Hackeo de Bitget (septiembre de 2026): qué ocurrió, cuánto se perdió y qué muestran los registros

El 24 de septiembre de 2026, Bitget informó de una brecha de seguridad que afectó a sus carteras calientes. Las primeras informaciones situaban las pérdidas en unos 352 millones de dólares; Bitget declaró después que los activos afectados ascendían a unos 388 millones de dólares, y la base de datos de hackeos de DefiLlama recoge 387 millones de dólares. Bitget afirmó que los fondos de los usuarios están a salvo. Ninguno de los registros que consultamos muestra una licencia vigente para Bitget.

Qué ocurrió

El 24 de septiembre de 2026 se transfirieron fondos de las carteras calientes de Bitget a direcciones que el exchange no controlaba. Bitget confirmó una brecha de seguridad ese mismo día y suspendió las retiradas, según Cointelegraph, que recogió la declaración de Bitget de que la brecha afectó a un número limitado de carteras calientes, pero no a las carteras frías. CoinDesk informó de que Bitget afirmó que los fondos de los usuarios están a salvo, y The Block informó de que Bitget dijo que su Fondo de Protección de Usuarios cubriría las pérdidas. Son declaraciones del propio Bitget, no conclusiones de un regulador ni de un auditor.

El 25 de septiembre, CoinDesk informó de que la directora ejecutiva de Bitget, Gracy Chen, dijo que los atacantes comprometieron el sistema interno de una cartera y falsificaron datos de transacciones, y que no se robaron claves privadas. La base de datos de hackeos de DefiLlama clasifica el incidente como un caso de claves comprometidas. Las dos descripciones difieren, y recogemos ambas tal como se publicaron.

Cuánto se perdió

Los importes difieren porque las informaciones se publicaron en distintos momentos y algunas contabilizan solo lo que había salido de las carteras, mientras que otras incluyen todos los activos que Bitget afirma que se vieron afectados. La puntuación de Takame utiliza la cifra de DefiLlama, como indica nuestra metodología, y enlaza cada una de las demás cifras con su fuente.

Adónde fueron los fondos

• TRM Labs rastreó los fondos robados en siete cadenas de bloques y afirma que probablemente el ataque lo llevaron a cabo actores vinculados a Corea del Norte. Cointelegraph informó de que la directora ejecutiva de Bitget dijo que una investigación preliminar había encontrado direcciones IP que coincidían con las VPN utilizadas por un grupo de hackers norcoreano.
• Circle y Tether incluyeron en una lista negra una cartera vinculada al hackeo y congelaron unos 318.000 dólares en USDC y USDT. Decrypt informó de que el atacante ya había convertido la mayor parte de los fondos en ether, que no se puede congelar.
• CoinDesk informó el 26 de septiembre de que el atacante transfirió unos 83 millones de dólares en XRP, que Ripple no puede congelar.

Qué muestran los registros oficiales sobre Bitget

• Japón: la Financial Services Agency ha incluido a Bitget Limited en su lista de operadores que prestan servicios a residentes japoneses sin estar registrados (avisos de marzo de 2023 y noviembre de 2024).
• Malasia: Bitget aparece en la lista de alertas para inversores de la Comisión de Valores.
• Canadá: el registro de Canada Bitget Limited como empresa de servicios monetarios ante FINTRAC figura como retirado (marzo de 2023). Un registro ante FINTRAC es un registro antiblanqueo, no una licencia.
• Incidente anterior: la base de datos de hackeos de DefiLlama también recoge una entrada de Bitget del 20 de abril de 2025, por unos 100 millones de dólares, clasificada como manipulación de mercado (explotación de una vulnerabilidad en un bot de creación de mercado).

Ninguno de los registros que consultamos muestra una licencia vigente para Bitget. Bitget puede tener registros en países cuyos registros aún no consultamos; eso no aparece aquí y no supone un veredicto en ningún sentido.

¿Es seguro Bitget tras el hackeo?

No decidimos si un exchange es seguro. Esto es lo que puedes comprobar por tu cuenta antes de mover dinero:

1. 1.Si las retiradas vuelven a estar disponibles, en la propia página de estado de Bitget o en sus comunicados, no en publicaciones de redes sociales.
2. 2.Qué entidad jurídica de Bitget te presta servicio en tu país y si esa entidad figura en el registro de tu regulador.
3. 3.Si Bitget publica una prueba de reservas y qué cubre (consulta nuestra guía para leer una prueba de reservas).
4. 4.Las advertencias de los reguladores mencionadas arriba y si alguna se aplica a tu país.

En Takame, los hackeos de los últimos tres años reducen la puntuación del apartado de Incidentes: cada pérdida de 50 millones de dólares o más resta 10 de sus 20 puntos. Con las entradas de abril de 2025 y septiembre de 2026, el apartado de Incidentes de Bitget queda en 0 de 20. Los registros, las advertencias y el historial de incidentes de Bitget están en su página del exchange, cada uno con un enlace a la fuente.