Más del 99 % de los 102,97 millones de XRP sustraídos de Bitget el 24 de septiembre siguen intactos en cinco carteras nuevas, y el XRP Ledger no dispone de ningún mecanismo para bloquearlos.
Hackeo de Bitget: 157 millones de dólares en XRP robado permanecen en monederos que nadie puede bloquear
ESCRITO POR
COMPARTIR
Puntos clave
- Dos carteras de Bitget enviaron 102 926 478 XRP a una única dirección nueva en tres pagos el 24 de septiembre.
- Solo unos 400 000 XRP, aproximadamente el 0,4 % del botín, habían salido de las carteras del atacante a fecha de 25 de septiembre.
- El analista de Onchain, Specter, ha relacionado el rastro de XRP con el hackeo de AFX de julio, por valor de 24 millones de dólares, apuntando al Grupo Lazarus de Corea del Norte.
Tres pagos, una dirección
Bitget afirmó que los atacantes irrumpieron en «un sistema backend crítico» dentro de su infraestructura de carteras, falsificaron datos de transacciones y sustrajeron más de 350 millones de dólares de sus carteras «calientes» y «templadas». La mayor parte correspondía a XRP y los rastreadores en cadena contabilizaron 102,93 millones de XRP por valor de 157,48 millones de dólares, muy por delante de los 31 890 ETH y los aproximadamente 75 millones de dólares en stablecoins que también se sustrajeron.
El XRP Ledger (XRPL) muestra exactamente cómo ocurrió:
- A las 19:01 UTC, un monedero identificado como «Bitget Global» envió 2 248 871 XRP a una dirección completamente nueva que comenzaba por rwNhefsz.
- Quince minutos más tarde, una segunda cartera de Bitget envió 91 420 943 XRP a la misma dirección.
- A continuación se produjo una tercera transferencia de 9 306 866 XRP.
Si las sumamos, el total asciende a 102 976 680 XRP, la cifra exacta que un observador señaló esa noche.
Por último, cabe mencionar que el atacante ha dividido el total en cuatro monederos que contienen 20 millones de XRP cada uno y un quinto que contiene 22 976 677 XRP. Cada paso generaba un pago posterior de 0,00001 XRP procedente de direcciones no relacionadas, un patrón de spam típico del «envenenamiento de direcciones», en el que los estafadores esperan que alguien copie la cartera equivocada.
La congelación que no puede producirse
La directora ejecutiva de Bitget, Gracy Chen, afirmó que la plataforma de intercambio se ha puesto en contacto con las fundaciones de todas las cadenas afectadas y que algunas de ellas «ya han congelado las direcciones de las carteras del hacker». Esto funciona para tokens que cuentan con un emisor detrás, como el USDT o el USDC. También ha funcionado en otras redes; por ejemplo, Arbitrum congeló 71 millones de dólares vinculados a la vulnerabilidad de KelpDAO en abril. El XRP, sin embargo, es un caso aparte, ya que nadie puede congelar el activo una vez que forma parte del libro mayor. Las herramientas de congelación de la XRPL solo se aplican a los tokens emitidos, no al activo nativo. Eso significa que la mayor parte del botín de Bitget es precisamente la que ninguna fundación puede tocar. Los únicos puntos de control que quedan son las plataformas de intercambio y los puentes por los que el atacante tiene que pasar para retirar el dinero.
El hilo conductor que nos lleva a julio y una posible conexión con Lazarus
Chen afirmó que los patrones de comportamiento de las direcciones IP y las firmas en cadena son «coherentes con las técnicas utilizadas por grupos de hackers vinculados a la RPDC», aunque subrayó que la identidad del atacante no está confirmada. El analista de la cadena de bloques Specter fue más allá y publicó un gráfico de flujos que conecta el ETH pagado por el servicio de intercambio Bridgers a cambio del XRP robado con carteras etiquetadas con el clúster «Trader Traitor». Specter vincula esos fondos con el ataque a AFX de julio, un robo de aproximadamente 24 millones de dólares.
La conexión sigue siendo débil, ya que el gráfico pasa por una única cartera de Ethereum que contiene unos 4.300 dólares, y pequeños solapamientos como ese pueden reflejar simplemente el uso compartido de servicios de blanqueo. Aun así, el patrón encaja y la empresa de seguridad Blockaid atribuyó aproximadamente 609 millones de dólares de las pérdidas del primer semestre de 2026 al grupo «Trader Traitor», vinculado al Grupo Lazarus.
Un excedente de 157 millones de dólares
Hasta ahora, la retirada de fondos ha sido escasa, y el investigador de la cadena de bloques Yfarmx detectó el movimiento de 33 500 XRP a través de Bridgers el 25 de septiembre y lo calificó como «una prueba previa a una retirada de fondos mayor». El libro mayor muestra ahora que han desaparecido unos 400 105 XRP de una de las cinco carteras, mientras que las otras cuatro no han movido ni una sola moneda. El XRP cotiza hoy a 1,53 dólares, un 1,4 % más que ayer, por lo que el mercado ha ignorado este acontecimiento por el momento. Esto podría cambiar rápidamente si decenas de millones de XRP empezaran a llegar a las mesas de intercambio. El ánimo ya era frágil, y Bitcoin.com News informó recientemente de que el operador medio de XRP a largo plazo sigue registrando unas pérdidas del 11,75 %, incluso tras el reciente repunte del XRP.
Bitget afirma que su Fondo de Protección al Usuario cubrirá las pérdidas tras una evaluación. Dicho fondo cuenta actualmente con 5.500 BTC.
Este artículo fue traducido del inglés mediante IA. La versión original en inglés es la fuente autorizada; las traducciones automáticas pueden contener imprecisiones, especialmente en la terminología legal y regulatoria.
