Este artículo fue compilado y organizado por BlockWeeks
Un informe de investigación de esta semana se centra en tres cosas: la revisión del robo de 387,5 millones de dólares a Bitget, las preguntas frecuentes (FAQ) de la SEC sobre la recompra de tokens, y los puntos clave de la cumbre de IA de la Casa Blanca.
I. Lazarus vuelve a actuar: revisión del robo de 387,5 millones de dólares a Bitget
La semana pasada, Bitget reveló que los atacantes robaron 387,5 millones de dólares de sus carteras calientes y carteras tibias (warm wallets) mediante una serie de transferencias no autorizadas, y suspendió temporalmente todos los retiros. Las pérdidas abarcaron 11 cadenas de bloques, incluidas Ethereum, XRP, TRON, Arbitrum, Base y BSC, siendo XRP la que sufrió la mayor pérdida en una sola cadena, con aproximadamente 83 millones de dólares.
Según la CEO de Bitget, Gracy Chen, las claves privadas y las carteras frías no fueron comprometidas, afirmación respaldada por los cientos de millones de dólares en tokens que aún permanecen en las direcciones atacadas. Lo que los atacantes realmente explotaron fueron dos productos de seguridad de terceros (aprovechando una vulnerabilidad de día cero para obtener credenciales internas de alto nivel), implantando instrucciones de retiro falsificadas en el backend de la cartera y eliminándolas después de que se transfirieran los fondos. La empresa de seguridad SlowMist, contratada por Bitget, rastreó la actividad maliciosa más temprana hasta el 31 de agosto y reconstruyó una herramienta de retiro personalizada construida en torno a la lógica de retiros de Bitget. En conjunto, apunta a un ataque de gestión de carteras altamente investigado y extremadamente dirigido.
Bitget atribuyó el ataque a actores norcoreanos basándose en el comportamiento de IP y el análisis en cadena; las empresas de rastreo en cadena Elliptic y TRM encontraron superposiciones entre las carteras relacionadas y hackeos anteriores. La mayor parte de los fondos robados se transfirió a través de THORChain, y THORChain rechazó la solicitud de Chen de detener el servicio alegando ser "descentralizada y sin permisos". NEAR Intents adoptó el enfoque opuesto, interceptando más de 50 millones de dólares en flujos de blanqueo de capitales y congelando aproximadamente 503.000 dólares durante la ejecución. El fondo de protección de Bitget y la sobrecolateralización aplicable de la prueba de reservas (PoR) cubrieron esta pérdida, asumida en su totalidad por el fondo de protección, que se ha repuesto hasta los 300 millones de dólares.
Inmediatamente después, el jueves, NEAR Intents también sufrió un ataque: una vulnerabilidad en su infraestructura de depósito/retiro Omni causó pérdidas de aproximadamente 3,8 millones de dólares, y los responsables oficiales declararon que reembolsarán la totalidad. ZachXBT señaló múltiples salidas anómalas de fondos de la cartera caliente de BSC, que fueron transferidos a KuCoin y posteriormente cruzados a Bitcoin.
II. Las claves privadas ya están "resueltas", el verdadero objetivo es el canal de aprobación
Si este incidente suena familiar, es porque en febrero de 2025 el grupo de hackers norcoreano Lazarus robó de la misma manera 1.500 millones de dólares a Bybit: no robaron las claves privadas de Bybit, sino que comprometieron la infraestructura de Safe{Wallet}, mostrando a los firmantes una interfaz manipulada, y los firmantes aprobaron posteriormente una transferencia que parecía rutinaria. La criptografía en sí funcionaba perfectamente, simplemente firmó fielmente lo que se le pidió firmar.
Este es el panorama de los grandes ataques actuales: nadie ataca las matemáticas de las claves privadas, porque esas matemáticas (por ahora) no pueden ser quebradas; atacan a la persona o al sistema que "le dice a esas matemáticas qué hacer". La seguridad de las claves privadas de los grandes exchanges de criptomonedas está a la vanguardia mundial, y la última vez que un gran exchange sufrió el compromiso de una clave privada fue hace muchos años. El ataque a la clave privada que sufrió Phemex en enero de 2025 causó pérdidas de solo unos 50 millones de dólares, y el gran caso de Coincheck en 2018, de más de 500 millones de dólares, ya pertenece a la "era antigua". La seguridad de las claves privadas básicamente ya está resuelta, por lo que para los atacantes, el objetivo más valioso no es la clave en sí, sino el eslabón que decide "qué se pone delante de la clave". Bitget hasta ahora no ha revelado el nombre del proveedor explotado, y el informe forense solo lo denomina "Product A" y "Product B".
La propia forma del robo también lo dice: si los atacantes hubieran obtenido las claves privadas, habrían vaciado los fondos por completo; pero el primer comunicado de Bitget solo describió transferencias no autorizadas desde un número limitado de carteras calientes. Un drenaje lento es la huella de "servicio intermediario comprometido" y no de "clave privada comprometida".
Nick Szabo ya escribió en 2001 《Los terceros de confianza son una vulnerabilidad de seguridad》. Esta industria paga cada año un precio de aproximadamente nueve cifras para reaprender esta lección: las matemáticas de la criptografía son seguras, lo que hay que reforzar es la estructura a su alrededor. Este verano, la industria de la IA también aprendió una lección similar.
III. FAQ de recompra de la SEC: sistemas funcionales y la frontera de "sin parte central"
Las FAQ publicadas por la SEC ofrecen una explicación más detallada sobre la recompra de tokens. En la cuestión del "contrato de inversión", promover la utilidad actual de un sistema cripto o promocionar su visión futura sin implicar ganancias probablemente no constituya una promesa de "esfuerzos gerenciales clave" bajo la prueba Howey; una vez que el sistema ya está en funcionamiento, los servicios prestados para asegurarlo, mantenerlo, mejorarlo o reforzarlo, o para promover efectos de red, tampoco constituyen esfuerzos gerenciales clave.
La parte más destacada es la de la recompra. La Q2.5 de las FAQ pregunta: si el emisor anuncia un plan de recompra para activos cripto no valores (ya sea por gestión de tesorería, reducción de suministro, quema financiada por el protocolo o reequilibrio), ¿constituye en sí mismo una promesa de "esfuerzos gerenciales clave", que es una de las vías por las que la venta de tokens podría caer en un contrato de inversión Howey? La respuesta del personal es: cuando el sistema cripto ya está en funcionamiento y no existe una parte central, dicho anuncio no constituye ese tipo de promesa.
Cabe señalar que la expresión "y no existe una parte central" se añadió solo el 28 de septiembre de 2026, es decir, tres días después de la publicación de las FAQ, tras las críticas de la industria de que la redacción original (que solo exigía "ya en funcionamiento") era demasiado amplia. Si el sistema aún no está en funcionamiento, siempre que el emisor presente la recompra como algo que aporta ganancias o rendimientos a los tenedores de tokens, el anuncio aún podría constituir ese tipo de promesa. Sin embargo, las FAQ no explican cómo debe tratarse un anuncio de recompra en un sistema "ya en funcionamiento pero con una parte central"; dado que la respuesta ya no cubre ese supuesto, probablemente recaiga en el análisis general de hechos y circunstancias de Howey.
