El hackeo de Bitget reabre el debate sobre congelar fondos robados en DeFi

Bitget busca bloquear direcciones asociadas al robo de USD $387,5 millones, pero el caso plantea una pregunta difícil para las redes sin permisos: dónde termina el rastreo y empieza la censura.

***

• Bitget atribuye el ataque a una vulnerabilidad en un producto de seguridad de terceros y afirma que sus claves privadas y billeteras frías no fueron afectadas.
• Los fondos pasaron por varias redes y servicios, incluidos Ethereum, BNB Chain y THORChain, antes de que partes llegaran a Bitcoin.
• Investigadores mapearon 28 direcciones en ocho redes, mientras crece el debate sobre los costos de bloquear transacciones para usuarios legítimos.

 

---

Bitget busca bloquear fondos vinculados a un robo de USD 387,5 millones

El ataque habría explotado una vulnerabilidad de un proveedor externo; Bitget afirma que sus claves y billeteras frías no fueron afectadas.

Investigadores rastrearon 28 direcciones en ocho redes. La… pic.twitter.com/NdxIhkkd0J

— Diario฿itcoin (@DiarioBitcoin) September 29, 2026

 

Bitget cifra en aproximadamente USD $387,5 millones la pérdida causada por un hackeo y pidió a THORChain que negara el servicio a direcciones vinculadas con el atacante. La solicitud abrió un debate que va más allá de la recuperación de los fondos: si una red sin permisos debe intervenir cuando activos robados atraviesan su infraestructura, ¿qué criterio debería aplicar y quién cargaría con las consecuencias?

La discusión también expone una posible doble vara. Los activos circularon por distintas redes y servicios, entre ellos Ethereum, BNB Chain y THORChain, antes de que partes fueran convertidas en Bitcoin; aun así, la presión se concentra en una ruta concreta. El caso obliga a distinguir entre permitir que una transacción se procese, controlar efectivamente un activo y cooperar con quienes intentan seguir su recorrido.

Un pedido de bloqueo que apunta a toda la industria

La CEO de Bitget, Gracy Chen, pidió la semana pasada a THORChain que bloqueara direcciones identificadas por la empresa como vinculadas al atacante. El protocolo respondió planteando una cuestión más amplia: si se espera que THORChain intervenga, ¿qué responsabilidad correspondería también a Bitcoin, Ethereum y BNB Chain cuando los mismos fondos pasan por sus redes?

La pregunta importa porque las blockchains de capa base procesan transacciones de acuerdo con las reglas de sus protocolos, no porque sus validadores o mineros hayan aprobado el origen de cada activo. Interpretar ese procesamiento como respaldo al robo extendería la responsabilidad a buena parte de la infraestructura que tocó el atacante. La intervención selectiva en una capa de intercambio requiere, por tanto, una justificación distinta a la mera visibilidad de una operación.

Según la versión de Bitget, el atacante explotó una vulnerabilidad en un producto de seguridad de terceros, obtuvo credenciales internas y envió comandos de retiro fraudulentos. La empresa sostiene que sus claves privadas y billeteras frías no fueron afectadas, una precisión relevante para entender el alcance que atribuye al incidente, aunque no cambia la magnitud de la pérdida que reporta.

El reporte de crypto.news describe cómo los fondos se desplazaron después del compromiso por múltiples redes y servicios. Parte del recorrido incluyó BNB Chain y Ethereum, además de THORChain, hasta llegar a Bitcoin; las redes continuaron procesando movimientos entre billeteras bajo control del atacante. La solicitud de Bitget, entonces, no consiste simplemente en identificar una dirección, sino en pedir que una infraestructura compartida aplique una restricción.

THORChain puede detener operaciones, pero no congela una cuenta

THORChain no funciona exactamente como una blockchain de capa base ni como un exchange centralizado con una empresa que pueda bloquear una cuenta desde un panel administrativo. Opera pools de liquidez y bóvedas protegidas por firmas de umbral, mientras grupos de operadores de nodos independientes autorizan las transacciones salientes. Esa arquitectura reparte la capacidad de actuar y limita la posibilidad de que una sola persona ordene una suspensión permanente.

Los cambios de protocolo atraviesan un proceso de gobernanza con etapas de desarrollo, revisión y adopción por parte de los nodos. Por eso, una lista negra duradera que se aplique a toda la red requeriría nuevas reglas y suficiente participación de operadores independientes, además de resolver quién define las direcciones incluidas y bajo qué pruebas. La petición de Bitget plantea un cambio con efectos que podrían extenderse más allá de este atacante.

El protocolo sí describe herramientas de emergencia, entre ellas paradas de negociación por cadena, paradas de firma y una suspensión de las operaciones en toda la red. Una detención global interrumpiría los intercambios entre todas las cadenas conectadas y afectaría a usuarios legítimos, además de las comisiones que generan sus operaciones. Las medidas más limitadas también pueden perjudicar a quienes usan la cadena específica que queda detenida.

Usar esos mecanismos cada vez que fondos robados llegan desde el exterior ampliaría su propósito y exigiría explicar cuándo se activa una parada y cuáles son las condiciones para reanudar el servicio. No basta con señalar que una operación parece sospechosa: la decisión también debe considerar a quienes quedan atrapados en el cierre y el riesgo de errores al identificar direcciones. La red tendría que equilibrar la cooperación con la seguridad y la continuidad para sus usuarios.

Bloquear una ruta no garantiza recuperar los fondos

Tras el robo se identificaron alrededor de una docena de servicios utilizados en los movimientos posteriores, entre ellos Uniswap, MetaMask Bridge y Swaps, LI.FI, Across, Stargate, deBridge, Relay, Mayan, Celer, PancakeSwap y el Cross-Chain Transfer Protocol de Circle. Esa lista reúne rutas empleadas después del compromiso, no servicios señalados como origen del ataque. Cerrar una vía podría retrasar al atacante o elevar sus costos, pero no eliminaría las alternativas disponibles.

Tampoco establecería control sobre los activos que ya se encuentran en otros lugares ni garantizaría su recuperación. Un sistema permanente de filtrado, además, tendría que definir quién mantiene la lista, qué evidencia permite incluir una dirección y cómo se corrige una identificación equivocada. Esas decisiones tienen consecuencias importantes para una red que se presenta como abierta y sin permisos, especialmente cuando los fondos pueden transitar entre distintos protocolos.

Al mismo tiempo, la transparencia de las transacciones públicas ha permitido seguir parte del recorrido. Investigadores mapearon 28 direcciones controladas por el atacante en ocho redes en cuestión de horas, y los registros de THORChain aportaron datos para reconstruir los intercambios entre cadenas sin depender del libro contable privado de un exchange. El seguimiento muestra que atravesar THORChain no borró automáticamente el rastro de los movimientos.

En una secuencia documentada, una parte de los fondos fue rastreada desde TRON y Ethereum a través de THORChain hasta Bitcoin. Después, los investigadores vincularon cerca de BTC 4 con una transacción CoinJoin de Wasabi, un paso que complicó la conexión entre las entradas y las salidas. Ese vínculo describe el rastro observado, no una recuperación de los activos ni una prueba de que cada movimiento posterior pueda atribuirse con certeza al atacante.

El caso deja una división práctica de responsabilidades: los operadores independientes pueden cooperar dentro de las reglas de sus redes, los registros públicos permiten investigar y las intervenciones deben evaluarse allí donde exista capacidad real de controlar activos. Bitget merece apoyo en sus esfuerzos por rastrear el dinero y compensar a sus usuarios, pero convertir cada red abierta en un guardián discrecional no ofrece una solución sostenible. La medida también podría imponer costos a personas que no participaron en el robo.

---

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público

Este artículo fue escrito por un redactor de contenido de IA