Para: personas que tienen u operan criptoactivos en Bitget y cualquiera que gestione dispositivos de seguridad en el borde de una red. Este artículo se basa en los propios avisos de Bitget y no trata técnicas de ataque.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
A fecha del 30 de octubre de 2026Aún no se sabe
- Importe final robado
- El producto afectado y el proveedor
- Si existe una corrección del proveedor
- Informe completo de la causa raíz
- Fondos congelados o recuperados
- Nivel del Fondo de Protección
Bitget dijo el 25 de septiembre que las cifras pueden cambiar a medida que se rastreen más transacciones, y que la vulnerabilidad se había identificado y corregido. A fecha del 30 de octubre no encontramos ningún informe posterior al incidente completo de Bitget.
Qué deben hacer hoy los titulares de cuentas de Bitget
Compruebe desde dónde abre Bitget
Use la app oficial o un marcador que usted mismo haya creado. Tras un robo grande son habituales las páginas y los mensajes falsos que imitan al exchange. Los avisos de Bitget dicen que las actualizaciones se publican en su página de anuncios y en sus canales oficiales, y su página «Is Bitget safe?» dice que las actualizaciones oficiales se publican solo por canales verificados, así que empiece ahí y no en enlaces que le envíen.
Trate como falso cualquier mensaje de recuperación o compensación
La página «Is Bitget safe?» de Bitget dice que Bitget nunca pedirá a los usuarios que transfieran fondos ni que compartan contraseñas, claves privadas, frases semilla ni códigos de verificación, ni siquiera con el pretexto de recuperar activos. Un mensaje o un desconocido que ofrezca «recuperar» sus monedas, «verificar» su monedero o pagar una «compensación» es un patrón de estafa conocido (véase ¿Qué es el phishing?).
El Programa de Recompensa por Recuperación de Bitget paga el 5 % de los fondos congelados o recuperados con éxito a la parte elegible cuyos esfuerzos provocaron el congelamiento o la recuperación. Está dirigido a quienes rastrean fondos robados, no a los titulares de cuentas, y Bitget decide la elegibilidad.
Active la autenticación en dos pasos y ponga una contraseña única
La autenticación en dos pasos significa que un inicio de sesión necesita un segundo código además de la contraseña. Es preferible una app de autenticación al SMS (véase la guía de autenticación multifactor). Un gestor de contraseñas hace viable tener una contraseña única.
Compruebe su propio saldo e historial y decida cuánto dejar allí
Bitget dice que los saldos no se vieron afectados. Puede confirmar el suyo en la app. Decida cuánto quiere mantener en cualquier exchange; los activos que no piense operar pueden guardarse en un monedero que usted controle. Es una decisión general para cualquier exchange, no una recomendación de mover fondos por este incidente.
Ignore los mensajes que dicen que su retiro está bloqueado salvo que pague
Los retiros se pausaron durante el incidente y se restablecieron por fases. Un mensaje que ahora afirme que su retiro necesita un pago adicional de «comisión», «desbloqueo» o «verificación» no es del exchange.
Qué pasó (según Bitget y las informaciones de prensa sobre el trabajo forense)
Los hechos siguientes proceden de los propios avisos de Bitget del 24 y 25 de septiembre y de su página pública «Is Bitget safe?» (consultada el 30 de octubre). Cuando un dato procede de la cobertura de prensa de los hallazgos forenses, se indica.
31 de agosto de 2026
Primera actividad maliciosa vinculada al incidente, según el análisis de registros de los investigadores que recoge BleepingComputer.24 de septiembre de 2026 (UTC)
A las 18:31 UTC, según la página «Is Bitget safe?» de Bitget, el atacante inició la primera transferencia no autorizada desde ciertos monederos calientes y templados. A las 19:05 UTC, según el aviso de Bitget, sus sistemas de conciliación detectaron las transferencias no autorizadas. Los retiros se suspendieron temporalmente como precaución a la espera de una revisión de seguridad, mientras los depósitos y las operaciones continuaban. Impacto estimado: unos 351,6 millones de dólares.25 de septiembre
Bitget confirmó unos 387,5 millones de dólares enviados a direcciones controladas por el atacante, al añadir activos Zcash y TRON a su primera estimación. Dijo que la vulnerabilidad se había identificado y corregido, y lanzó un Programa de Recompensa por Recuperación.28–30 de septiembre
Se reanudaron los retiros de Bitcoin; Bitget programó los retiros de ETH para el 29 de septiembre, USDT para el 30 de septiembre, y otros tokens, moneda fiduciaria y P2P a partir del 2 de octubre (BleepingComputer). El 30 de septiembre Bitget dijo que su Fondo de Protección volvía a superar los 300 millones de dólares (según Yellow).2 de octubre
La página de Bitget dice que los retiros de todas las criptomonedas, monedas fiduciarias y servicios P2P quedaron totalmente restablecidos.
- Qué se llevaron
- Unos 387,5 millones de dólares en activos de parte de las capas de monederos calientes y templados. Bitget enumera XRP, ETH, USDT, ZEC, USDC, USDT0, XAUt, BNB, AVAX y TRX en Ethereum y otras redes EVM, XRP Ledger, Zcash y TRON
- Qué no se llevaron
- No se accedió a los monederos fríos. Bitget dice que los saldos de las cuentas de los clientes no se vieron afectados
- Cobertura
- La pérdida entra en el Fondo de Protección del Usuario de Bitget, que según Bitget tenía más de 464 millones de dólares el 24 de septiembre. Su página cita ahora 314 millones de dólares o más
- Causa revelada
- Actividad maliciosa que implicaba productos de seguridad de terceros, incluida una vulnerabilidad zero-day. Bitget dice que la vulnerabilidad se ha identificado y corregido y que no son posibles más transferencias no autorizadas
- Investigación
- Ayuda forense de una empresa de respuesta a incidentes y de una empresa de seguridad blockchain, según Bitget. Algunos activos se han congelado con socios del sector
- Punto de contacto
- La página de anuncios de Bitget y sus canales oficiales; dice que las actualizaciones oficiales se publican solo por canales verificados
Productos de seguridad de terceros: zero-day (Bitget)
↓→
Informaciones de prensa: acceso a dispositivos de seguridad
Entorno que gestiona las operaciones de los monederos
↓→
Informaciones de prensa: movimiento hacia él desde los dispositivos
Paso de autorización de retiros
↓→
Director ejecutivo, según se informó: datos falsificados lo activaron
Monederos calientes y templados
↓→
Salieron unos 387,5 millones de dólares; no se accedió a los monederos fríos (Bitget)
Qué se sabe y qué no
Estado a fecha del 30 de octubre de 2026. Cuando Bitget publique más, actualizaremos la columna de estado.
| Elemento | Qué dice Bitget | Estado |
|---|---|---|
| Importe enviado a direcciones controladas por el atacante | Unos 387,5 millones de dólares (primera estimación 351,6 millones); puede cambiar mientras continúa el rastreo | Confirmado (Bitget), puede cambiar |
| Saldos de las cuentas de los clientes | No afectados | No afectados (Bitget) |
| Monederos fríos | No se accedió a ellos | No afectados (Bitget) |
| Cobertura de la pérdida | Dentro del Fondo de Protección del Usuario | Declarado (Bitget), no auditado de forma independiente |
| Tamaño del Fondo de Protección | Más de 464 millones de dólares el 24 de septiembre; la página cita ahora 314 millones o más y dice que el fondo se repuso por encima de su nivel previo al incidente | Declarado (Bitget); las dos cifras no coinciden y no están verificadas de forma independiente |
| Vía de entrada | Vulnerabilidad zero-day en productos de seguridad de terceros | Confirmado (Bitget); producto y proveedor sin nombrar |
| Corrección del proveedor | No consta | No publicado |
| Retiros | Pausados el 24 de septiembre, restablecidos por fases, totalmente restablecidos el 2 de octubre | Confirmado (página de Bitget) |
| Datos personales de clientes | No figuran como afectados en los avisos | No figuran |
| Informe completo de la causa raíz | No publicado a fecha del 30 de octubre | En investigación |
| Fondos congelados o recuperados | Algunos activos congelados con socios; no se ha publicado un total | En investigación |
Cómo leer esto: «cubierto» es una declaración de la empresa, y las cifras del fondo no coinciden
La declaración de cobertura y las cifras del Fondo de Protección proceden de la propia Bitget y no están verificadas de forma independiente. Bitget dice que el fondo se repuso por encima de su nivel previo al incidente, pero cita ahora 314 millones de dólares o más frente a más de 464 millones el 24 de septiembre. Citamos ambas tal como se declaran y no las conciliamos. Las dos horas de la cronología son hechos distintos: la primera transferencia no autorizada (18:31 UTC) y su detección (19:05 UTC). Si una cifra le importa, consulte la página actual de Bitget.
Qué significa para usted un robo de los monederos del propio exchange
En general, un robo de los monederos del propio exchange es distinto de una filtración de datos de clientes. Los saldos de los titulares son registros dentro del exchange, así que que los clientes pierdan algo depende de si el exchange cubre la pérdida. Bitget dice que sí. Los datos personales de los clientes no figuran como afectados, por lo que el riesgo posterior habitual no son contraseñas robadas sino mensajes de estafa que aprovechan la noticia.
Tras grandes robos suelen aparecer mensajes de estafa: falsos sitios de «compensación», suplantadores de soporte y afirmaciones de que sus fondos están congelados. No decimos que haya ocurrido ninguna de estas cosas aquí. Los pasos anteriores se refieren a esas estafas.
Para equipos de seguridad: qué dicen los hechos revelados
Bitget ha dicho que la vía de entrada fue un zero-day en productos de seguridad de terceros. Las informaciones de prensa sobre los hallazgos forenses describen un acceso a dispositivos de seguridad, seguido de un movimiento hacia el entorno que gestiona las operaciones de los monederos. No se han nombrado el producto ni el proveedor y no se ha publicado la causa completa, así que solo extraemos lo que respaldan los hechos revelados.
El producto que protege la red puede ser en sí mismo la vía de entrada. Trate los dispositivos de seguridad como servidores expuestos a internet: mantenga una lista de ellos, compruebe qué interfaces de administración son accesibles desde internet, aplique las correcciones con rapidez cuando el fabricante las publique y vigile archivos inesperados o conexiones salientes en el propio dispositivo. Orientación relacionada: cómo defender las VPN y los dispositivos de borde y vulnerabilidades de dispositivos de borde explotadas en octubre de 2026.
Los sistemas que aprueban movimientos de dinero necesitan sus propios controles. El director ejecutivo de Bitget dijo, según se informó, que se falsificaron datos para activar el paso de autorización. Un control que el sistema contiguo no pueda alimentar con datos falsos, por ejemplo una confirmación independiente de los retiros grandes, limita lo que puede hacer un solo sistema comprometido. No valoramos los controles de Bitget.
Fuentes (registros públicos)
Los hechos de este artículo se basan en la siguiente información pública. No conjeturamos sobre técnicas no reveladas ni sobre quién fue el responsable.
- Bitget, aviso de seguridad sobre el incidente del monedero caliente del 24 de septiembre (24 de septiembre de 2026) — bitget.com
- Bitget, «Security Latest Incident Update: Fund Tracing and Recovery Bounty Program» (25 de septiembre de 2026) — bitget.com
- Bitget, página de resumen del incidente «Is Bitget safe?» (consultada el 30 de octubre de 2026) — bitget.com
- BleepingComputer, «Bitget hacked via zero-day in third-party security products» (30 de septiembre de 2026) — bleepingcomputer.com
- BleepingComputer, «Bitget resumes Bitcoin withdrawals after $387.5 million crypto heist» (28 de septiembre de 2026) — bleepingcomputer.com
- Yellow, «Bitget Restores Protection Fund Above $300M As Withdrawals Resume» (1 de octubre de 2026) — yellow.com
Historial de actualizaciones
2026-10-30: Primera versión, basada en los avisos de Bitget del 24 y 25 de septiembre, su página de resumen del incidente (consultada el 30 de octubre) y la cobertura de prensa de los hallazgos forenses. Actualizaremos este artículo si Bitget publica un informe de causa raíz, una cifra final o la corrección del proveedor afectado.
Lectura recomendada
- Dispositivos de borde como vía de entrada: Vulnerabilidades de dispositivos de borde explotadas, octubre de 2026 / Cómo defender las VPN y los dispositivos de borde
- Cuentas: Guía de autenticación multifactor / Guía de gestores de contraseñas
- Estafas: ¿Qué es el phishing?
- Otros incidentes de 2026: Filtraciones de datos y ciberataques de 2026