El hacker de Bitget traslada 6,3 millones de dólares a Bitcoin tras la negativa de THORChain a congelar la transacción

Una billetera vinculada al hacker de Bitget intercambió unos 6,3 millones de dólares en ETH por Bitcoin mediante THORChain tras rechazar la red la solicitud de la exchange de bloquear direcciones relacionadas con su brecha del 24 de septiembre.

Resumen

• La billetera realizó 27 intercambios, convirtiendo unos 2.390 ETH en 75,2 BTC.

• Bitget solicitó a THORChain que rechazara transacciones provenientes de direcciones que había identificado como pertenecientes al atacante.

• THORChain indicó que sus controles de emergencia pueden detener la actividad de la red, pero no congelar un intercambio individual.

• Bitget elevó su estimación de activos transferidos a direcciones controladas por el atacante a 387,5 millones de dólares.

Según el análisis de CoinDesk de los registros de transacciones de THORChain, los 27 intercambios completados enviaron los 75,2 BTC a una única dirección receptora. Las órdenes procedían de una billetera Ethereum que el rastreador blockchain Lookonchain había identificado como parte de la actividad del atacante. Cuatro transacciones adicionales, que involucraban un total de 400 ETH, estaban pendientes al momento del análisis de CoinDesk.

Billetera vinculada a Bitget convierte ETH en 27 intercambios

Presentadas aproximadamente entre las 03:55 y las 06:23 UTC del lunes, la mayoría de las órdenes implicaban unos 100 ETH cada una. CoinDesk valoró cada lote en unos 265.000 dólares según los precios usados en su análisis. Las transacciones completadas intercambiaron unos 2.390 ETH por 75,2 BTC; los 400 ETH pendientes son independientes de ese total.

Los registros también mostraron límites sobre lo que la billetera podía intercambiar a los precios elegidos. Dos órdenes de 100 ETH se ejecutaron solo parcialmente porque parte de ellas no cumplía el precio mínimo establecido para la operación. Según el análisis de CoinDesk, unos 114 ETH se devolvieron a la billetera emisora.

También te puede interesar: Bitget reanuda retiros en BTC tras hackeo de 388 M$

THORChain permite a los usuarios intercambiar activos alojados en distintas blockchains sin pasar por un exchange centralizado. En las transacciones del lunes, el ETH ingresó a la red de intercambio y el BTC fue enviado a una dirección de la red Bitcoin. Ambos lados de la transferencia permanecen visibles en blockchains públicas, lo que permite a los investigadores seguir los movimientos registrados, aunque los activos hayan cambiado de cadena.

Ya se había utilizado una ruta distinta para introducir Bitcoin vinculado a Bitget en una transacción privada. El 27 de septiembre, la firma de cumplimiento blockchain AMLBot rastreó unos cuatro BTC hasta una ronda de Wasabi CoinJoin tras moverse los fondos desde TRON a Ethereum y luego mediante THORChain. AMLBot afirmó que su rastreo vinculó el Bitcoin con una billetera de TRON asociada a Bitget. CoinJoin combina entradas y salidas de múltiples usuarios en una sola transacción, dificultando la asociación directa entre ellas.

THORChain afirma que una paralización no puede dirigirse a una sola dirección

La CEO de Bitget, Gracy Chen, solicitó a THORChain durante el fin de semana que negara servicio a las direcciones que la exchange había publicado y estaba rastreando. En su publicación en X, argumentó que la red debería actuar respecto a los fondos identificados:

«La descentralización es un principio de diseño, no un escudo para facilitar fondos robados conocidos.»

THORChain rechazó la solicitud de un bloque específico por dirección. En su respuesta pública, el equipo afirmó que una paralización de la red es una herramienta de emergencia para proteger el protocolo y «no es una congelación selectiva de fondos específicos ni de un intercambio individual». Según el equipo, sus controles pueden detener los intercambios en toda la red o restringir la actividad en una cadena de bloques conectada, pero cualquiera de estas acciones también interrumpiría las transacciones de otros usuarios.

La firma de seguridad GoPlus ha cuestionado la versión de THORChain sobre sus controles disponibles. Como se informó el 27 de septiembre, la empresa señaló votaciones de validadores, controles de firma y pausas específicas por cadena descritas en la documentación de THORChain. GoPlus argumentó que esos mecanismos brindan a los operadores de nodos formas de intervenir cuando los fondos corren peligro. THORChain sostiene que su paralización de emergencia protege a la red misma y no funciona como una lista negra para billeteras particulares.

La red empleó sus controles de emergencia tras un atacante sustraer unos 10,7 millones de dólares de un depósito de THORChain en mayo. Los operadores detuvieron la actividad mientras los desarrolladores reparaban la vulnerabilidad, y las operaciones comerciales se reanudaron en junio tras aproximadamente cinco semanas. THORChain indicó que las direcciones del atacante de mayo no fueron incluidas individualmente en una lista negra.

Bitget eleva estimación de la brecha y ofrece recompensas por recuperación

Bitget valoró inicialmente los activos afectados por la brecha del 24 de septiembre en unos 351,6 millones de dólares. Tras incluir activos de Zcash y TRON omitidos en su cálculo inicial, la bolsa elevó el valor transferido a direcciones controladas por el atacante a aproximadamente 387,5 millones de dólares. Bitget explicó que este aumento se debió a un análisis más exhaustivo del incidente original, no a robos adicionales posteriores a la brecha.

La bolsa detectó transferencias no autorizadas a las 18:31 UTC del 24 de septiembre y suspendió los retiros mientras investigaba. Bitget indicó que sus billeteras frías permanecieron seguras. En una actualización posterior, señaló que los investigadores habían identificado y corregido la vulnerabilidad, y que Mandiant y SlowMist colaboraban en la investigación y las revisiones de seguridad. Bitget no ha publicado un relato completo y público sobre cómo accedió el atacante a sus sistemas.

Chen anunció posteriormente un programa de recompensa para la recuperación, con recompensas separadas del 5 % para esfuerzos elegibles que congelen activos robados o los recuperen. Bitget publicó las direcciones principales del atacante en redes compatibles con Ethereum, el XRP Ledger, Zcash y TRON, junto con un panel de rastreo para seguir movimientos posteriores. La bolsa indicó que determinará la elegibilidad y los pagos según la contribución de cada participante; los trabajos realizados bajo orden judicial o solicitud de las fuerzas del orden no califican para la recompensa.

Para lectores estadounidenses, el esfuerzo de recuperación incluye a Circle, emisor estadounidense de USDC. Bitget señaló que Circle había congelado 99 990 USDC vinculados al ataque, mientras que Tether había congelado 218 023 USDT. Esas congelaciones de tokens afectaron saldos específicos de stablecoins identificados; la respuesta de THORChain abordó la solicitud independiente de Bitget de detener los intercambios de ETH a BTC. Bitget también ha analizado un futuro negocio en EE.UU., y Chen declaró en julio que buscaría licencias y aprobaciones antes de ofrecer servicios a ciudadanos estadounidenses.

Los retiros de Bitcoin lideran la reapertura escalonada de Bitget

Bitget estableció un calendario escalonado de retiros tras las revisiones de seguridad. Según el cronograma publicado, los retiros de Bitcoin en la red Bitcoin debían reanudarse a las 08:00 UTC del 28 de septiembre. Los retiros de ETH en Ethereum, BNB Smart Chain, Arbitrum, Base y Optimism estaban programados para la misma hora del 29 de septiembre.

El calendario fijó los retiros de USDT en Ethereum, BNB Smart Chain, Solana y TRON para las 08:00 UTC del 30 de septiembre. Bitget asignó otros tokens, servicios fiduciarios y transacciones entre pares a una etapa final programada para el 2 de octubre. La bolsa indicó a sus clientes que consultaran sus avisos oficiales para confirmar la disponibilidad de cada servicio.

Leer más: Fundación Cardano y UCLA colaboran en educación blockchain