Bitget atribuye el ciberataque de 387,5 millones de dólares a fallos de día cero en herramientas de seguridad de terceros

La plataforma de intercambio de criptomonedas Bitget reveló que una reciente brecha de seguridad, que resultó en el robo de 387,5 millones de dólares, tuvo su origen en vulnerabilidades de día cero detectadas en dispositivos de seguridad de terceros. Las investigaciones forenses independientes realizadas por SlowMist y Mandiant señalan que los atacantes aprovecharon estos fallos para obtener acceso privilegiado no autorizado al entorno de carteras de Bitget, lo que facilitó transferencias de fondos no permitidas el 25 de septiembre de 2026.

Vector de ataque y desplazamiento lateral

De acuerdo con Bitget y los informes forenses, los ciberdelincuentes comprometieron dos dispositivos de seguridad independientes, identificados como Producto A y Producto B. Los investigadores identificaron actividad maliciosa desde el 31 de agosto, fecha en la que un atacante explotó un fallo de día cero en un proceso de servicio del Producto A para extraer credenciales de la base de datos. Para el 24 de septiembre, los atacantes desplegaron un web shell en el Producto B con el fin de establecer un canal de comando y control, utilizándolo como punto de apoyo para desplazarse lateralmente hacia el servidor de tareas de la cartera de producción de Bitget.

Una vez dentro del entorno de producción, los atacantes instalaron malware personalizado y una herramienta de retiro. Este software falsificó datos de transacciones, lo que engañó a los mecanismos internos de autorización del intercambio para transferir fondos desde sus carteras calientes y tibias a través de diversas redes blockchain.

Alcance del incidente y respuesta inicial

Las transferencias no autorizadas tuvieron lugar a primera hora del 25 de septiembre, extendiéndose durante aproximadamente tres horas, entre las 02:31 y las 05:23 UTC+8. El robo afectó a activos en múltiples redes como Ethereum, XRP Ledger, Arbitrum, Avalanche, Optimism, BSC y Base, comprometiendo tokens como ETH, XRP, BNB, AVAX, USDT y USDC.

Bitget suspendió de forma temporal todos los retiros tras detectar los movimientos anómalos. La directora ejecutiva, Gracy Chen, atribuyó el ataque a actores de amenazas respaldados por el estado norcoreano basándose en el análisis en cadena y en el comportamiento de las direcciones IP. Para colaborar en la recuperación de los activos, Bitget lanzó un programa de recompensas que ofrece el 5% de los fondos recuperados a las partes que ayuden a congelar o retornar la criptomoneda sustraída.

Ilustración editorial generada con IA; no es una fotografía documental.

Fuente: Bitget hacked via zero-day in third-party security products