La cifra inicial de 350 millones ya se ha quedado atrás
La actualización del 25 de septiembre de 2026 sustituye la estimación inicial de 351,6 millones de dólares. Añade transferencias en Zcash y TRON omitidas en el primer recuento; la empresa aclara que no se trata de nuevas salidas.
Entre los activos afectados figuran ETH, AVAX, BNB, USDT, USDT0, USDC, XAUt, XRP, ZEC y TRX. El recuento sigue abierto: refleja fondos transferidos a direcciones del atacante, no la pérdida definitiva tras posibles recuperaciones.
Bitget sitúa la detección del incidente a las 18:31 UTC del 24 de septiembre, las 20:31 en la España peninsular. Su primer comunicado delimitó el ataque a una parte de los monederos operativos, las capas hot y warm, y afirmó que los monederos fríos no habían resultado comprometidos.
Qué falló y por qué no equivale a un ataque a cada criptomoneda
Según la explicación preliminar de Gracy Chen, consejera delegada de Bitget, recogida por Blockaid, el atacante comprometió un sistema interno que procesaba transacciones. Desde allí manipuló información para activar el proceso de autorización. La empresa descarta, por ahora, que el origen fuese el robo de las claves privadas.
La diferencia importa. Una clave puede seguir protegida y, aun así, firmar una operación que no debería aprobarse si recibe instrucciones manipuladas. El análisis de Blockaid sitúa el problema en ese control previo. El incidente documentado afecta a la custodia del exchange; no demuestra un fallo de las redes de las criptomonedas.
Los monederos operativos sirven para atender movimientos cotidianos, incluidas las retiradas; los fríos mantienen reservas fuera de línea. Para el cliente, separar esas capas puede limitar el alcance de un incidente, pero no evita que una revisión de seguridad interrumpa el acceso a sus activos.
También hay que distinguir productos. Un portavoz explicó a The Block que la incidencia afectó a los monederos de custodia del exchange centralizado, no a la aplicación de autocustodia Bitget Wallet, que utiliza otra infraestructura. Compartir marca no significa compartir el sistema comprometido.
La cobertura anunciada no significa que las retiradas estén resueltas
La consecuencia inmediata es operativa: quien conserva activos en el exchange no puede retirarlos mientras dure la suspensión. Chen aseguró a Reuters el 25 de septiembre que la pausa responde a una precaución de seguridad, no a una falta de fondos. Esa es la explicación de la compañía, no una auditoría independiente.
Bitget afirmó en su primer aviso que los saldos eran correctos y que las pérdidas quedaban cubiertas por su Fondo de Protección de Usuarios, valorado entonces en más de 464 millones de dólares. También comunicó que los depósitos y la negociación seguían operativos. Son declaraciones sobre servicios y cobertura, no una prueba de que el dinero robado haya regresado.
En su actualización, la empresa dice que parte de los activos ha sido congelada, sin detallar el importe. Congelado no significa recuperado: impedir que unos fondos se muevan no equivale a conseguir su devolución. Tampoco basta con localizar la dirección que los contiene.
Bitget ha señalado el 26 de septiembre a las 04:00 UTC, las 06:00 en la España peninsular, como plazo para anunciar el estado y los tiempos de las retiradas. No es una hora confirmada de reapertura. La compañía afirma que ha corregido la vulnerabilidad, pero continúa con las comprobaciones para restablecer el servicio.
Para el usuario, la prueba práctica será poder transferir sus activos de nuevo. Una promesa de cobertura y un saldo visible no sustituyen esa disponibilidad. Por eso conviene separar el importe sustraído, la capacidad financiera declarada y el funcionamiento real de las retiradas.
Qué cambia para quien tenga fondos desde España
La entidad y el contrato importan. Los términos globales de Bitget, actualizados el 15 de septiembre, identifican a BTG Technology Holdings Limited como operador y remiten al derecho de Hong Kong. Eso no acredita una autorización para prestar servicios en España ni permite dar por hecho qué protección corresponde a cada cliente.
Bitget EU comunicó el 2 de julio una solicitud de autorización ante el supervisor austríaco, no su concesión. La CNMV recuerda que, desde el 1 de julio de 2026, los proveedores necesitan la autorización correspondiente para operar en España. La situación de la entidad que figure en el contrato debe contrastarse con los registros oficiales.
Además, un fondo privado del exchange no debe confundirse con una garantía pública de devolución. ESMA advierte de que MiCA no incorpora un sistema de indemnización equivalente al de determinados servicios de inversión tradicionales. Estar autorizado tampoco elimina los riesgos tecnológicos o de custodia.
Durante la espera hay otro riesgo evitable: los mensajes que prometen desbloquear retiradas o recuperar fondos a cambio de claves, códigos o pagos. Las autoridades europeas aconsejan comprobar los canales oficiales y no compartir contraseñas ni frases semilla. Una incidencia real no convierte en legítimo cualquier mensaje de supuesto soporte.
El siguiente dato útil será el calendario efectivo de retiradas y su cumplimiento, junto con las cantidades realmente recuperadas. Hasta entonces, lo importante no es anticipar una reacción del precio, sino distinguir qué reconoce Bitget, qué puede comprobarse y qué sigue pendiente.
