La firma de seguridad blockchain BlockSec rastreó el movimiento de los fondos robados en el hackeo de Bitget, informando que aproximadamente $387.5 millones fueron canalizados a través de Bitcoin, el protocolo cross-chain THORChain y un servicio identificado como CoinJoi. El rastreo delinea un patrón de ofuscación que se ha vuelto común en los hackeos de exchanges a gran escala: convertir activos on-chain, intercambiar entre cadenas y luego fragmentar el rastro.

Qué reveló el rastreo de BlockSec

Según el análisis reportado por BlockSec, los fondos robados de Bitget no permanecieron inactivos. El atacante movió activos a Bitcoin, utilizó THORChain como capa de enrutamiento cross-chain y pasó los fondos por CoinJoi. Cada paso cumple un propósito distinto para romper el vínculo on-chain entre el robo original y cualquier intento eventual de conversión a efectivo.
THORChain permite intercambios nativos entre cadenas sin tokens envueltos ni puentes centralizados, lo que lo convierte en una herramienta técnicamente efectiva para mover valor entre cadenas. Después del hackeo, la gobernanza de THORChain rechazó una propuesta para incluir en lista negra las direcciones del hacker de Bitget, una decisión que generó comentarios del cofundador de Ethereum, Vitalik Buterin, y agudizó el debate sobre si los protocolos descentralizados tienen la responsabilidad de filtrar fondos robados. Ese debate se inscribe en una trayectoria regulatoria más amplia: en 2022, la Oficina de Control de Activos Extranjeros del Tesoro de EE. UU. sancionó el mixer de Bitcoin Blender.io y el protocolo de mezcla basado en Ethereum Tornado Cash por su uso en el lavado de ganancias de hackeos, acciones que alimentaron un debate legal duradero sobre hasta dónde pueden llegar las sanciones en protocolos de código abierto y sin permisos.

Por separado, la firma de análisis blockchain AMLBot identificó una porción menor del movimiento: 4 BTC del hackeo de Bitget fueron rastreados a Wasabi CoinJoin, una herramienta de privacidad de Bitcoin que mezcla transacciones para ocultar los vínculos entre entradas y salidas. La referencia a CoinJoi en el rastreo de BlockSec puede estar relacionada con esta misma actividad de mezcla, aunque el informe de investigación no confirma si CoinJoi y Wasabi CoinJoin se refieren al mismo servicio o a pasos separados en la cadena.

Los límites de lo que el rastreo establece

El rastreo confirma los movimientos de activos observados; no establece la disposición final. El análisis reportado por BlockSec muestra por dónde viajaron los fondos, no si fueron recuperados, congelados por exchanges o convertidos a moneda fiat. Esas son preguntas separadas que dependen de si algún servicio centralizado en la ruta cooperó con los investigadores. Eso también es lo que hace que el rastreo sea accionable: su valor práctico radica en identificar puntos de estrangulamiento donde los fondos aún ser interceptados, mientras que los segmentos sin permisos de la ruta quedan en gran medida fuera del control de cualquier parte individual.

No todos los fondos robados llegaron sin control a protocolos anónimos. NEAR Intents reportó haber bloqueado aproximadamente $50 millones en flujos del hackeo de Bitget, lo que representa la mayor interdicción individual en el rastro de fondos reportado. Eso dejó que la mayoría restante de los $387.5 millones se moviera por canales donde la intervención no estaba disponible o fue rechazada.

El propio Bitget comenzó a restablecer el acceso de los usuarios a los fondos tras el incidente. Los retiros de Bitcoin se reanudaron después de que el hacker intercambiara ETH a través de THORChain, con retiros de Ether programados a continuación. La secuencia sugiere que Bitget priorizó restablecer la liquidez de BTC una vez que el atacante ya había sacado de la plataforma la parte del robo denominada en ETH.

Qué señala la ruta para la forense on-chain

La ruta Bitcoin–THORChain–CoinJoi refleja un patrón observado en otros hackeos importantes de exchanges: usar un protocolo cross-chain sin permisos para romper el rastro de activos en el límite de la cadena y luego aplicar un paso de mezcla de monedas para fragmentar los UTXO de Bitcoin. Para los equipos forenses on-chain, esta combinación requiere análisis en al menos dos cadenas y agrupamiento probabilístico de UTXO, en lugar de un simple seguimiento de direcciones.

La cifra de $387.5 millones, si es exacta, situaría este incidente entre los robos individuales a exchanges más grandes de la memoria reciente. El rastreo de BlockSec es el primer recuento público de hacia dónde se movieron los fondos, pero el panorama completo de cuánto fue finalmente recuperable, congelado o lavado dependerá de los reportes de exchanges y firmas de análisis en las semanas y meses venideros. Entre las preguntas abiertas: si servicios adicionales a lo largo de la ruta actuarán para congelar fondos, y si la decisión de gobernanza de no incluir en lista negra atraerá una nueva atención regulatoria a la infraestructura cross-chain sin permisos.

Aviso: Este artículo tiene fines informativos únicamente y no constituye asesoramiento financiero ni de inversión. Los mercados de criptomonedas y activos digitales conllevan un riesgo significativo. Siempre investigue por su cuenta antes de tomar decisiones.