El robo de US$387,5 millones a Bitget eleva a más de US$1.000 millones el total atribuido a Corea del Norte

Una cifra de más de US$1.000 millones y un sistema de autorización comprometido

El robo de US$387,5 millones a Bitget el 24 de septiembre de 2026 elevó a más de US$1.000 millones las pérdidas en criptomonedas atribuidas a hackers norcoreanos durante el año, según Chainalysis. Sumado a los US$643 millones atribuidos a esos actores durante los primeros seis meses, el robo eleva el total a por lo menos US$1.030,5 millones.

El ataque apuntó a algo más complejo que una contraseña robada o una clave de monedero expuesta. Las investigaciones preliminares describen cómo un intruso obtuvo acceso a través de productos de seguridad externos, tomó el control de un servidor que procesaba transacciones de un monedero y falsificó datos de autorización. La propia infraestructura de Bitget autorizó entonces transferencias que parecían legítimas.

Chainalysis afirmó que en su investigación del 1 de octubre siguió XRP robado hasta Bitcoin y detectó patrones de lavado de dinero asociados con actores norcoreanos. Sus investigadores utilizaron inteligencia artificial para automatizar una tarea de rastreo en menos de 10 minutos, frente a más de 20 horas de trabajo manual. Esa rapidez no significó que se hubiera resuelto todo el robo ni que se hubiera recuperado el dinero.

El incidente también puso al descubierto una red financiera que iba más allá de los propios atacantes. La investigación de las transacciones posteriores identificó comisiones cobradas por servicios de intercambio, distintas respuestas ante fondos sospechosos y posibles vínculos con intermediarios especializados en lavado de dinero. Estos detalles ayudan a explicar por qué identificar criptomonedas robadas en una cadena de bloques pública es solo el primer paso para recuperarlas.

Varios hallazgos siguen siendo preliminares. Chainalysis atribuyó el robo a actores norcoreanos, mientras que Elliptic consideró muy probable esa conexión. La información pública no ha establecido una atribución concluyente al Grupo Lazarus en particular, y no se han identificado los proveedores de seguridad cuyos productos supuestamente facilitaron el acceso.

Cómo aumentó la pérdida en US$35,9 millones

Bitget estimó inicialmente el robo en US$351,6 millones. El 25 de septiembre elevó la cifra a US$387,5 millones tras identificar otros activos afectados, incluidas transferencias relacionadas con Zcash y Tron. Según la plataforma, el aumento de US$35,9 millones se debió a cálculos adicionales, no a un segundo ataque.

Las cifras varían ligeramente entre las investigaciones. Bitquery rastreó US$386,80 millones a través de 23 transferencias en nueve cadenas de bloques. Un informe técnico situó el total más amplio de Bitget en unos US$388 millones en 11 cadenas. Chainalysis describió la distribución inicial a través de cuatro redes principales: Ethereum recibió el 49,7%, XRP el 40,8%, Zcash el 7,6% y Tron el 1,8%. Estos porcentajes redondeados suman el 99,9%.

Las cifras corresponden a distintos alcances de rastreo y no deben considerarse inventarios idénticos. El informe técnico situó el componente de XRP en US$157,8 millones y calculó que unos US$214 millones procedían de monederos que Bitquery clasificó como activos. Los monederos activos y semiactivos son fondos operativos de criptomonedas que se usan para facilitar transacciones y retiros, en lugar de reservas mantenidas completamente fuera de línea.

Los informes también discrepan sobre cuándo detectó Bitget el problema. Varios sitúan la detección a las 18:31 UTC del 24 de septiembre. Una reconstrucción detallada identifica esa hora como el momento de las primeras transferencias pequeñas y sitúa la alerta de conciliación a las 19:05. La diferencia es importante porque el informe posterior calcula que unos US$238 millones, cerca del 61% de la pérdida, salieron después de la alerta.

Una cronología desde la intrusión hasta la reapertura

Los hallazgos preliminares atribuidos a Mandiant y SlowMist sitúan la primera actividad maliciosa registrada el 31 de agosto, más de tres semanas antes del robo. La cronología pública distingue entre el acceso inicial, el movimiento de los fondos y la respuesta de la plataforma.

• 31 de agosto: La primera actividad maliciosa registrada habría aprovechado una vulnerabilidad desconocida en un producto de seguridad.
• 24 de septiembre, 17:49 UTC: Una herramienta personalizada de retiro empezó a ejecutarse en el servidor del monedero.
• 24 de septiembre, 18:31 UTC: Las primeras transferencias rastreadas movieron 93 TRX y luego 0,84 ETH.
• 24 de septiembre, 19:05 UTC: La reconstrucción detallada sitúa a esta hora la alerta de conciliación de Bitget y las restricciones a las solicitudes de retiro de los clientes.
• 24 de septiembre, 21:23 UTC: La última transferencia rastreada movió 223,20 ETH. Los servicios de retiro del monedero, incluida la firma de transacciones, se desactivaron a las 21:44.
• 25 de septiembre: Bitget identificó la presunta causa raíz, informó del incidente a las fuerzas del orden y revisó su estimación de pérdidas.
• Del 28 al 30 de septiembre: Se reanudaron gradualmente los retiros de Bitcoin, Ethereum y USDT. Los informes forenses preliminares se publicaron el 30 de septiembre.
• 1 de octubre: Chainalysis publicó sus conclusiones sobre la atribución y el rastreo. Se había previsto reanudar los servicios restantes antes del 2 de octubre.

El informe detallado señala que el servicio de firma siguió activo durante dos horas y 39 minutos después de la alerta de las 19:05. Por lo tanto, bloquear las solicitudes habituales de los clientes no detuvo de inmediato la vía separada que el atacante había encontrado para acceder al proceso de retiro.

El atacante utilizó el sistema de firma sin robar las claves

Bitget afirmó que la intrusión no comprometió las claves de sus monederos fríos ni dependió de solicitudes de retiro de clientes falsificadas. En cambio, el atacante supuestamente proporcionó datos falsos de autorización de transacciones desde el interior de la infraestructura de los monederos. Una clave privada es la credencial secreta que autoriza una transferencia de criptomonedas. En este caso, la preocupación era que se pudiera instruir a un servicio legítimo de firma para que aprobara una transacción ilegítima.

La reconstrucción técnica preliminar describe dos productos de seguridad no identificados. La actividad en el primero habría permitido que un script oculto leyera una contraseña de base de datos almacenada en una variable de entorno. Más adelante, el atacante habría operado la plataforma de gestión del segundo producto con la identidad de un empleado interno, antes de llegar a un servidor de producción de monederos e instalar software malicioso.

Según se informa, SlowMist recuperó una herramienta eliminada y diseñada para el sistema de retiros de Bitget. La herramienta falsificaba campos de control de riesgos e invocaba el proceso de retiro. No se ha confirmado la conexión exacta entre el acceso inicial a la base de datos y la identidad utilizada en el segundo producto.

Bitget describió el punto de entrada como una vulnerabilidad de día cero, es decir, una falla de software hasta entonces desconocida. Según el informe técnico del 2 de octubre, no se había identificado a ninguno de los proveedores ni había disponible un identificador o aviso público de vulnerabilidad. Bitget afirmó que corrigió la falla, pero la información pública no ofreció suficientes detalles para que otros clientes identificaran los productos afectados.

El producto independiente Bitget Wallet no se vio afectado. Ese servicio utiliza una infraestructura distinta y permite a los usuarios controlar sus propios activos. La distinción limita el alcance conocido de la intrusión, pero no reduce la pérdida sufrida por los monederos operativos de la plataforma de intercambio.

Qué respalda la atribución a Corea del Norte

La directora ejecutiva de Bitget, Gracy Chen, señaló el comportamiento de las direcciones de internet y las firmas de las transacciones en la cadena de bloques al explicar la presunta conexión norcoreana. Describió la técnica en estos términos:

coherente con las técnicas utilizadas por grupos de hackers vinculados a la RPDC

Más tarde, Chen describió la conexión como basada en indicios preliminares. Chainalysis atribuyó de forma independiente el robo a actores norcoreanos, mientras que Elliptic señaló vínculos con direcciones de lavado de dinero asociadas a robos anteriores, incluido el de Bybit. TRM Labs también consideró probable una conexión norcoreana, según el informe técnico.

Estas evaluaciones no equivalen a una determinación judicial pública. El trabajo preliminar de Mandiant no identificó a un atacante, y las investigaciones no han establecido públicamente que un subgrupo específico de Lazarus llevara a cabo la intrusión en Bitget.

Las cifras anuales también deben interpretarse con cautela. Las pérdidas de US$285 millones de Drift Protocol el 1 de abril y de US$292 millones de KelpDAO el 18 de abril suman US$577 millones, cerca del 90% de los US$643 millones atribuidos a actores norcoreanos durante el primer semestre. Los investigadores vincularon el ataque a KelpDAO con TraderTraitor, un grupo asociado a ataques contra infraestructura que conecta cadenas de bloques. Elliptic contabilizó por separado más de 51 incidentes norcoreanos sospechosos en 2026, una categoría más amplia que la de pérdidas confirmadas.

La inteligencia artificial aceleró una etapa específica del rastreo del dinero

Chainalysis afirmó que trabajó con Bitget y las fuerzas del orden para rastrear los activos robados. En unas tres horas, los fondos se habían movido a través de 23 transferencias y luego pasaron por protocolos de liquidez, servicios de mensajería, intercambios instantáneos y servicios de lavado de dinero.

Una tarea central consistía en relacionar XRP robado depositado en un protocolo con Bitcoin pagado en otro lugar. Estos servicios permiten a los usuarios intercambiar activos entre distintas cadenas de bloques. Los investigadores deben conectar las transacciones de entrada y salida aunque utilicen activos, direcciones y registros diferentes.

Chainalysis siguió decenas de millones de dólares por esa ruta durante aproximadamente un día y medio, hasta llegar a direcciones de Bitcoin controladas por el atacante. La empresa afirmó que la automatización desarrollada con su inteligencia artificial interna redujo la tarea de conciliación de más de 20 horas a menos de 10 minutos; los investigadores dirigieron el trabajo y revisaron los resultados. Según esas estimaciones, la tarea tomó menos de una centésima vigésima parte del tiempo anterior.

Fue más difícil seguir otros movimientos. El atacante comenzó a introducir fondos en el fondo protegido de Zcash, donde las funciones de privacidad ocultan detalles de las transacciones que de otro modo ayudarían a vincular remitentes, destinatarios y montos. Chainalysis afirmó que seguiría supervisando las direcciones de destino y compartiendo información con plataformas de intercambio y fuerzas del orden.

El rastreo no permite por sí solo confiscar los fondos. Bitcoin y ether no tienen un emisor central que pueda congelar un saldo. Por lo general, para recuperar los activos se necesita la colaboración de una plataforma, un emisor con facultades para congelarlos o que las autoridades obtengan el control de los fondos.

Los servicios de intercambio discreparon sobre si debían intervenir

NEAR Intents afirmó que su sistema SHIELD bloqueó más de US$50 millones en transferencias intentadas relacionadas con la intrusión y congeló unos US$503.000 durante su ejecución. El director general, Alex Shevchenko, dijo que unos US$166.000 pasaron por el sistema antes de que se detuvieran los flujos sospechosos.

THORChain siguió procesando intercambios y rechazó la solicitud de Bitget de intervenir de forma selectiva. El protocolo distinguió entre detener de emergencia la red para proteger sus propias operaciones y bloquear direcciones o transacciones individuales. También aludió a su propio ataque de US$10,7 millones ocurrido en mayo y señaló que sus autores tampoco habían sido incluidos posteriormente en una lista de bloqueo para los intercambios.

Una captura de datos de BlockSec del 29 de septiembre calculó en unos US$269 millones los flujos relacionados con Bitget a través de 7.804 transacciones de THORChain. Se trata del volumen procesado, no necesariamente del valor único de los fondos robados: el mismo dinero puede contabilizarse más de una vez al pasar por el servicio.

Las estimaciones de congelamiento también varían. Un informe calculó en unos US$318.000 el total de las monedas estables congeladas por Circle y Tether. Una estimación técnica más amplia del 1 de octubre situó en unos US$1,1 millones los fondos congelados con participación de esos emisores y NEAR Intents. Estas cifras tienen fechas y coberturas diferentes, por lo que no deben sumarse como recuperaciones independientes.

Las transacciones de lavado de dinero generaron comisiones y un auge del volumen de operaciones

El investigador independiente Andrey Sergeenkov calculó que las comisiones de servicios y protocolos por las transacciones revisadas ascendían a US$761.725 hasta las 10:22 UTC del 2 de octubre. Su desglose atribuyó US$573.226 a los proveedores de liquidez de THORChain, US$149.417 a MetaMask, US$26.751 a Chainflip y US$12.332 a CoW EthFlow.

Por separado, identificó US$259.718 en comisiones de afiliados de THORChain pagadas a siete direcciones con vínculos financieros adicionales con monederos que participaron en los intercambios. Otros US$206.196 se pagaron a destinatarios para los que no había establecido esos vínculos adicionales. Estas categorías de afiliados son cifras analíticas independientes, no montos recuperados.

Que una dirección figure como destinataria de comisiones no demuestra que pertenezca al atacante. Sergeenkov rastreó parte de los fondos recibidos por el destinatario con más vínculos, que recibió US$177.499, hasta USDT y, finalmente, hasta una dirección etiquetada como OKX Hot Wallet 5. Ese rastreo no permite establecer la identidad del cliente de la plataforma de intercambio ni su participación en el robo.

THORChain registró ingresos de US$3,01 millones en septiembre y un volumen de intercambios de US$2.400 millones. Entre el 25 y el 29 de septiembre procesó unos US$1.370 millones, el 57% del volumen mensual, y generó alrededor de US$1,9 millones, el 63% de los ingresos del mes. Estos totales del período incluyen actividad más allá de los fondos robados identificados.

La declaración del protocolo describió el momento del auge:

«Entre el 25 y el 29 de septiembre, el volumen diario osciló entre unos US$190 millones y US$460 millones, mientras los fondos vinculados al ataque a Bitget pasaban por la red».

El número de monederos activos aumentó de 23.500 en agosto a 25.000 en septiembre, cerca de un 6,4%. Ese modesto crecimiento contrastó con el aumento del volumen de intercambios, que pasó de US$613 millones a US$2.400 millones. Las cifras apuntan a una concentración de transacciones grandes, no a un aumento comparable del número de usuarios.

Los intermediarios pueden pagar a los atacantes antes de que desaparezcan los fondos

Las investigaciones sobre el robo de US$1.500 millones a Bybit el 21 de febrero de 2025 ilustran por qué los fondos robados que todavía son visibles quizá ya no estén bajo el control de los hackers originales. El FBI atribuyó ese ataque a actores de TraderTraitor vinculados a Corea del Norte. Los investigadores sospechan que intermediarios especializados aceptaron activos robados, pagaron a los atacantes su valor menos las comisiones y asumieron el riesgo del lavado posterior.

La empresa de seguridad zeroShadow calculó que entre febrero y junio de 2025 se lavaron más de US$1.000 millones procedentes de Bybit. Esto no demuestra que todo ese monto se convirtiera en moneda convencional ni que equivaliera a las ganancias netas de los atacantes. Chainalysis también describió cómo decenas de millones procedentes de Bybit y WazirX pasaron por la red de proveedores de Xinbi, donde supuestamente los intermediarios intercambiaron activos rastreables por monedas estables procedentes de otras actividades delictivas.

En una declaración del 5 de octubre, el investigador seudónimo ZachXBT afirmó que puso US$349.700 en monedas estables y aceptó una pérdida del 5% en cada operación mientras se hacía pasar por cliente. Dijo que un operador llamado Jimmy Green ayudó a exponer un grupo que tenía más de US$12 millones en fondos relacionados con Bybit; posteriormente, Tether congeló 442.000 USDT.

ZachXBT alegó que la red operaba en Hong Kong y China continental y que lavó más de US$1.000 millones para Lazarus. Su alcance y la identidad del operador no se han confirmado de forma independiente mediante cargos públicos. También alegó que actores chinos que gestionaban fondos de Bitget buscaron ayuda en grupos públicos de Discord y Telegram, y que uno de los operadores había gestionado fondos procedentes del ataque a KelpDAO.

El respaldo financiero de Bitget y los límites de la recuperación

Bitget afirmó que su Fondo de Protección del Usuario superaba los US$464 millones antes del ataque y que cubriría las pérdidas de los clientes. El robo de US$387,5 millones equivale a cerca del 83,5% de una reserva de US$464 millones. Esa comparación mide la posible carga financiera, pero no demuestra cómo se pagó la compensación ni qué activos la financiaron.

El 28 de septiembre, la plataforma se comprometió a restablecer el fondo hasta alcanzar al menos US$300 millones en una semana. Anunció que lo había logrado el 30 de septiembre. También ofreció recompensas de hasta el 5% por los fondos congelados o recuperados con éxito, se asoció con Mandiant y SlowMist y publicó un panel de seguimiento de monederos.

Según Bitget, las operaciones y los depósitos se mantuvieron abiertos durante la pausa de los retiros. Los retiros de Bitcoin se reanudaron el 28 de septiembre, los de Ethereum el 29 y los de USDT el 30. La plataforma afirmó que no hubo más pérdidas durante la suspensión. El token BGB de la empresa cayó casi un 7%, hasta US$1,93, antes de recuperarse a US$1,97 en la instantánea de operaciones publicada.

También hubo discrepancias sobre el alcance total de los incidentes de septiembre. PeckShield contabilizó 55 ataques, por un total de US$766,5 millones, mientras que CertiK registró 97 incidentes, por US$768,4 millones. Bitget representó cerca de la mitad de cualquiera de los dos totales. Los informes situaron en entre US$319 millones y US$320 millones las pérdidas separadas de Liquid Network, de las cuales supuestamente se devolvieron más de US$270 millones. Otro incidente del que se informó, relacionado con Coldcard, implicó unos US$116 millones en julio.

Las iniciativas de aplicación de la ley van más allá de los robos a plataformas de intercambio. El Departamento del Tesoro de Estados Unidos sancionó a ocho personas y dos entidades acusadas de lavar fondos procedentes de ciberdelitos e ingresos de trabajadores informáticos en el extranjero. Sus acusaciones incluían a banqueros que gestionaron al menos US$5,3 millones a través de First Credit Bank y el ocultamiento de fondos mediante intermediarios en China y Rusia. En acciones separadas, el Departamento de Justicia se ocupó de US$7,7 millones vinculados a presunto fraude de trabajadores informáticos y de más de US$15 millones relacionados con cuatro robos atribuidos a APT38.

Estas acciones muestran por qué congelar fondos, confiscarlos y restituirlos son etapas distintas. La cantidad que Bitget todavía puede recuperar, la identidad de los proveedores vulnerables y el informe técnico definitivo siguen sin resolverse. No se ha anunciado una fecha concreta para concluir la investigación ni para devolver los activos robados.

Puntos clave

• La cifra revisada de pérdidas de Bitget, US$387,5 millones, eleva a por lo menos US$1.030,5 millones el total declarado de robos relacionados con Corea del Norte en 2026.
• Los hallazgos preliminares describen la falsificación de datos de autorización, no el robo de claves privadas, como el mecanismo que permitió los retiros.
• Chainalysis atribuyó el ataque a actores norcoreanos; la atribución específica a Lazarus no se ha confirmado públicamente.
• La inteligencia artificial redujo una tarea de rastreo de fondos a menos de 10 minutos, pero el rastreo no permitió recuperar los activos.
• Los servicios de intercambio discreparon sobre la intervención, mientras que las transacciones de lavado de dinero revisadas generaron comisiones considerables.
• Bitget anunció que había restablecido su fondo de protección hasta alcanzar al menos US$300 millones y reanudó los retiros de forma gradual.
• Se desconoce el total definitivo recuperado y la identidad de los proveedores de seguridad afectados.