Bitget ha puesto en pausa los retiros después de confirmar transferencias no autorizadas que afectaron a unos 351,6 millones de dólares en activos. El exchange detectó los movimientos el 24 de septiembre a las 18:31 UTC y activó de inmediato su protocolo de respuesta ante emergencias.

Según la CEO Gracy Chen, la brecha se limitó a una parte de las capas de hot wallets y warm wallets. Las cold wallets permanecieron seguras, los saldos de los clientes no sufrieron cambios y los depósitos y el trading siguieron funcionando con normalidad. La compañía marcó las direcciones vinculadas a las transferencias y avisó a las fuerzas de seguridad y a firmas especializadas en seguridad onchain.

Bitget no ha explicado cómo se comprometieron las carteras y aseguró que no especulará sobre el vector de ataque mientras continúe la investigación. La plataforma prometió actualizaciones cada hora y un informe completo, con análisis de causa raíz y medidas correctivas, en un plazo de 24 horas.

Los primeros datos compartidos por la firma de análisis Bubblemaps apuntan a quince transferencias que sacaron cerca de 192 millones de dólares en siete activos, con Ethereum como el más golpeado, un 44,4% del total. El incidente se produce además durante la campaña del octavo aniversario de Bitget, que este mes amplía su oferta hacia acciones, divisas y otros mercados bajo su estrategia Universal Exchange.

Un fondo de protección por encima de los 464 millones

El exchange sostiene que la pérdida queda cubierta por su User Protection Fund, que actualmente tiene más de 464 millones de dólares. Chen lo resumió al asegurar que el monto total del incidente cae dentro de la cobertura de ese fondo.

Sospechas sobre Corea del Norte

En una sesión de preguntas y respuestas en X, la CEO reveló que los investigadores habían encontrado direcciones IP que coinciden con las opciones de VPN utilizadas por un grupo de Corea del Norte. “El patrón se parece mucho a lo que el equipo norcoreano hizo antes”, dijo. Añadió que el ataque no parece un trabajo interno y que los atacantes transfirieron fondos directamente, sin falsificar solicitudes de retiro ni acceder a las claves privadas de las carteras frías o calientes.

También señaló que se ha recuperado parte de los fondos robados, aunque sin precisar la cantidad, y que el exchange trabaja con fundaciones blockchain y otros socios en las tareas de recuperación. Los retiros, mientras tanto, seguirán suspendidos hasta que concluya la revisión de seguridad.

Septiembre se convierte en el mes más caro de 2026

El golpe a Bitget eleva las pérdidas reportadas del sector. Según DeFiLlama, septiembre ya registraba alrededor de 331 millones de dólares en pérdidas por 17 incidentes antes del exploit de Fetch.ai del 19 de septiembre. Ataques posteriores elevaron la cifra a más de 342 millones de dólares, con la mayor parte vinculada a un incidente de unos 320 millones de dólares relacionado con Liquid Network.

Con los 351,6 millones de Bitget, el total reportado de septiembre superaría los 684 millones de dólares y se convertiría, sobre una base de pérdidas brutas, en el mes más costoso de 2026. Ese registro quedaría por delante de abril, cuando los exploits generaron cerca de 646,9 millones de dólares, sobre todo por los ataques a Drift y KelpDAO, que sumaron aproximadamente 577 millones.

La cifra de septiembre aún podría cambiar, ya que la investigación determinará si los activos afectados se recuperan o se clasifican finalmente como pérdidas. De momento, la prioridad de Bitget es reanudar los retiros: Chen dijo que seguirán suspendidos hasta que termine la revisión y prometió que “cada dólar y cada decisión serán contabilizados, de forma transparente y completa”.