Bitget perdió $387.5 millones en el mayor robo de criptomonedas de 2026, y no se robó ninguna clave privada. Los atacantes suplantaron la propia capa de autorización del intercambio — la misma forma de fallo que Bybit en 2025 — y menos del 0.1% del botín es congelable. Esto es lo que significa para los traders.
La seguridad de los intercambios de criptomonedas falló nuevamente — y no fueron las claves
El 24 de septiembre de 2026, $387.5 millones fueron extraídos del intercambio de criptomonedas Bitget en menos de una hora. No se robó ninguna clave privada. No se crackeó ninguna contraseña. No se sobornó a ningún empleado. Los atacantes irrumpieron en el backend propio del intercambio, le alimentaron datos de transacciones falsificados y observaron cómo el sistema de aprobación de la plataforma enviaba el dinero fuera — porque el sistema realmente creía que las transferencias eran legítimas. Este es el mayor robo de criptomonedas de 2026 hasta ahora, y marca un cambio drástico en cómo falla realmente la seguridad de los intercambios de criptomonedas.
Puntos clave
- La brecha de Bitget por 387,5 millones de dólares el 24 de septiembre de 2026 fue el mayor robo de criptomonedas del año hasta la fecha, y los atacantes nunca tocaron una sola clave privada.
- El vector de ataque, suplantando la capa de autorización del exchange, se asemeja al robo de $1.5 mil millones de Bybit de febrero de 2025.
- Los grupos vinculados al Estado norcoreano han elevado los robos de criptomonedas en 2026 por encima de $1 billion, sumándose a los aproximadamente $2 billion robados en 2025.
- Los emisores de stablecoins congelaron solo alrededor de $318,000 del botín; la mayor parte del resto se encuentra en XRP y ETH, que ningún emisor puede congelar.
- Una década dedicada a endurecer la custodia de claves no lo detuvo, porque el ataque ha avanzado en la pila.
¿Por qué falla constantemente la seguridad de los intercambios de criptomonedas?
Durante una década, la seguridad de las criptomonedas se basó en un único lema: no son tus claves, no son tus monedas. La industria gastó miles de millones en endurecer la custodia de claves: almacenamiento en frío, módulos de seguridad de hardware, computación multipartita, bóvedas aisladas de la red, esquemas multisig 11 de 15. Y durante un tiempo, funcionó. Los ataques a las claves reales se volvieron más difíciles y menos frecuentes.
Entonces, los atacantes cambiaron de objetivo.
La brecha de Bitget es la evidencia más clara hasta ahora de que todo el modelo de amenazas de la industria está ahora obsoleto. El ataque no fue contra el candado. Fue contra el portero: la capa de autorización, el software y las personas que deciden si una transacción es real antes de que se permita que una clave actúe. Corrompe esa capa, y la clave firmará felizmente cualquier cosa que se le presente.
¿Cómo funcionó realmente el hackeo de Bitget?
El director ejecutivo de Bitget lo describió claramente: el atacante comprometió un sistema backend crítico dentro de la infraestructura de billeteras de la empresa, lo utilizó para falsificar datos de transacciones y activó el propio proceso de autorización del intercambio para mover los fondos. La clave de firma nunca fue tocada. Los datos en los que confiaba sí lo fueron.
Esto no es robo de claves. Es una violación de la confianza. Y tiene la misma forma que el robo de Bybit de febrero de 2025, cuando $1.5 mil millones desaparecieron no porque se robaran las claves, sino porque los atacantes falsificaron lo que los firmantes humanos veían en sus pantallas, engañándolos para que aprobaran transferencias a billeteras frías que creían que eran rutinarias.
Dos de los mayores hackeos en la historia de las criptomonedas ahora comparten la misma estructura: el atacante nunca vence a la criptografía. Vence al proceso de decisión que se encuentra por encima de ella. Bitget contrató a Mandiant y SlowMist para investigar, y los equipos forenses están rastreando el dinero junto con las firmas de inteligencia en cadena TRM Labs y Elliptic. La conclusión se está formando rápidamente: el perímetro que los intercambios de criptomonedas pasaron una década endureciendo ya no es el objetivo de esta clase de atacante.
¿Quién gana y quién pierde con este cambio?
Los ganadores son fáciles de identificar. Las firmas de inteligencia forense y en cadena — Mandiant, SlowMist, TRM Labs, Elliptic — cobran por perseguir el dinero, y los negocios van viento en popa. El nicho emergente de seguridad en la capa de autorización, formado por proveedores que monitorean los flujos de trabajo de transacciones internas en lugar de solo la custodia de claves, tiene un estudio de caso que definirá la categoría. Las aseguradoras que han pasado años argumentando que el riesgo de los intercambios es un problema operativo, no criptográfico, de repente parecen previsoras.
Los perdedores son menos obvios. Los intercambios con una infraestructura de backend extensa son ahora el objetivo de elección: cada servicio interno es una puerta potencial, y la complejidad es la amiga del atacante. Los usuarios minoristas que aún creen que sus fondos están seguros porque se encuentran en almacenamiento en frío se apoyan en una suposición de hace una década. El almacenamiento en frío protege las claves. No protege el proceso de aprobación.
Luego está el reflejo de congelación. Circle y Tether, los emisores de stablecoins que pueden incluir direcciones en listas negras, congelaron aproximadamente $318,000 del botín. Eso es menos del 0,1% del total. El botín estaba dominado por XRP, aproximadamente 102,93 millones de tokens, y ETH, aproximadamente 31,890 tokens, activos nativos sin un emisor central capaz de congelarlos. El freno de emergencia favorito de la industria es estructuralmente inútil contra exactamente los activos que los atacantes prefieren robar. Eso no es un error. Es el diseño.
¿Ha ocurrido esto antes y qué es diferente ahora?
Bitget no es una anomalía. Es el último escalón en una escalera de escalada de una década:
- 2014, Mt. Gox: robo de la clave privada de la billetera caliente, aproximadamente 850,000 BTC.
- 2016, Bitfinex: robo de clave multisig, aproximadamente 120,000 BTC.
- 2022, Ronin: compromiso de la clave del validador más ingeniería social, aproximadamente $600 millones.
- 2025, Bybit: engaño de firmantes mediante una interfaz falsa, por un valor de aproximadamente $1.5 mil millones.
- 2026, Bitget: suplantación de la capa de autorización, aproximadamente $387,5 millones.
Cada escalón aleja al atacante de la criptografía y lo acerca más a las decisiones humanas y de software que la rodean. Las matemáticas nunca fueron el eslabón débil. El flujo de trabajo lo era.
Lo que es diferente ahora es el atacante. El aparato de ciberespionaje estatal de Corea del Norte, rastreado bajo diversos nombres como Lazarus, TraderTraitor y WaterPlum, ha industrializado esto. Chainalysis estima que los robos vinculados a la RPDC superaron los $2 mil millones solo en 2025, y el botín de Bitget empuja a 2026 más allá de $1 mil millones con meses aún por correr. No se trata de un atacante de scripts oportunista. Es una operación bien financiada que ejecuta un programa de ingresos, con la paciencia para colocar contratistas de TI falsificados dentro de las empresas objetivo durante meses, y trata a los intercambios como un fondo trata un mercado: de manera sistemática y con fines de lucro.
¿Hacia dónde se dirige esto en uno a tres años?
La verdad incómoda es que empeora antes de mejorar. Tres fuerzas convergen.
La primera es la IA. La misma clase de modelos en los que confían los intercambios para bloquear miles de millones en fraudes puede apuntarse en la otra dirección, generando datos de transacciones convincentes, automatizando el descubrimiento de vulnerabilidades de autorización y escalando ataques que antes exigían una profunda experiencia humana. Los agentes autónomos ya han demostrado que pueden encontrar y encadenar vulnerabilidades de software para obtener acceso elevado en sistemas de prueba. La capa de autorización está a punto de enfrentar adversarios que nunca duermen y nunca cometen errores tipográficos.
El segundo es la autonomía. A medida que las billeteras se vuelven autónomas, con bots y asistentes de IA firmando transacciones en nombre de un usuario, el factor humano desaparece. Cuando una máquina autoriza una transferencia, los datos falsificados no tienen un humano escéptico que los detecte. La pregunta deja de ser quién tiene la clave y se convierte en quién, o qué, autoriza a la máquina.
El tercero son los propios activos. A medida que más valor se traslada a activos nativos y se aleja de las stablecoins congelables, el manual de recuperación de congelar, incluir en lista negra y recuperar pierde su eficacia. La tasa de recuperación realista para un ataque al estilo de Bitget en activos nativos es efectivamente cero.
Dentro de uno a tres años, se espera que domine una nueva categoría de seguridad: la monitorización continua y basada en el comportamiento de la propia capa de autorización. No si una clave es segura, sino si una transacción tiene sentido dado todo lo que el sistema conoce.
¿Qué significa esto para los traders?
Nada de esto es una predicción de precio. Es un mapa de riesgos, y hay algunas implicaciones estratégicas que vale la pena considerar.
El riesgo de contraparte en los exchanges ya no es solo una preocupación por insolvencia. Es una amenaza recurrente, sofisticada y de actor estatal. La pregunta que debes hacerle a un exchange no es si tiene almacenamiento en frío, porque todos lo tienen, sino cómo valida un retiro antes de que sea firmado.
Un fondo de protección al usuario es un respaldo, no una defensa. El fondo de $464 millones de Bitget cubre la pérdida, y esa cobertura es real. Pero la cobertura no es prevención. Un fondo que paga después de una violación no es lo mismo que un sistema que la impide.
Conoce dónde reside la exposición. Los activos nativos como XRP y ETH son el botín preferido precisamente porque no pueden ser congelados, lo que significa que la recuperación por parte del exchange de activos nativos robados se reduce a cero. El activo que se posee determina el riesgo que se asume, independientemente de la plataforma.
La autotutela elimina la capa de autorización del exchange de la ecuación, pero solo si una persona confía más en su propia seguridad operativa que en la de una institución robusta. Para la mayoría de las personas, ese intercambio de ventajas no ha cambiado realmente. Lo que ha cambiado es la honestidad: ningún modelo de custodia es seguro, solo es vulnerable de manera diferente.
La pregunta que el sector cripto debería hacerse
Durante una década, la industria se contó una historia reconfortante: protege las claves y estarás a salvo. El robo de Bitget, al igual que el de Bybit antes, es la refutación. Los atacantes ya no se preocupan por las claves. Han comprendido que el verdadero activo es el permiso para gastarlos.
Si la próxima generación de robos no toca ni una sola clave privada, la pregunta abierta para toda la industria es qué se está defendiendo exactamente y quién queda para detenerlo.
FAQ
¿Fue hackeado Bitget a través de una clave privada robada?
No. La divulgación posterior al incidente de Bitget descartó el robo de claves criptográficas. El atacante comprometió un sistema de backend que procesa transacciones de billeteras y le inyectó datos de transacciones falsas, por lo que el propio proceso de autorización del exchange aprobó los pagos como si fueran rutinarios. Las claves nunca fueron tocadas; lo que fue comprometido fueron los datos en los que las claves confiaban.
¿Es esto lo mismo que el hackeo de Bybit?
Estructuralmente, sí. Tanto la brecha de Bybit por $1.5 mil millones de febrero de 2025 como la brecha de Bitget por $387.5 millones de septiembre de 2026 eludieron las claves y atacaron la capa de aprobación en su lugar. Bybit fue suplantado en la pantalla del firmante; Bitget fue suplantado dentro de su propio backend. La criptografía se mantuvo en ambos casos; el proceso de decisión no.
¿Por qué Circle y Tether solo congelaron alrededor de $318,000?
Porque las stablecoins representaban una pequeña parte del botín. La mayor parte de los fondos robados estaba en activos nativos, XRP y ETH, que no tienen un emisor central con el poder de bloquear direcciones. Esto expone un límite estructural del juego de congelación y recuperación de la industria: solo funciona en activos que alguien controla.
¿Quién estuvo detrás del hackeo de Bitget?
La atribución sigue siendo una hipótesis de trabajo. Bitget ha señalado a grupos patrocinados por el estado norcoreano, y las técnicas y patrones de lavado coinciden con la actividad de Lazarus y TraderTraitor detrás de los hackeos de Bybit y Ronin. Mandiant y SlowMist están llevando a cabo la investigación forense.
¿Están en riesgo los fondos de los clientes?
Bitget dice que su Fondo de Protección al Usuario, con más de 464 millones de dólares, es suficiente para cubrir la pérdida total, y el exchange está restaurando los retiros por fases. La lección más amplia no se trata de la solvencia de un solo exchange, sino del modelo de amenaza de toda la industria: ningún sistema de custodia es inmune, solo está expuesto de manera diferente.