El hackeo de Bitget desata una disputa sobre el diseño sin permisos de THORChain

Bitget está rastreando los activos robados con empresas de seguridad mientras restablece gradualmente los retiros tras la brecha del 24 de septiembre.

THORChain afirmó que la capacidad de la red para detenerse durante emergencias es un mecanismo de seguridad diseñado para proteger el protocolo y no equivale a un sistema para congelar selectivamente direcciones individuales, según su respuesta a las críticas en torno al atacante de Bitget.

THORChain rechaza los llamados a bloquear las direcciones del atacante de Bitget

La disputa comenzó después de que la CEO de Bitget, Gracy Chen, dijera el 26 de septiembre que las direcciones vinculadas al atacante habían sido identificadas públicamente y estaban siendo rastreadas activamente.

Bitget pidió formalmente a THORChain que rechazara el servicio a esas direcciones mientras los investigadores continuaban rastreando los fondos movidos tras la brecha del 24 de septiembre.

“La descentralización es un principio de diseño, no un escudo para facilitar fondos robados conocidos”, dijo Chen. “La industria está observando”.

Bitget inicialmente valoró los activos afectados por la brecha en 351,6 millones de dólares antes de elevar la cifra a aproximadamente 387,5 millones de dólares después de que su investigación identificara transacciones adicionales de Zcash y TRON.

El exchange dijo que las transferencias no autorizadas afectaron activos en Ethereum y varias redes EVM, XRP Ledger, Zcash y TRON. XRP, ETH, USDT, ZEC, USDC, BNB, AVAX y TRX estuvieron entre los activos involucrados.

Parte de los fondos robados se han movido desde entonces entre cadenas. AMLBot rastreó aproximadamente 4 BTC vinculados a la brecha en una ronda de Wasabi CoinJoin después de que los activos se movieran de TRON a través de USDT0, Ethereum y THORChain antes de llegar a Bitcoin.

THORChain rechazó los llamados a detener las transferencias señalando su estructura sin permisos. El protocolo comparó su papel con redes como Bitcoin, Ethereum y BNB Chain y cuestionó qué responsabilidad deberían asumir esas redes cuando procesan transacciones que involucran activos robados conocidos.

Su última respuesta estableció una distinción entre una detención de emergencia de la red y el rechazo selectivo de transacciones de direcciones individuales. THORChain argumentó que los mecanismos de apagado de emergencia existen para proteger el propio protocolo y no equivalen a una lista negra que pueda aplicarse a usuarios individuales.

Las empresas de seguridad cuestionan el argumento de descentralización de THORChain

GoPlus Security cuestionó esa explicación el 27 de septiembre, argumentando que la arquitectura de THORChain otorga a su conjunto de validadores poderes que difieren de los disponibles para los participantes en Bitcoin y Ethereum.

La empresa de seguridad señaló el sistema de bóveda de firma de umbral de THORChain, bajo el cual el conjunto de validadores activos controla colectivamente las bóvedas y firma las transacciones salientes.

GoPlus argumentó que los nodos de THORChain pueden detener la actividad mediante mecanismos de pausa documentados, detenciones por cadena y votos coordinados. La empresa contrastó esa configuración con Bitcoin y Ethereum, donde los usuarios poseen sus propias claves privadas y los validadores no custodian colectivamente los activos en bóvedas del protocolo.

THORChain demostró su capacidad para detener las funciones de la red durante su propio incidente de seguridad a principios de este año.

Un exploit del 15 de mayo drenó aproximadamente 10,7 millones de dólares de una de las cinco bóvedas del protocolo después de que un operador de nodo malicioso explotara una debilidad en su Esquema de Firma de Umbral GG20. Las comprobaciones automáticas de solvencia detectaron un desequilibrio y detuvieron la firma y el comercio en varias cadenas antes de que los operadores de nodos coordinaran medidas de apagado adicionales.

El protocolo enfrentó más tarde críticas por su corrección de GG20 después de proponer conservar una versión parcheada del marco de firma en lugar de reemplazarlo de inmediato.

THORChain introdujo posteriormente la versión 3.19.0 como parte de un plan de reinicio de 11 pasos. La actualización incluyó la cuarentena de bóvedas comprometidas y comprobaciones temporales de compartición de claves antes de que la firma y otros servicios de red pudieran reanudarse.

El comercio finalmente se reanudó el 23 de junio después de más de un mes fuera de línea. THORChain dijo que las bóvedas y las comparticiones de claves habían sido verificadas antes de que se restauraran los intercambios, la firma, la rotación y las funciones de proveedor de liquidez.

GoPlus citó la respuesta de mayo para argumentar que THORChain no debería comparar directamente su modelo operativo con Bitcoin y Ethereum al discutir si las transacciones pueden detenerse.

Los partidarios de THORChain disputan la comparación

Michael Perklin, un veterano ejecutivo de seguridad cripto y partidario de THORChain, rechazó la comparación de GoPlus Security, argumentando que la firma de umbral no significa que los operadores de nodos aprueben transacciones individualmente.

Perklin dijo que los intercambios de THORChain no deberían describirse como decisiones de firma activas en las que las personas eligen si aprueban transferencias individuales. Según su explicación, los operadores de nodos participan en un proceso de red automatizado y pueden dejar de participar desconectando sus nodos.

Comparó esa opción con los mineros de Bitcoin o los validadores de Ethereum apagando sus máquinas para evitar procesar transacciones.

“En los 3, no hay una elección activa de firmar, solo una elección activa de apagar la máquina”, dijo Perklin.

Detener la infraestructura para prevenir transacciones criminales detendría al mismo tiempo las transacciones legítimas, argumentó. Perklin describió a Bitcoin, Ethereum y THORChain como infraestructura pública neutral cuyos operadores no deberían ser culpados por las acciones de las personas que las usan.

El desacuerdo sigue a una controversia anterior que involucró a THORChain y activos robados del hackeo de Bybit de 2025. Los atacantes utilizaron el protocolo extensamente mientras convertían Ether robado en Bitcoin, con THORChain registrando 2.910 millones de dólares en volumen de operaciones y aproximadamente 3 millones de dólares en ingresos por comisiones de esa actividad.

Un desarrollador principal de THORChain se fue más tarde después de que una propuesta para bloquear transacciones vinculadas al atacante de Bybit no lograra el apoyo de los operadores de nodos.

Bitget continúa rastreando los fondos robados

La solicitud de Bitget se produce mientras el exchange trabaja con empresas de seguridad y otras compañías cripto para rastrear y recuperar activos de la brecha del 24 de septiembre.

Chen lanzó una recompensa de recuperación que ofrece una recompensa del 5% por acciones que congelen con éxito los activos robados y otro 5% por los fondos que se recuperen. Circle y Tether habían congelado aproximadamente 318.000 dólares en USDC y USDT vinculados al incidente hasta el 26 de septiembre.

Bitget dijo que su investigación encontró que el atacante comprometió un sistema backend crítico dentro de su infraestructura de billetera y lo utilizó para activar transferencias no autorizadas. El exchange dijo que las claves privadas no se vieron comprometidas, mientras que sus billeteras frías y el producto separado Bitget Wallet no se vieron afectados.

Las empresas independientes de ciberseguridad Mandiant y SlowMist están apoyando la investigación y los esfuerzos de rastreo de fondos.

Mientras tanto, el exchange ha comenzado a restablecer los retiros por fases después de identificar y corregir la vulnerabilidad. Los retiros de Bitcoin estaban programados para reanudarse el 28 de septiembre, seguidos de ETH el 29 de septiembre y USDT el 30 de septiembre, con otros tokens, fiat y servicios peer to peer programados para el 2 de octubre.