Introducción
El COO de Bitget Wallet, Alvin Kan, ha solicitado permisos de transacción más claros y controles de recuperación de billeteras tras el informe de una violación de $387.5 millones en Bitget Exchange. Kan sostiene que la propiedad directa de los activos debe ir acompañada de salvaguardias que los usuarios puedan entender.
Autogestión y Responsabilidad
En declaraciones exclusivas a crypto.news, el director de operaciones de Bitget Wallet afirmó que la autogestión debería mitigar el daño que puede causar un solo fallo de seguridad, sin que los usuarios tengan que convertirse en especialistas en seguridad. Según Kan, otorgar a las personas el control sobre sus activos también implica una mayor responsabilidad sobre la billetera que utilizan, su dispositivo y sus decisiones personales.
Riesgos y Seguridad
Kan subrayó que los desarrolladores de billeteras deben abordar estos riesgos como parte integral del producto, incluyendo cómo los usuarios aprueban pagos y recuperan el acceso tras la pérdida de un dispositivo. Según la declaración de la empresa, Bitget Wallet no se vio afectada por el incidente en la bolsa. La compañía describió la billetera como un servicio de autogestión en el que los usuarios mantienen el control de sus activos en la cadena.
«La lección de los recientes incidentes de seguridad es que el riesgo de custodia se trata, en última instancia, del radio de explosión»
Para Kan, la cuestión central de la custodia radica en cuántas personas pueden verse afectadas cuando un sistema compartido falla. Los grandes grupos de activos que dependen de controles administrativos o de firma comunes pueden exponer a múltiples usuarios a la misma violación, advirtió.
Propiedad Directa y Servicios
En lugar de considerar las bolsas y las billeteras de autogestión como soluciones competitivas para cada necesidad financiera, argumentó que los usuarios deberían tener propiedad directa mientras limitan las consecuencias de cualquier punto único de fallo. Un informe publicado el 28 de septiembre sobre el reinicio de retiros de Bitget detalló la versión de la bolsa sobre cómo los atacantes obtuvieron credenciales internas de alto nivel a través de una vulnerabilidad en un producto de seguridad de terceros.
Bitget explicó que estas credenciales permitieron que instrucciones de retiro fraudulentas eludieran los controles existentes. Según la bolsa, el incidente del 24 de septiembre afectó partes de su infraestructura de billeteras calientes y tibias, mientras que las billeteras frías permanecieron seguras y las claves privadas no fueron filtradas. Bitget revisó su estimación inicial de $351.6 millones a aproximadamente $387.5 millones.
Mejoras en la Experiencia del Usuario
Antes de que un usuario firme, Kan sugirió que una billetera debería explicar claramente cuánto dinero se retirará y si la acción autoriza un pago o permite que una aplicación mueva fondos más adelante. En su opinión, los usuarios también necesitan una forma sencilla de revocar permisos que ya han otorgado.
«Una advertencia que las personas no pueden interpretar ofrece poca protección»
En cuanto a la recuperación de acceso, pidió explicaciones igualmente claras sobre lo que sucede cuando se pierde un dispositivo o una copia de seguridad. Los usuarios deberían saber quién puede ayudar a restaurar el acceso y qué autoridad tiene cada parte, según Kan.
Futuro de las Billeteras de Autogestión
Mirando más allá del almacenamiento de activos, Kan espera que las billeteras de autogestión se conviertan en herramientas comunes para recibir dinero, mantener saldos, realizar pagos y acceder a inversiones. Atribuyó esta expectativa a la demanda de esos servicios en una sola interfaz, mientras los usuarios mantienen el control de sus activos.
Las bolsas aún satisfacen necesidades de comercio, liquidez y acceso a fiat, dijo, pero utilizar esos servicios no debería requerir que un cliente confíe todos sus activos a una bolsa. Describió su modelo de custodia preferido como «propiedad directa junto a servicios que las personas eligen para necesidades específicas».
Supervisión y Regulación
La supervisión europea ya incluye varios de los problemas operativos planteados por Kan. La cobertura publicada el 11 de julio examinó la revisión de resiliencia de custodios de criptomonedas de la ESMA, incluyendo gestión de claves, controles de transacciones y dependencia de proveedores de tecnología externos.
En su anuncio del 8 de julio, la ESMA indicó que el ejercicio evaluaría la gobernanza, la gestión de claves y almacenamiento, la detección y respuesta a incidentes, los riesgos de contratos inteligentes y las dependencias de terceros. Las autoridades nacionales examinarán una muestra basada en riesgos de proveedores de servicios de criptoactivos autorizados, según el regulador.
Respuesta a Incidentes y Propuestas de Custodia
Sobre la respuesta a incidentes, Kan pidió un intercambio más rápido de inteligencia sobre amenazas y esfuerzos coordinados para rastrear activos robados. Afirmó que tanto la prevención como la respuesta necesitan mejoras, en lugar de dejar a los usuarios responsables de entender cada amenaza de seguridad.
Un informe del 2 de octubre sobre los movimientos de fondos robados de Bitget citó el hallazgo de BlockSec, que reveló que los atacantes convirtieron rápidamente activos que los emisores podían congelar, movieron valor a través de cadenas hacia Bitcoin y enviaron algunos BTC a transacciones de CoinJoin.
Para los inversores de EE. UU. que utilizan asesores o fondos regulados, la SEC ha propuesto un marco de custodia diferente. Un informe del 3 de octubre detalló la propuesta de custodia de criptomonedas condicional de la agencia, emitida el 1 de octubre para asesores de inversión y fondos regulados.
Según la propuesta tal como la describió la comisionada Hester Peirce, un asesor primero necesitaría determinar que no hay un custodio permitido disponible para el activo y repetir la evaluación trimestralmente. Para la custodia de compañías fiduciarias estatales, dijo que los asesores y fondos evaluarían la autorización estatal y las salvaguardias por escrito antes de la designación, y luego repetirían esas verificaciones anualmente.
Según el expediente de elaboración de reglas de la SEC, los cambios siguen siendo reglas propuestas, con comentarios públicos aceptados durante 60 días después de la publicación en el Registro Federal bajo el número de archivo S7-2026-35.
