Hackeo de Bitget: 0,09 % congelado y el XRP no se congela

De los 387,5 millones de dólares que Bitget da por transferidos a direcciones del atacante el 24 de septiembre de 2026, los emisores han congelado 339.231,54 dólares: el 0,09 %. Ese porcentaje no mide la diligencia de Tether ni de Circle, mide el alcance de la herramienta, y el alcance falló en dos capas. La primera es de diseño: el 40,7 % del botín era XRP nativo, y en el XRP Ledger la congelación no existe para la moneda nativa —solo alcanza a los tokens que alguien emite sobre ese libro mayor—, así que cerca de 103 millones de XRP quedaron fuera del alcance de cualquier lista negra (el registro de direcciones a las que un emisor bloquea el saldo) desde el primer minuto. La segunda es de reloj: del 22,8 % que sí era congelable por un emisor, el USDT y el USDC de Ethereum —47,60 millones de dólares de los 88,28 millones congelables— salieron de la primera dirección en 8 y 16 minutos, y el oro tokenizado XAUt en 21, todos ellos entre 10 y 17 horas antes de que existiera la primera lista negra. Lo que sigue mide las dos capas con la documentación del propio protocolo, los términos de servicio de los dos emisores y tres lecturas propias del libro mayor separadas en el tiempo.

¿Cuánto congelaron Tether y Circle del botín de Bitget?

La cifra central es 339.231,54 dólares, y viene del panel de trazado que Bitget mantiene sobre el incidente, releído el 29 de septiembre de 2026. Son cuatro partidas concretas en tres direcciones, dos en Ethereum y una en TRON. Tether aporta 239.241,63 dólares repartidos en tres de ellas; Circle, 99.989,91 dólares en una sola. Ninguna de las cuatro es XRP, y más adelante se verá por qué eso no podía ser de otra manera.

El total robado tiene dos versiones oficiales, y las dos se escriben aquí. El primer aviso de Bitget, del 24 de septiembre de 2026, cifró la salida en 351,6 millones de dólares. El aviso del día siguiente la revisó a 387,5 millones al incorporar las líneas de Zcash y TRON, y es la cifra que el panel sigue usando como total. Aquí se usa la segunda, con su fecha.

Bitget ofreció el 25 de septiembre una recompensa del 5 % de lo congelado y del 5 % de lo recuperado. Sobre las cifras del 29 de septiembre de 2026, el incentivo completo por la vía de la congelación vale menos de 17.000 dólares.

¿Por qué nadie puede congelar XRP nativo en el XRP Ledger?

La documentación del propio protocolo lo dice en una frase que no admite lectura intermedia: «No one can freeze XRP in the XRP Ledger» —nadie puede congelar XRP en el XRP Ledger—, y añade que la congelación «does not apply to XRP». Las cuatro modalidades que el libro mayor define (individual, profunda, global y la renuncia permanente a congelar) operan todas sobre tokens emitidos por una cuenta y sobre las líneas de confianza que los sostienen. La moneda nativa no tiene emisor al que apelar, y tampoco le alcanzan el bloqueo de los tokens multipropósito ni la recuperación forzosa —el clawback, la retirada del saldo por parte de quien lo emitió—, que la documentación reserva igualmente a lo que alguien haya emitido.

La diferencia con una stablecoin está en la arquitectura. El USDT en Ethereum es un contrato cuyo estado incluye un registro de direcciones bloqueadas que su emisor puede ampliar cuando quiera: congelar es escribir una entrada en ese registro, y el saldo sigue existiendo pero deja de moverse. El XRP nativo es una unidad del protocolo, y el protocolo no expone a nadie una función equivalente. Por eso una orden judicial, la cooperación del emisor o la buena fe de una fundación son irrelevantes en esta capa: no hay a quién dirigirse.

La misma página añade el único matiz que sí abre una puerta: los exchanges con custodia pueden congelar en cualquier momento los fondos que custodian, a su discreción. Es otra herramienta, con otra condición previa: que el dinero llegue a un exchange y este lo detecte. El panel de trazado de Bitget cifra en 214.940,75 dólares lo depositado en direcciones de exchanges a 29 de septiembre de 2026, y no publica ninguna cifra de cuánto de eso han retenido los custodios. El mapa de hitos medibles de XRP que publicamos el 28 de septiembre no recogía todavía este caso; el incidente añade un hito incómodo y verificable a esa lista.

¿Qué parte del botín de Bitget era congelable por un emisor?

Separar el botín por clase de activo es lo que convierte el 0,09 % en una cifra explicable. La lectura propia del libro mayor confirma tres pagos de XRP a la dirección principal el 24 de septiembre, que suman 102.976.680,09 XRP, más un cuarto intento de 9,14 millones que el panel marca como fallido y que nunca se ejecutó. Las stablecoins llegaron en cuatro entradas sobre tres cadenas. Y hay una partida de oro tokenizado, 3.000,32 XAUt, que también es congelable porque su emisor es Tether.

Tres acotadores sobre esa tabla. El valor en dólares del XRP tiene tres versiones, todas defendibles: 157,85 millones si se aplica la valoración implícita del grafo de Bitget; y 157,35 millones con el cierre horario del 24 de septiembre. Hay una tercera cifra que circula —152,95 millones— y tiene otra base: sale de la cuota de origen que el panel asigna a la cartera templada de XRP, que solo movió 100,73 de los 102,98 millones robados; extendida a los tres pagos da 156,36 millones, el 40,35 %. Por eso la cifra dura que se usa aquí es la cantidad en XRP, que coincide al último decimal entre nuestra lectura y el panel. El XAUt se valora con el cierre de PAXG del 24 de septiembre como proxy del precio del oro tokenizado, porque no hay serie propia de XAUt para ese día: la cuota del 3,30 % es aproximada y depende de ese proxy. Y el Zcash —18.916,72 ZEC robados, de los que 18.669,98 siguen sin moverse a 29 de septiembre de 2026, unos 28,98 millones de dólares según el panel— es el único bloque grande sin lectura propia nuestra, porque los exploradores públicos de esa cadena limitan las consultas por dirección de origen.

Con esos números, el cociente que importa se puede calcular en los tres denominadores coherentes: 0,09 % sobre todo el botín; 0,38 % sobre los 88,28 millones que un emisor podía tocar; y 0,45 % sobre las stablecoins solas. Ninguno de los tres llega al medio punto porcentual.

¿Cuánto tardaron las listas negras de Tether y Circle frente a la salida del dinero?

En el hackeo de Bitget del 24 de septiembre de 2026, la segunda capa se mide en duraciones. El USDT entró en la primera dirección y salió íntegro 8 minutos y 12 segundos después. El USDC entró y salió en 15 minutos y 48 segundos, y el oro tokenizado XAUt en 21 minutos y 24 segundos. Las dos partidas de stablecoins que no dejan reloj en nuestras lecturas son el USDT0 de Arbitrum y el USDC de Avalanche, así que el reloj medido cubre 47,60 de los 88,28 millones de dólares congelables. Las primeras anotaciones en lista negra sobre direcciones de ese grafo llegaron al día siguiente: la de Circle, 9 horas y 59 minutos después de la entrada del USDC; la de Tether, 16 horas y 53 minutos después de la entrada del USDT.

Los términos de servicio de ambos emisores reservan el derecho sin condiciones: Tether, en la versión vigente desde el 26 de febrero de 2026, se reserva congelar tokens y poner direcciones en lista negra; Circle, en los términos de USDC actualizados el 12 de diciembre de 2025, remite a su política de bloqueo en la sección 13. Lo que ninguno de los dos documentos promete es un plazo. Y sin plazo, el derecho solo alcanza al dinero que se queda quieto: los 339.231,54 dólares congelados están en direcciones del tercer y del cuarto salto que dejaron de mover el saldo, mientras la primera dirección se vació antes de que existiera la orden.

La capacidad de congelar de los emisores de stablecoins la tratamos en abstracto en los riesgos de las stablecoins: es el riesgo de contraparte que la mayoría de los usuarios acepta sin leerlo. Este caso lo mide con reloj, y el resultado es que la herramienta llegó entre diez y diecisiete horas tarde al único tramo del botín sobre el que tenía competencia.

¿Qué forma tuvo el vaciado de los 102,98 millones de XRP?

Entre el primer ingreso de XRP en la dirección principal el 24 de septiembre de 2026 y el último pago del segundo salto el 27 de septiembre pasaron 60 horas y 41 minutos, y en ese plazo el botín de XRP del hackeo de Bitget pasó de estar íntegro a quedar en 30,31 unidades. La ventana de la congelación por custodia, la única que podía alcanzar al XRP, se cerró dentro de ese plazo. Tres lecturas propias del libro mayor, con los mismos nodos y el mismo método, dan la serie.

Las tres carteras que aún tenían saldo el 26 de septiembre se vaciaron en serie, no en paralelo: cada una empezó a pagar cuando la anterior había terminado, en tandas de entre seis y veintidós pagos por hora. Suman 302 pagos salientes hacia veinte, veintiún y veintidós destinos distintos respectivamente, con importes medianos de entre 158.000 y 174.000 XRP.

De los 343 pagos leídos entre las tres lecturas, ninguno lleva etiqueta de destino, el identificador que la mayoría de exchanges centralizados exige para acreditar un depósito en la cuenta correcta. Eso describe la forma del movimiento —fragmentación entre direcciones, no ingreso en una plataforma— y ahí se queda la afirmación: no hay fuente pública que identifique a los receptores, así que no se les atribuye titular ni propósito. Una de las carteras intermedias terminó eliminada del libro mayor para recuperar la reserva de cuenta, que es una operación ordinaria del protocolo.

El panel de trazado de Bitget registra además 110.492.936,07 XRP de entrada bruta en bóvedas de THORChain desde direcciones del grafo, unos 169,37 millones de dólares. Esa cifra es mayor que todo el XRP robado, y el propio panel advierte en su nota metodológica de que su métrica de infraestructura es bruta y que un mismo dinero puede contarse en varios canales. Va aquí como dato bruto del panel, sin convertirse en «todo el XRP pasó por THORChain»; el debate sobre ese protocolo como vía de salida y sobre la censura de transacciones lo cubrimos en el caso de THORChain y el blanqueo tras el hackeo de Bybit.

¿Qué cifras del caso Bitget salieron con el denominador equivocado?

No hay ni un dólar de XRP congelado en este caso, y no puede haberlo, así que el cociente entre lo congelado y el valor del XRP robado carece de referente: el numerador y el denominador pertenecen a activos distintos. El 0,2 % que circuló los primeros días sale exactamente de ese cociente, y la división está bien hecha —falla el denominador—. Tampoco es cierto que lo congelado fueran 318.000 dólares: esa era la foto de una sola dirección de Ethereum, y con las otras tres partidas el total sube a 339.231,54 dólares.

Y el XRP no seguía parado el 26 de septiembre, aunque así se contó: a primera hora de ese día ya se había movido el 39 %, y 6 horas y 43 minutos más tarde, esa misma tarde, el 56 %, medido en las dos lecturas con dos nodos independientes que coincidían. Cualquier recomendación del tipo «pidamos a los exchanges que no acepten ese XRP» nació con la ventana ya cerrándose.

¿En qué activos está el botín de Bitget a 29-sep-2026?

El panel de trazado de Bitget publica una serie temporal de la composición del grafo: se refresca cada 120 segundos, pero la serie que expone tiene huecos —249 puntos en 23,94 horas, con una mediana de 243 segundos entre puntos y un salto de 7,38 horas entre las 18:36 UTC del 28 de septiembre y las 01:59 UTC del 29—. Con esa reserva, la ventana que va de las 12:13 UTC del 28 de septiembre a las 12:09 UTC del 29 de septiembre de 2026 deja ver la dirección del trasiego: el ETH del grafo cayó 111,39 millones de dólares y el BTC subió 83,60 millones.

El 29 de septiembre de 2026 el reparto del grafo es 82,85 % en BTC, 8,42 % en ZEC, 8,05 % en ETH, 0,34 % en stablecoins y 0,33 % en ALGO. El XRP figura al 0 %, con 8.566,52 unidades residuales. El dinero ha terminado concentrado en el activo sobre el que ninguna lista negra tiene competencia, y lo ha hecho en cinco días.

Dos cifras más del mismo panel afinan el coste de todo esto. Su reconciliación cifra en 3.778.395,78 dólares las pérdidas de puente y canje, que el panel calcula como la diferencia entre lo robado y lo aterrizado en las líneas que ha conseguido cuadrar: 3,50 millones se concentran en la línea de canjes sobre cadenas compatibles con Ethereum. La cifra está cerrada al 25 de septiembre de 2026, con algunas líneas cuadradas hasta el día 27, y es 11,1 veces lo que consiguieron congelar los dos emisores juntos —cálculo propio sobre las dos cifras del panel—. Y dentro de los 39,32 millones de dólares que el panel clasifica como no rastreados hay 3,94 millones etiquetados como pasados por transacciones de tipo CoinJoin en Bitcoin, etiqueta del panel.

¿Qué queda de la congelación por emisor como herramienta de recuperación?

Queda una herramienta con tres condiciones previas, y el hackeo de Bitget del 24 de septiembre de 2026 muestra lo estrictas que son:

1. Que el activo sea un token con emisor, porque una moneda nativa carece de emisor a quien dirigir una orden. Esta condición dejó fuera el 77,2 % del valor de entrada del botín.
2. Que la cadena donde vive el token tenga el registro de bloqueo activo y el emisor pueda escribir en él.
3. Que el saldo se detenga el tiempo suficiente para que alguien lo detecte, lo verifique y firme la orden. Esta condición se comió casi todo el resto: el tramo con reloj medido salió de la primera dirección en 8, 16 y 21 minutos, y la orden más rápida tardó 9 horas y 59 minutos.

Lo que sigue vivo el 29 de septiembre de 2026 es pequeño, es medible y se mueve mientras se mide. A las 12:09 UTC el panel marcaba 843.242,35 dólares aún congelables en el grafo, de los cuales 534.445,92 estaban en una única dirección de Arbitrum. En la relectura de las 12:46 UTC del mismo día esa dirección ya no aparece en la lista de congelables y el total baja a 308.796,43 dólares: la diferencia entre las dos lecturas es exactamente el saldo de esa dirección, 534.445,92 dólares, que en 37 minutos pasó de congelable a movido —cálculo propio sobre las dos lecturas—. Lo que queda es lo que permite comprobar esta lectura sin esperar al informe forense: si a 15 de octubre de 2026 el total congelado alcanza el 1 % de lo robado —3.875.000 dólares—, la congelación por emisor habrá sido una vía material de recuperación y habrá que corregir lo que aquí se afirma. Publicaremos la comprobación ese día con la misma fuente.

Para quien guarda saldo en un exchange, la conclusión operativa del caso apunta más allá de Bitget: el botón de congelación que se invoca cada vez que hay un hackeo depende de en qué activo estuviera tu saldo en el momento del robo, y ese detalle no aparece en ningún término de servicio de plataforma. Un saldo en USDC o en USDT tiene un emisor con capacidad de bloqueo y un tiempo de reacción que en este caso se contó en horas. Un saldo en XRP, ETH, BTC o ZEC no tiene nada de eso, y su única defensa después del robo es que el dinero aterrice en un custodio dispuesto a mirar. El repaso de los mayores robos del sector está en nuestra lista de los grandes hackeos cripto, y el patrón de que los ataques de 2026 apuntan a la infraestructura operativa antes que a los contratos lo desarrollamos en el análisis de los objetivos de 2026.

Fuentes y enlaces: Bitget, nota oficial del incidente (25-sep-2026, cifra revisada y direcciones) · Bitget, primer aviso del 24-sep-2026 con la cifra inicial de 351,6 millones de dólares · Panel de trazado de Bitget, endpoint de resumen (lectura del 29-sep-2026) · XRP Ledger, documentación «Freezes» · Tether, términos de servicio vigentes desde el 26-feb-2026 · Circle, términos de USDC actualizados el 12-dic-2025