¿Qué pasó esta semana?
El exchange Bitget confirmó un incidente de seguridad. Según BitHub.pl, detectó transferencias no autorizadas desde parte de sus hot wallets el 24 de septiembre de 2026 a las 20:31 hora polaca, con un daño estimado en torno a los 350 millones de dólares (BitHub.pl). La directora ejecutiva, Gracy Chen, indicó más tarde que la investigación preliminar mostró direcciones IP que coinciden con una elección de VPN asociada a un grupo de hackers norcoreano (Cointelegraph).
La segunda mitad de la historia empezó solo después del robo. Según Cointelegraph, THORChain no quiere (o no puede) bloquear las direcciones vinculadas al hackeo, que en este texto se cifra en 387,5 millones de dólares, lo que abre la pregunta de si los desarrolladores pueden ser procesados por lavado de dinero (Cointelegraph).
Hemos puesto aquí a propósito tres cifras distintas: ~350 millones, 352 millones y 387,5 millones de dólares. No es un error, sino la primera lección. La estimación del daño cambia en las primeras horas y días según quién cuenta, en qué momento y cuántas direcciones ya incluyó en el cálculo.
¿Qué número se movió primero y qué significa?
Lo primero que se movió no fue el precio ni el titular. Fue la salida de las hot wallets.
La hot wallet de un exchange (la dirección desde la que el exchange gestiona los retiros habituales) es pública. Cuando empiezan a salir fondos de ella fuera del patrón habitual, se ve en la cadena antes de que nadie alcance a anunciar nada. En el caso de Bitget, la diferencia entre detección y anuncio es literalmente de minutos: la hora de detección, 24 de septiembre a las 20:31 hora polaca, es según BitHub.pl el momento en que se registró a los atacantes, mientras que la comunicación oficial llegó después (BitHub.pl).
¿Por qué importa esto? Porque el orden de las cifras dice algo sobre la causa.
| Número | Momento | Qué dice | Fuente |
|---|---|---|---|
| Salida no autorizada de las hot wallets | 24/9/2026, 20:31 PL | Primera señal observable de que algo pasa | BitHub.pl |
| Estimación del daño ~350 a 387,5 mill. USD | horas a días después | Cambia a medida que se incluyen más direcciones | BitHub.pl, Cointelegraph |
| Rastros de IP hacia el grupo de Corea del Norte | tras la investigación preliminar | Indicio sobre el autor, no prueba | Cointelegraph |
La señal on-chain (la salida) es una observación firme. La estimación del daño es un cálculo que va madurando. La atribución (quién está detrás) es la capa más blanda, porque una IP vía VPN es un indicio, no una confirmación.
¿Qué conviene llevarse para la próxima vez?
Tres hábitos prácticos al leer los datos, ningún consejo de compra o venta.
1. En un incidente de exchange, observa la salida, no el titular. Las direcciones públicas de los exchanges son observables en tiempo real. Los anuncios oficiales llegan con retraso y a menudo suavizan la redacción. Si quieres saber qué pasó, mira el movimiento de los fondos, no el tono del comunicado.
2. Cuenta con que la primera cifra del daño va a cambiar. La diferencia entre 350 y 387,5 millones no es una contradicción, sino la evolución natural de la estimación. Toma la primera cifra como un límite inferior en el momento t, no como un veredicto final.
3. La resistencia a la censura es de doble filo. Que THORChain no bloquee direcciones es para unos una virtud (nadie te congela los fondos) y para otros un problema (nadie congela tampoco los fondos robados). La misma propiedad técnica tiene dos caras según el lado de la transacción en el que estés (Cointelegraph).
Para dar contexto de mercado: en la semana en que se trató esto, Bitcoin, según Cointelegraph, se mantenía cerca de los 84.000 dólares (Cointelegraph). Nuestras propias mediciones mostraban BTC en torno a los 84 mil dólares (+0,9 % en 24 h), régimen NEUTRAL y Fear & Greed 74. Dicho de otro modo: un hackeo de esta magnitud no se tradujo en ninguna sacudida visible del mercado más amplio. Eso en sí mismo es una observación, no una causa.
¿Qué no sabemos todavía?
- El daño final exacto. Las cifras difieren entre nuestras fuentes (~350 a 387,5 mill. USD) y no se conoce una suma definitiva.
- Quién ejecutó el ataque. Los rastros de IP hacia el grupo de Corea del Norte son indicios de una investigación preliminar, no una atribución probada (Cointelegraph).
- Si los desarrolladores de THORChain serán procesados. Según el abogado citado, la situación legal es incierta y de momento no hay respuesta (Cointelegraph).
- Cuántos fondos se logrará recuperar. En el momento de escribir esto no se puede cuantificar de forma fiable a partir de las fuentes disponibles.
La lección, al final, es sencilla. En los incidentes cripto la verdad aparece por capas: primero la señal on-chain firme, luego la estimación que madura y, al final, la atribución incierta. Quien no confunde estas capas lee el mercado con más precisión que quien espera el titular.