La firma de seguridad blockchain SlowMist ha logrado conectar la actividad maliciosa más temprana asociada al robo de 388 millones de dólares en Bitget con una vulnerabilidad de día cero que fue explotada el 31 de agosto. Este hallazgo revela que los atacantes llevaban semanas preparando el golpe antes del incidente principal del 24 de septiembre.
Rastreo de los primeros movimientos
Según el informe de avances de SlowMist, el ataque se originó cuando un script oculto permitió al intruso acceder a la base de datos de un producto de seguridad denominado «Producto A», tras recuperar la contraseña desde una variable de entorno. Posteriormente, se observaron actividades similares en otros dos nodos los días 23 y 25 de septiembre, siempre en horario UTC+8.
El 25 de septiembre, el atacante también ingresó al panel de gestión de un segundo producto de seguridad, llamado «Producto B», utilizando credenciales de un empleado interno. Desde allí, intentó ejecutar comandos del sistema, modificar configuraciones del servidor y cargar archivos maliciosos. La investigación sigue en curso para determinar cómo se movió el atacante entre los sistemas comprometidos.
Herramienta de retiros personalizada
SlowMist recuperó una herramienta altamente personalizada que había sido eliminada, diseñada para manipular el proceso de retiros del sistema de billetera. Esta herramienta falsificaba parámetros de control de riesgos, construía solicitudes de retiro y activaba el proceso de envío de fondos.
La verificación onchain reveló que la primera transferencia verificable ocurrió a las 2:31 a.m. UTC+8 del 25 de septiembre, cuando una dirección controlada por el atacante recibió 93 TRX, seguida 11 segundos después por 0,84 Ether en Ethereum. Los registros de transferencias abarcaron aproximadamente dos horas y 52 minutos en varias cadenas de bloques, hasta las 5:23 a.m. de ese mismo día.
El atacante también intentó modificar directamente los registros de retiros en la base de datos de la billetera y activar retiros adicionales de Bitcoin. Dos órdenes falsificadas de BTC entraron en procesamiento pero devolvieron errores, tras lo cual el intruso revisó los registros, verificó el estado de las órdenes y realizó nuevos intentos.
Implicaciones y reacciones
En una actualización del 25 de septiembre, Bitget confirmó que aproximadamente 387,5 millones de dólares fueron transferidos a direcciones controladas por los atacantes en múltiples redes. La CEO de Bitget, Gracy Chen, declaró que la brecha se originó en una vulnerabilidad de un producto de seguridad de terceros que permitió al atacante obtener «credenciales internas de alto nivel» y emitir órdenes de retiro fraudulentas. Aseguró que las claves privadas y las billeteras frías de Bitget no se vieron comprometidas.
Bitget continúa intentando recuperar los activos robados, aunque Chen se mostró «no muy optimista» sobre la recuperación total, señalando como referencia la limitada recuperación tras el hackeo de Bybit en 2025. SlowMist sigue investigando el incidente para esclarecer todos los detalles del ataque.