La IA acelera la investigación del robo a Bitget

Chainalysis despliega IA interna para acelerar la investigación de Bitget

• Tras el robo de $387 millones de Bitget el 24 de septiembre, los investigadores de Chainalysis colaboraron con el exchange y las fuerzas del orden para rastrear los activos robados en cuatro redes blockchain.
• La automatización personalizada construida con IA propietaria redujo la conciliación de puentes de más de 20 horas a menos de 10 minutos, permitiendo identificar rápidamente las rutas de lavado y el movimiento entre cadenas.
• Los actores atribuidos a Corea del Norte ya suman más de $1.000 millones robados en 2026; el monitoreo continuo y el etiquetado de direcciones apoyarán los esfuerzos de interdicción en las próximas semanas.

El robo revelado por Bitget la semana pasada desató una respuesta continua dentro de Chainalysis. Los investigadores sabían que los actores atribuidos a la RPDC dispersarían rápidamente los $387 millones, por lo que el equipo de Customer Outcomes recurrió a la IA propietaria para crear una automatización a medida acorde a esa velocidad. La conciliación manual de transacciones de puente—una tarea que normalmente consumiría más de 20 horas—se comprimió a menos de 10 minutos, liberando a los analistas para centrarse en interpretar flujos complejos y dirigir la siguiente fase del rastreo.

Durante toda la operación, Chainalysis mantuvo comunicación continua con Bitget y socios de las fuerzas del orden, compartiendo inteligencia derivada de la imagen on-chain en evolución. Ya se han producido cientos de transferencias, con fondos saltando entre Ethereum, XRP, Zcash, Tron y finalmente Bitcoin. El gráfico de transacciones revela una extensa red de saltos entre protocolos, cada uno requiriendo conciliación para preservar el hilo investigativo.

Herramientas personalizadas sobre plataforma agentica

La automatización desplegada no era un asistente genérico de creación de grafos. Los investigadores de Chainalysis usaron una plataforma agentica que interroga tanto fuentes de datos internas como externas, permitiendo el desarrollo rápido de soluciones adaptadas a las características específicas de este caso. Los expertos mantuvieron el control total: definieron la lógica de conciliación, revisaron cada resultado y tomaron todas las decisiones estratégicas sobre dónde investigar a continuación. Lo que cambió fue la eliminación de tareas manuales repetitivas que, de otro modo, habrían ralentizado el ritmo de descubrimiento.

La velocidad es crucial porque actores sofisticados—especialmente los vinculados a Corea del Norte—ya despliegan su propia automatización para fragmentar y ofuscar fondos robados a través de múltiples cadenas y protocolos. Mantener el ritmo requiere herramientas que aceleren el trabajo mecánico sin sacrificar el criterio necesario para interpretar patrones on-chain ambiguos. A los pocos minutos de identificar direcciones contaminadas, Chainalysis ya tenía etiquetas activas en su plataforma de datos, proporcionando inteligencia accionable a equipos de cumplimiento y fuerzas del orden.

Mapeo de la dispersión inicial y el posterior lavado

En las tres horas inmediatamente posteriores al exploit, 23 transferencias movieron la totalidad de los $387 millones a cuatro cadenas. Ethereum recibió el 49,7 por ciento, XRP el 40,8 por ciento, Zcash el 7,6 por ciento y Tron el 1,8 por ciento. Desde esos puntos de llegada, los investigadores identificaron una variedad de técnicas de ofuscación: protocolos de liquidez cross-chain, servicios de intercambio instantáneo y conexiones con infraestructura de lavado ya establecida.

La porción de XRP presentó un desafío particularmente instructivo. En lugar de liquidar en un exchange, los atacantes lo canalizaron a través de un protocolo de liquidez cross-chain y retiraron Bitcoin al otro extremo. Dichos protocolos permiten a un usuario depositar un activo en una cadena y recibir otro distinto en otra, sin ninguna cuenta que vincule ambos tramos. Sin embargo, cada intercambio deja un registro, y los investigadores de Chainalysis emparejaron los depósitos entrantes con sus correspondientes retiros, reconstruyendo el puente que los atacantes asumieron rompería el rastro.

En unas 36 horas, decenas de millones de dólares fluyeron a través de este mecanismo. Los investigadores siguieron el Bitcoin resultante hasta direcciones controladas por los atacantes y continuaron el rastreo a través de saltos posteriores que involucraban protocolos adicionales. El trabajo se basó en más de una década de datos de atribución cross-chain acumulados por Chainalysis, conectando actividad entre servicios que de otro modo parecerían no relacionados. Una visualización condensada de un segmento muestra fondos pasando por puentes, mezcladores y exchanges descentralizados en rápida sucesión.

Monitoreo y compartición de inteligencia en curso

La investigación sigue activa. En las próximas semanas, Chainalysis continuará usando las herramientas personalizadas para rastrear movimientos de fondos, etiquetar direcciones recién identificadas y coordinar con exchanges, emisores de stablecoins y fuerzas del orden. El objetivo es apoyar los esfuerzos para congelar o bloquear activos antes de que puedan ser liquidados o trasladados fuera de alcance.

Las etiquetas que señalan fondos robados ya se encuentran en la plataforma Chainalysis, dando a las instituciones asociadas visibilidad sobre cualquier interacción con direcciones contaminadas. Esta capa de inteligencia está diseñada para habilitar la interdicción en tiempo real: los equipos de cumplimiento pueden filtrar transacciones según las etiquetas actualizadas, y los investigadores pueden responder rápidamente cuando los fondos aparecen en un servicio monitorizado.

El robo a Bitget también subraya una tendencia más amplia. Los actores atribuidos a Corea del Norte han robado ya más de $1.000 millones en criptomonedas durante 2026, y su ritmo operativo no muestra señales de desaceleración. Los atacantes demostraron familiaridad con protocolos cross-chain y movieron fondos entre Ethereum, XRP, Zcash y Tron en cuestión de horas, para luego emplear puentes de liquidez y convertir XRP en Bitcoin sin pasar por un exchange centralizado. Cada paso requirió que los investigadores conciliaran depósitos y retiros entre libros contables distintos—un trabajo que habría sido prohibitivamente lento sin automatización.

La experiencia humana fue central en todo momento. Los investigadores definieron los parámetros para emparejar transacciones de puente, revisaron los resultados en busca de anomalías y decidieron qué pistas seguir. La IA se encargó de la interrogación repetitiva de los registros de transacciones y el armado de coincidencias candidatas; los analistas interpretaron esas coincidencias y extendieron la investigación a nuevos protocolos y agrupaciones de direcciones. La división del trabajo permitió al equipo mantener el ritmo frente a adversarios que también usaban automatización para fragmentar y dispersar los fondos robados.

Los datos de atribución cross-chain resultaron esenciales. Chainalysis ha dedicado años a construir el tejido conectivo que enlaza depósitos en una cadena con retiros en otra, incluso cuando no existe un identificador explícito que los una. En este caso, esa infraestructura permitió a los investigadores seguir el rastro de XRP en un protocolo de liquidez y retomarlo cuando Bitcoin emergió al otro lado. Sin ella, el hilo se habría perdido en el límite del protocolo.

La investigación también resaltó el valor del etiquetado en tiempo real. A los pocos minutos de confirmar que una dirección contenía fondos robados, Chainalysis añadió una etiqueta visible para todos los usuarios de la plataforma. Los exchanges que ejecutan sistemas de monitoreo de transacciones que integran los datos de Chainalysis pudieron marcar de inmediato cualquier depósito o retiro relacionado con esas direcciones, creando oportunidades para congelar activos o recabar pruebas adicionales. La velocidad del etiquetado afecta directamente la ventana disponible para la interdicción, y la automatización hizo posible esa rapidez.

De cara al futuro, las herramientas desarrolladas para este caso ofrecen un adelanto de la evolución de las capacidades investigativas. La posibilidad de crear automatización personalizada para un actor de amenaza o técnica de lavado específica significa que los investigadores pueden adaptarse rápidamente a medida que los adversarios cambian de táctica. Los grupos atribuidos a Corea del Norte han mostrado disposición a experimentar con nuevos protocolos y cadenas; igualar esa adaptabilidad requiere tanto conocimiento profundo del sector como herramientas capaces de escalar entre múltiples libros contables sin cuellos de botella manuales.

Chainalysis continuará perfeccionando la automatización y ampliando el alcance de direcciones vigiladas a medida que los fondos de Bitget se muevan a través de nuevos saltos. La colaboración con exchanges y fuerzas del orden sigue en marcha, y cualquier inteligencia desarrollada será compartida con los contrapartes relevantes. El objetivo es reducir la ventana en la que los fondos robados pueden ser liquidados y construir una imagen más completa de la infraestructura que respalda el robo de criptomonedas a gran escala.