Drenaje de la hot wallet de BingX

El 20 de septiembre de 2024, el exchange con sede en Singapur BingX detectó un drenaje no autorizado en una de sus hot wallets. Al final del incidente aproximadamente 52 millones de dólares se habían movido a través de cinco blockchains — Ethereum, BNB Chain, Avalanche, Optimism y Polygon.

Qué ocurrió

BingX divulgó la brecha en cuestión de horas y la caracterizó como un compromiso de hot wallet. El patrón on-chain fue un barrido coordinado: retiradas no autorizadas simultáneas en múltiples cadenas, puenteo inmediato a mezcladores anonimizadores y consolidación en un puñado de direcciones controladas por el atacante.

Los TTP — drenaje simultáneo multi-chain de hot wallet, blanqueo acotado en el tiempo — coinciden con el patrón más amplio de actividad de operadores norcoreanos documentada en Phemex, DMM Bitcoin y otros. BingX no atribuyó públicamente.

Consecuencias

• BingX pausó las retiradas inmediatamente y anunció compensación completa a los usuarios afectados desde reservas internas.
• Los servicios de retirada fueron restaurados en cuestión de días tras rotar las claves de hot wallet.
• Los fondos robados no fueron recuperados.

Por qué importa

BingX se unió a un patrón de varios años de exchanges de gama media drenados por $50-80M en operaciones coordinadas multi-chain. La lección, repetida por Phemex cuatro meses después: la segregación de claves de hot wallet por cadena — y los límites de velocidad de retirada por cadena con suspensión automatizada — ya no son endurecimiento opcional, son custodia base.