Ilustración editorial generada con IA por Defensops. No es una fotografía del incidente ni de los equipos afectados. Representa Ilustración editorial de dispositivos comprometidos y órdenes de retirada.

Síntesis y análisis propios a partir de la cobertura de The Hacker News; las afirmaciones del medio se atribuyen a su fuente.

Qué se ha confirmado

Según The Hacker News, Bitget atribuyó el robo de 387,5 millones de dólares a la explotación de un fallo de día cero en productos de seguridad de terceros, basándose en la investigación de SlowMist.

Bitget afirmó que el acceso a credenciales internas de alto nivel permitió enviar órdenes de retirada fraudulentas y que desactivó la función afectada tras avisar al proveedor.

SlowMist situó la primera actividad maliciosa relacionada con el incidente el 31 de agosto de 2026 y describió un script oculto que leyó una contraseña de base de datos desde una variable de entorno en un nodo del producto A.

Según SlowMist, el atacante accedió después a la plataforma de gestión del producto B con la identidad de un empleado e intentó introducir comandos y archivos maliciosos en sus tareas.

Mandiant concluyó que el acceso a los dispositivos A y B facilitó el movimiento lateral al entorno de carteras; informó de una web shell en B y paquetes maliciosos en el servidor que gestiona trabajos de retirada.

Bitget señaló que patrones de direcciones IP y análisis de blockchain apuntan a actores norcoreanos; esa atribución sigue presentada como conclusión de la empresa.

Análisis de Defensops

La secuencia expone un riesgo de confianza en herramientas de seguridad situadas cerca de sistemas críticos: el compromiso inicial de un producto de terceros habría servido para obtener credenciales, persistir y llegar al servidor que ejecuta retiradas. Para entornos comparables, la cuestión operativa no es solo si una herramienta analiza tráfico o eventos, sino qué identidades, secretos y rutas de administración puede utilizar desde su posición en la red.

La cobertura reúne declaraciones de Bitget y resultados preliminares atribuidos a SlowMist y Mandiant. La investigación sigue en curso y los productos figuran como A y B, sin identificar fabricante ni versión. No sería correcto extrapolar el fallo a todos los productos de seguridad o deducir una vía técnica reproducible a partir de esta información. El supuesto vínculo con Corea del Norte también depende de indicios de infraestructura y blockchain comunicados por Bitget, no de una identidad demostrada en la noticia.

Las fechas del relato requieren cautela: la publicación menciona una divulgación del robo el 24 de septiembre y, a la vez, sitúa la ejecución de la herramienta de extracción el 25. Esa discrepancia no queda aclarada en el texto disponible. Para evaluar alcance y controles fallidos hacen falta una cronología consolidada y más datos del proveedor afectado.

Prioridades de revisión

Inventariar los dispositivos y plataformas de seguridad de terceros con acceso a sistemas financieros o de producción, y comprobar qué credenciales, variables de entorno y permisos pueden leer.

Revisar los registros de acceso administrativo y de tareas ejecutadas en esas plataformas, buscando identidades de empleados usadas fuera de los cambios aprobados, comandos inesperados y archivos nuevos.

Correlacionar conexiones desde dispositivos de seguridad hacia servidores que autorizan operaciones críticas; investigar rutas o paquetes que no correspondan al diseño y conservar evidencias antes de aislar sistemas sospechosos.

Reducir la capacidad de una sola plataforma comprometida para modificar trabajos de retirada o acciones equivalentes; verificar que aprobaciones y límites de transferencia se apliquen fuera del sistema que origina la orden.

Seguir los avisos del proveedor y los resultados de la investigación para identificar productos y versiones afectados antes de aplicar cambios específicos.

Qué no se ha confirmado

No se identifican los productos A y B, su fabricante ni la versión vulnerable; la investigación seguía abierta.

La cronología publicada no aclara cómo encaja la divulgación del 24 de septiembre con la extracción descrita el día 25.

La atribución a actores norcoreanos corresponde a Bitget y no queda demostrada de forma independiente en la cobertura.

Fuente

The Hacker News. Fecha indicada: 2026-10-01.