Bitget informó que aproximadamente 387,5 millones de dólares en activos fueron transferidos a direcciones controladas por atacantes en una violación de billeteras del 24 de septiembre. Los retiros permanecieron suspendidos en los avisos emitidos hasta el 25 de septiembre, incluso mientras los depósitos y el trading seguían funcionando.

El mismo día en que se detectó la violación, el banco suizo Sygnum anunció que los clientes institucionales de Bitget podrían operar contra garantías custodiadas en el banco en lugar de colocar esas garantías en las billeteras de Bitget.

La juxtaposición plantea una pregunta detrás de la promesa de la custodia fuera del exchange: qué activos quedan fuera del alcance de una violación de billeteras de un exchange, y qué sigue dependiendo del propio exchange cuando el trading o los retiros se ven interrumpidos?

La oferta de Sygnum está disponible para clientes institucionales elegibles que se incorporen directamente al banco. Ninguna de las empresas ha revelado cuántos clientes de Bitget usan el servicio, ni si alguna garantía custodiada por Sygnum estuvo conectada con el incidente.

Una violación junto a una nueva ruta de custodia

Bitget dijo que sus sistemas detectaron transferencias no autorizadas a las 18:31 UTC del 24 de septiembre. Su aviso inicial situó los fondos afectados en unos 351,6 millones de dólares y señaló que la violación alcanzó partes de sus capas de billeteras hot y warm, mientras las billeteras frías permanecieron seguras. En arquitecturas de exchange de este tipo, las billeteras hot conectadas a internet gestionan depósitos y retiros rutinarios, las billeteras warm actúan como un búfer intermedio, y la mayor parte de las reservas se guarda en almacenamiento frío sin conexión.

En una actualización del 25 de septiembre, la empresa elevó su estimación de activos movidos a direcciones controladas por atacantes a unos 387,5 millones de dólares tras incluir transferencias de Zcash y TRON en un recuento más completo. Bitget indicó que la revisión no reflejó una nueva ola de transferencias no autorizadas.

Según Bitget, identificó y corrigió la vulnerabilidad subyacente y contuvo el incidente, coniant, una firma de ciberseguridad propiedad de Google, y la especialista en seguridad blockchain SlowMist asistiendo la investigación.

El aviso de retiros indicó que los retiros no estaban disponibles temporalmente mientras los depósitos y el trading seguían operativos, y el exchange se comprometió a anunciar un plan de retiros o una actualización de estado antes del 26 de septiembre a las 04:00 UTC. Para un cliente con un saldo ordinario en Bitget, un saldo mostrado y la posibilidad de operar no proporcionan por sí mismos una salida mientras los retiros estén pausados: los saldos bajo custodia se asientan en el registro interno del exchange y solo pueden salir de la plataforma una vez restablecida la función de retiro.

Cómo funciona el acuerdo con Sygnum

Sygnum dijo que los clientes institucionales de Bitget pueden usar su servicio Protect para trading al contado y derivados mientras las garantías comprometidas permanecen bajo custodia de Sygnum en Suiza. Bitget refleja el saldo como margen de trading. El modelo forma parte de un conjunto más amplio de ofertas de liquidación fuera del exchange en las que la garantía permanece con un tercero regulado mientras el sitio de trading la refleja como margen.

El banco enumera Bitcoin, Ethereum, stablecoins y bonos del Tesoro de EE. UU. entre las garantías elegibles. Su proceso publicado requiere que el cliente se incorpore a Sygnum, firme un marco contractual, abra una cartera Protect y comprometa activos antes de recibir margen en el exchange.

Según la descripción de Sygnum, la garantía se mantiene en cuentas segregadas fuera del balance del banco y está protegida contra quiebra bajo la legislación bancaria suiza. Mantener los activos comprometidos en el banco reduce la exposición directa de custodia a las propias billeteras de Bitget, y aborda la preocupación de que, si un exchange enfrenta dificultades financieras, la garantía está destinada a permanecer fuera de su patrimonio. Estas son características del acuerdo según la descripción de Sygnum.

El anuncio tiene fecha del 24 de septiembre, pero no indica cuándo el acceso de los clientes de Bitget se volvió operativo, si la integración precedió a la violación de las 18:31 UTC o surgió en respuesta a ella, ni si algún cliente de Bitget había completado su incorporación. No proporciona un saldo de garantías específico de Bitget ni dice si activos custodiados por Sygnum estuvieron involucrados en el incidente. Las cifras citadas en el comunicado sobre los activos totales de Protect y la participación en volumen de trading de todos sus exchanges integrados no miden la adopción por parte de clientes de Bitget.

Los límites de la custodia y un respaldo separado

La página pública de Protect anuncia recargas y retiros flexibles de garantías. No publica el contrato específico de Bitget que determinaría cuándo se pueden liberar los activos comprometidos, cómo se liquidan las posiciones, o qué ocurre con el margen si Bitget pausa su servicio de retiros.

Un saldo de trading reflejado en un exchange tampoco es lo mismo que el saldo retirable ordinario de un cliente en el exchange. El trading sigue dependiendo de los procesos de órdenes, margen y liquidación del exchange incluso cuando los activos comprometidos se custodian en otro lugar.

La custodia segregada puede reducir la exposición al robo de billeteras en poder de Bitget y a la insolvencia de Bitget, según describe Sygnum Sin embargo, los materiales públicos no establecen que un cliente de Protect pueda recuperar instantáneamente su garantía comprometida durante una interrupción del exchange, ni que los problemas operativos de un exchange nunca puedan retrasar la liquidación. Tampoco demuestran que algún cliente de Sygnum esté bloqueado de su garantía en este incidente. El acuerdo crea un límite opcional entre la garantía institucional y la custodia de billeteras de Bitget.

Para los usuarios con activos en Bitget, el exchange señaló su User Protection Fund. En su aviso inicial del 24 de septiembre, Bitget dijo que el fondo valía más de 464 millones de dólares y que el incidente, estimado entonces en 351,6 millones de dólares, quedaba dentro de su cobertura.

La página pública del fondo enumera 5.500 $BTC e indica que los usuarios pueden reclamar pérdidas calificadas derivadas de eventos de toda la plataforma que excedan sus propias acciones o comportamiento de trading, reservándose Bitget el derecho de evaluar e investigar las reclamaciones. El valor en dólares de un fondo denominado en Bitcoin se mueve con el precio de Bitcoin: el informe de agosto de Bitget situó el promedio mensual del fondo en 382 millones de dólares y su valor de cierre de mes cerca de 432 millones de dólares con la misma tenencia de 5.500 $BTC.

Bitget también dijo que congeló algunos activos afectados mediante trabajo con socios de la industria, aunque su actualización del 25 de septiembre no cuantificó el monto congelado o recuperado. En toda la industria, dichos congelamientos suelen depender de que contrapartes como otros exchanges y emisores de tokens puedan poner en listas negras las direcciones controladas por atacantes.

Las próximas pruebas medibles son un cronograma de retiros confirmado, un recuento más firme de pérdidas y recuperaciones, y los términos de cualquier desembolso del fondo. Para la comparación de custodia, los datos faltantes son la adopción de Protect específica de Bitget y el contrato que rige la liberación y liquidación de garantías cuando el exchange está bajo presión.