En tres semanas Bitget dio dos motivos para pensar dónde está el dinero: en septiembre le sacaron 351,6 millones de dólares y en octubre cerró el acceso a clientes de Rusia, Bielorrusia y Kazajistán. Repasamos ambos hechos desde las fuentes primarias, calculamos qué cambia realmente guardar uno mismo las claves y, más importante, qué no resuelve.
18 de octubre de 2026 · verificado al publicar
No están relacionados —al menos el exchange no explica ninguna relación y ninguna fuente la muestra—. Pero ocurrieron seguidos y apuntan al mismo punto: el dinero en un exchange no es técnicamente suyo.
El exchange detectó las transferencias ajenas a las 18:31 UTC. El dinero salió de monederos calientes y templados por siete redes —Ethereum, XRP Ledger, Arbitrum, Avalanche, Optimism, BNB Chain y Base—, con la mayor parte en XRP, unos 158 millones. La estimación se elevó después hasta unos 387,5 millones al hallarse más transferencias. En su momento, el mayor robo confirmado del año.
Se actualizaron las condiciones de uso: Rusia y Bielorrusia entraron en la lista de jurisdicciones prohibidas; Kazajistán ya figuraba antes. Desde el 18 de octubre no hay nuevas operaciones, órdenes ni suscripciones; hasta el 21 hay que cerrar posiciones y retirar fondos; desde el 21 se restringe el acceso a la cuenta. Sortearlo con VPN queda prohibido en una cláusula aparte. El exchange alega cumplimiento regulatorio.
Un robo a un exchange suele venir con un «robaron las claves». Aquí no, y la diferencia importa.
Las claves privadas no fueron robadas y los monederos fríos quedaron intactos. El atacante entró en la parte servidora y falsificó los datos de la transacción que veía el sistema de autorización. Retiradas ajenas pasaron el procedimiento normal de aprobación como legítimas. En palabras de la consejera delegada Gracy Chen, el atacante «manipulated the transaction data shown to its authorization process».
Qué significa para un depositante. Puede proteger sus claves cuanto quiera: si entre usted y el dinero hay un sistema de aprobación ajeno, lo vulnerable es ese. Al intruso no le hace falta su contraseña ni su doble verificación: no le engaña a usted, sino al mecanismo que decide si una retirada es legítima. Desde el lado del usuario no hay forma alguna de defenderse de esto.
La atribución que dio el exchange es preliminar —grupos norcoreanos, por direcciones de VPN, coincidencias con monederos de hackeos anteriores y el patrón de blanqueo—. Los analistas de TRM Labs dicen sin rodeos que no han hecho una atribución definitiva.
Los tres países de los titulares no son toda la lista. Las condiciones actualizadas nombran veintiocho jurisdicciones prohibidas, y su composición explica la lógica.
Además de estados sancionados y zonas en conflicto, incluye Japón, Singapur, Canadá, Francia, Alemania, Austria, Hong Kong, Malasia y Estados Unidos. Es decir, va igualmente de mercados muy regulados en los que el exchange no entra sin licencia. La decisión no se toma contra un país, sino a favor de la propia comodidad regulatoria, y en el lado equivocado puede acabar cualquiera.
Cinco días para todo. De la modificación del 16 de octubre al cierre de acceso del 21. Si en esos días está de vacaciones, en el hospital o simplemente no lee el correo del exchange, no habrá quien cierre sus posiciones. Ese es justamente el riesgo que no existe en la autocustodia: allí nadie le fija un plazo.
Rainbow es un monedero no custodial: la clave privada se guarda en el dispositivo del usuario y la empresa no tiene acceso a ella. De ahí se siguen cosas que no dependen de la buena voluntad de nadie.
El escenario de Bitget no se reproduce aquí. No hay un sistema de autorización ajeno al que engañar con datos falsificados: la transacción la firma la clave de su dispositivo. Entrar en la infraestructura de la empresa no da acceso a los fondos de los usuarios, porque la empresa no los tiene.
Una línea en las condiciones de uso no revoca una clave privada. Aunque la empresa cerrara mañana, los fondos seguirían al alcance: la frase secreta funciona en cualquier monedero compatible, y la dirección y su historial viven en la cadena, no en un servidor.
Nadie le da cinco días para retirar. Suena a menudencia justo hasta el día en que alguien se los da.
Esta sección importa más que la anterior. La autocustodia traslada el riesgo en vez de eliminarlo —de la contraparte a usted— y un repaso honesto debe decir cuánto cuesta eso.
La pérdida la cubrió el fondo de protección de usuarios, con más de 464 millones de dólares. En este hackeo concreto el depositante perdió nervios y tiempo, pero no dinero. Quien firmó una transacción maliciosa o perdió su frase secreta no tiene fondo. Ni soporte. Ni deshacer.
Una frase perdida significa fondos perdidos para siempre: nadie puede restaurarla, y ese es justamente el sentido del diseño. Una transferencia a una dirección equivocada no se revierte. Una firma en una autorización maliciosa entrega los tokens sin hackeo alguno, y formalmente es su propia transacción voluntaria.
La clave no se puede quitar, pero las funciones no están disponibles en todas partes. En el propio Rainbow, la sección Cash funciona solo para clientes en Estados Unidos, salvo Nueva York y California, y solo con tarjeta Visa. Afirmar que los monederos no conocen límites geográficos sería falso: la clave de verdad no se puede confiscar, pero el producto a su alrededor responde ante los mismos reguladores.
Cómo comparar esto con honestidad. Un exchange tiene riesgo de contraparte: que rompan sus sistemas, un bloqueo por jurisdicción, un plazo que le fijan; pero existen fondos de seguro y en el caso de Bitget el fondo funcionó. Un monedero tiene riesgo de usuario: es enteramente suyo, irreversible y no lo cubre nada. No es «uno es mejor que el otro», es elegir qué riesgo está dispuesto a llevar.
Los exchanges centralizados tienen tokens de fidelidad: BNB, OKB, BGB, GT. Rainbow tiene RNBW. La comparación se impone, así que digamos de entrada dónde funciona y dónde no.
Lo comprobable. Rainbow recompra RNBW en el mercado. Lo hace la dirección de tesorería, una multifirma Safe en la que una transferencia exige dos firmas de tres:
0xcaa9bFCbc9ff87428535bc4E163296c3A8ae308E
Entre febrero y octubre de 2026 compró … RNBW con órdenes de mercado a través de pools de Uniswap y Aerodrome, pagando en USDC. La dirección no hace ventas de vuelta. Los ingresos de la aplicación según DeFiLlama son … al año.
Se recuenta a diario desde el registro de transferencias del token; solo cuenta como compra aquella en la que salió USDC en la misma transacción. El desglose detallado está en el artículo sobre los criterios de Arthur Hayes.
Y esto es lo que falta, conviene saberlo antes de comprar. En la cadena no hay fijada ninguna obligación de recomprar. No existe un contrato que destine una parte de las comisiones a comprar el token ni un documento que lo exija. La recompra sigue siendo una decisión de la empresa, que puede detenerla. La afirmación que a veces se oye —«la empresa recompra el token con parte de sus comisiones»— describe un mecanismo que en la cadena no existe: las compras son reales y visibles; su vínculo con una parte de los ingresos, no.
Conviene decir aparte que en este punto la comparación con los tokens de exchange juega en contra de RNBW. BNB tuvo históricamente una quema ligada a los ingresos del exchange: un vínculo con el dinero más duro que una recompra voluntaria. La ventaja de un token de monedero no está en la mecánica de la recompensa, sino en que el monedero mismo no puede romperse como se rompió Bitget.
Un exchange es el lugar donde se hace una operación, no donde viven los ahorros. La cantidad sensata a tener allí es la que esté dispuesto a perder por un bloqueo o un hackeo; el resto, en un monedero cuya clave es suya.
La pérdida de fondos más frecuente en la autocustodia no es un hackeo, sino una frase extraviada. Debe estar anotada fuera del dispositivo y fuera de la nube, y eso hay que comprobarlo antes de necesitarla, no después.
La no custodia no protege de una firma voluntaria. Una autorización ilimitada de gasto concedida a un contrato desconocido entrega los fondos sin hackeo alguno, y será su propia transacción legítima.
Somos un portal independiente y no estamos vinculados al equipo de Rainbow. Esto no es una recomendación de inversión: todas las cifras de arriba son mediciones, no pronósticos. Los datos del hackeo y del bloqueo siguen lo publicado por TRM Labs, CoinDesk, The Hacker News, BleepingComputer y Meduza; las cifras de recompra las calculamos nosotros desde la cadena y se actualizan a diario.