diseño con botón de congelar y reversión en el piloto del dólar reversible de U.S. Bank.

Por qué tantos negocios terminan cobrando en un exchange

Casi nunca es una decisión. Es la opción por defecto. El dueño ya tiene cuenta en un exchange, un cliente pregunta "¿te puedo pagar en USDT?", y la respuesta más rápida es pasarle la dirección de depósito. Pasa sobre todo donde las stablecoins hacen de dólar en el día a día, como en Venezuela, Argentina o Colombia. Funciona hasta que deja de funcionar, y esta semana mostró cómo falla:

1. Un incidente de la plataforma pausa los retiros. Esta semana fueron hasta 7,5 días, con los depósitos todavía entrando.
2. Una revisión de cuenta puede congelarte solo a ti. Muchos ingresos chicos de muchos remitentes distintos pueden parecerse a los patrones que el monitoreo de un exchange está hecho para detectar. No hace falta un hackeo para que te retengan el saldo.
3. Tu saldo es un derecho de cobro, no dinero que tienes. Los fondos de protección y las reservas deciden cuánto te devuelven y cuándo.
4. Nada concilia. Los depósitos llegan sin número de pedido, factura ni cliente. Los emparejas por monto y hora.
5. Las cuentas personales no están pensadas para cobros de un negocio. Revisa los términos de tu exchange antes de cobrar tus ventas ahí.

Qué cambia con la liquidación sin custodia

Payzum es un procesador de pagos cripto sin custodia. Cada pago va de la wallet del cliente directo a una wallet que controla el comercio. Payzum nunca retiene, agrupa ni controla el dinero: la liquidación es el pago. Así se ve frente a lo que pasó esta semana:

• No hay un saldo tuyo que un atacante pueda vaciar. Una brecha en la hot wallet de un procesador no puede llevarse fondos que nunca estuvieron ahí. No existe un saldo de Payzum con tus ingresos.
• No hay fila de retiros. No hay nada que retirar. El dinero ya está en tu wallet cuando el pago se confirma.
• Los pagos concilian. Cada checkout alojado, link de pago, factura o venta en POS es su propia solicitud de pago, con monto y estado. Las facturas vencen y detectan sobrepagos, y los webhooks firmados actualizan tus sistemas.
• La volatilidad es opcional. Acepta la cripto que tienen tus clientes y, si quieres ingresos estables en dólares, usa la autoconversión a USDC o USDT.
• En el local funciona igual. El POS de Payzum genera un QR nuevo por venta. Los cajeros entran con PIN y ves analíticas por cajero y por terminal. Ellos cobran; nunca tocan el dinero.

Ahora el límite honesto, porque sin custodia no es magia:

• Tus claves son tu responsabilidad. Sin custodia, la pregunta de seguridad pasa de la plataforma a ti. Guarda la tesorería en una wallet de hardware o en una multifirma, mantén la frase de recuperación fuera de línea y limita quién puede firmar.
• El objetivo del atacante cambia. Con liquidación sin custodia, un atacante apunta a dónde llegan los pagos futuros: la dirección de cobro configurada en tu panel. Payzum tiene 2FA, secretos cifrados y un registro de auditoría completo. Activa el 2FA para todo tu equipo, revisa el registro y haz un pago de prueba chico después de cualquier cambio de dirección.
• Igual vas a necesitar una salida a moneda local. Payzum es solo cripto y no liquida a cuentas bancarias. Usa el exchange como una puerta, no como una bóveda: mueve solo lo que vas a convertir, cuando lo vas a convertir. Más en off-ramps de stablecoins sin custodia.

Cómo dejar de cobrar en un exchange, paso a paso

1. Encuentra todos los lugares donde entra dinero. Haz la lista de cada forma en que un cliente puede pagarte en cripto: direcciones de depósito en facturas, QR pegados, la bio de tus redes, la firma de tu correo, los mensajes de WhatsApp a clientes frecuentes.
2. Crea una wallet que controles tú. Usa una wallet de hardware o una multifirma para la tesorería. Si quieres una wallet aparte para recibir el día a día, pasa los fondos a la tesorería con una frecuencia fija.
3. Conéctala a Payzum. Activa el 2FA y elige tus redes, por ejemplo stablecoins en Solana, Base, Polygon o BNB Chain. Activa la autoconversión a USDC o USDT si quieres ingresos estables.
4. Reemplaza cada dirección de exchange. Online, eso son links de pago, checkout alojado, facturas o un plugin para tu tienda. En persona, el POS con un QR nuevo por venta.
5. Prueba como si fueras cliente. Paga un monto chico, comprueba que llega a tu wallet y configura los webhooks firmados para que los pedidos se actualicen solos.
6. Deja el exchange solo para convertir. Convierte con una frecuencia fija, mueve solo lo que necesitas y no dejes nada guardado ahí.

Cobrar en un exchange vs un procesador custodial vs liquidación sin custodia

Objeciones frecuentes

"Mi exchange es grande y tiene un fondo de seguro."

Bitget es grande y tiene uno. El fondo hizo su trabajo, y aun así los clientes esperan hasta una semana por algunos activos. El tamaño y el seguro protegen la propiedad. No garantizan el acceso el día que tienes que pagarle a alguien.

"Igual necesito pesos, así que el dinero tiene que pasar por un exchange."

Para convertir, sí. Para quedarse ahí, no. Mueve el monto que vas a convertir cuando lo conviertes y guarda el resto en tu propia wallet, en USDC o USDT si usas la autoconversión. Tu exposición a un exchange baja de todos tus ingresos a una sola transferencia.

"Manejar mis propias claves suena más riesgoso que confiar en profesionales."

Es un riesgo distinto, y uno que controlas tú. El ataque de esta semana burló un sistema de aprobación profesional en uno de los exchanges más grandes. Una wallet de tesorería que no está conectada al backend de nadie, con firma por hardware y una lista corta y conocida de firmantes, es un blanco mucho más chico. Tómalo en serio, pero es menos trabajo de lo que parece.