Los sistemas de seguridad de Bybit bloquearon más de $700 millones en pérdidas potenciales de usuarios durante la primera mitad de 2026, ya que el exchange expandió el monitoreo de blockchain en tiempo real y la detección de amenazas asistida por IA después de su hackeo de $1.46 mil millones en 2025.
El Informe de Riesgos y Seguridad del primer semestre de 2026 de Bybit, que abarca del 1 de enero al 15 de junio, afirmó que el exchange ahora opera tres capas principales de defensa que incluyen cuentas de usuario, monitoreo on-chain continuo y operaciones de seguridad asistidas por IA, con especialistas humanos manteniendo el control sobre las decisiones críticas.
El exchange dijo que más de 30,000 solicitudes de retiro sospechosas fueron interceptadas durante el período, protegiendo a casi 20,000 usuarios. Las revisiones de riesgo iniciales tomaron un promedio de 4.7 minutos, mientras que el 95% se completaron en 10 minutos.
Los equipos de seguridad también identificaron alrededor de $212 millones en fondos potencialmente conectados a fraude y pusieron en la lista negra más de 10,000 direcciones de blockchain maliciosas. Bybit dijo que se utilizaron análisis de comportamiento y monitoreo asistido por IA para detectar patrones de transacciones vinculados a nuevas campañas de fraude.
El exchange ha estado reconstruyendo su arquitectura de seguridad desde el ataque del 21 de febrero de 2025 que drenó aproximadamente $1.46 mil millones de su billetera fría de Ethereum. La violación se convirtió en el robo de criptomonedas más grande registrado por valor y fue posteriormente atribuida a actores norcoreanos por las autoridades estadounidenses.
Bybit dijo que su sistema de monitoreo ahora cubre el 100% de la actividad on-chain considerada relevante para su negocio, incluidos los contratos de tokens listados, los contratos del ecosistema y las billeteras frías, templadas y calientes del exchange.
Durante el primer semestre, el sistema identificó y manejó 10 incidentes de seguridad que afectaron a proyectos de tokens listados en el exchange, sin que ninguno causara pérdidas a Bybit, según el informe. Los equipos de seguridad completaron respuestas de emergencia antes que otros exchanges importantes en ocho casos, mientras que dos incidentes se detectaron antes de que los proyectos afectados hubieran identificado los ataques por sí mismos.
La compañía dijo que el sistema permite a su operación de seguridad observar tanto la actividad dentro de la plataforma de trading como las transacciones que ocurren directamente en blockchains compatibles. Por lo tanto, el comportamiento sospechoso de contratos o los movimientos de billetera pueden revisarse incluso cuando un incidente comienza fuera de la propia infraestructura de Bybit.
El monitoreo continuo también se ha convertido en un problema mayor en todo el sector cripto. Un informe de seguridad de julio previamente cubierto por crypto.news encontró que las claves, firmantes e infraestructura comprometidas representaron el 88.3% de los aproximadamente $764 millones robados durante el segundo trimestre de 2026. Hacken, que rastreó 1,427 proyectos, encontró evidencia de monitoreo de terceros en solo el 9% de ellos y dijo que solo el 4% combinaba monitoreo, una recompensa activa por errores y una auditoría.
Hacken también identificó 14 proyectos que fueron explotados a pesar de haber completado previamente auditorías de seguridad. Según la firma, varios ataques afectaron dispositivos firmantes, claves de administrador, sistemas de backend, validadores de puentes o contratos antiguos en lugar del código de contrato inteligente examinado durante las auditorías convencionales.
La IA también ha asumido un papel más importante en los sistemas de defensa de Bybit, y el exchange afirma que más de 100,000 alertas de seguridad recibieron análisis asistidos por IA durante la primera mitad del año.
Según el informe del primer semestre, las auditorías de seguridad asistidas por IA detectaron vulnerabilidades de alta gravedad a una tasa de tres a cinco veces mayor que la lograda mediante la revisión manual. La automatización también redujo el período entre una evaluación de seguridad y las pruebas posteriores de aproximadamente dos semanas a aproximadamente dos horas.
La plataforma automatizada de red-team del exchange evaluó 1,489 activos de cara al público e identificó más de 100 vulnerabilidades de alta gravedad. Bybit dijo que el tiempo promedio entre el descubrimiento de un activo y el inicio de las pruebas de penetración iniciales cayó por debajo de las 24 horas, en comparación con los procesos manuales que podían requerir semanas.
La IA se utiliza principalmente para procesar información, encontrar vulnerabilidades y aumentar la velocidad de las pruebas de seguridad, mientras que los especialistas siguen siendo responsables de las decisiones más complejas, dijo la compañía.
“La carrera armamentista de ciberseguridad ha entrado en una era de minutos”, dijo David Zong, jefe de control de riesgo y seguridad del grupo Bybit.
Zong dijo que el exchange considera prioritario el uso de la IA para la seguridad y la protección de los propios sistemas de IA, mientras que el "juicio humano" sigue siendo fundamental cuando se toman decisiones de seguridad críticas.
Este enfoque surge a medida que los atacantes también utilizan la automatización y la IA para acelerar el reconocimiento y el descubrimiento de vulnerabilidades. Bybit dijo que reducir el tiempo entre el descubrimiento de actividades sospechosas y la acción al respecto se ha convertido, por lo tanto, en una parte central de su estrategia de seguridad.
Las cuentas de usuario formaron otra parte del trabajo de seguridad de Bybit en el primer semestre, particularmente en lo que respecta a los retiros que sus sistemas clasificaron como sospechosos.
Más de 30,000 solicitudes de retiro fueron interceptadas, protegiendo a casi 20,000 usuarios de posibles pérdidas, dijo la compañía. El valor combinado involucrado superó los $700 millones, aunque el informe describió la cifra como pérdidas potenciales en lugar de activos confirmados que fueron atacados con éxito por los atacantes.
El escaneo on-chain operó junto con esos controles de cuenta. Bybit dijo que se identificaron aproximadamente $212 millones en fondos potencialmente vinculados a fraude durante el período, mientras que más de 10,000 direcciones se agregaron a su lista negra.
Las cifras se dan después de un incidente de seguridad en el que los atacantes comprometieron el proceso utilizado para mover fondos de la billetera fría de Ethereum de Bybit. La brecha de febrero de 2025 drenó más de 400,000 ETH y Ether en staking por valor de aproximadamente $1.46 mil millones en ese momento, con el CEO de Bybit, Ben Zhou, afirmando que el exchange podría cubrir la pérdida y continuar procesando los retiros de los clientes.
Los investigadores vincularon más tarde la operación con el Grupo Lazarus de Corea del Norte. Las estimaciones publicadas en mayo mostraron que los actores norcoreanos robaron alrededor de $2.02 mil millones en criptomonedas durante 2025, y el robo a Bybit representó la mayor parte de ese total. Chainalysis estimó que la actividad elevó el robo acumulado de criptomonedas vinculado a Corea del Norte a aproximadamente $6.75 mil millones.
La amenaza continuó en 2026. Dos ataques vinculados a Lazarus contra Drift Protocol y KelpDAO en abril supuestamente drenaron un total de $577 millones, incluyendo $285 millones de Drift y $292 millones de KelpDAO. Los incidentes se basaron en ingeniería social, dispositivos comprometidos e infraestructura de puentes en lugar de exploits convencionales de contratos inteligentes.
Los controles técnicos han sido acompañados por esfuerzos para rastrear y recuperar los activos sustraídos en el ataque de 2025, con Bybit trabajando con agencias de aplicación de la ley, empresas de inteligencia de blockchain y otros participantes de la industria.
A principios de este mes, el exchange presentó una demanda en EE. UU. contra Corea del Norte, su agencia de inteligencia Oficina General de Reconocimiento y el Grupo Lazarus en el Tribunal de Distrito de EE. UU. para el Distrito de Columbia.
El caso se refiere a la brecha del 21 de febrero y busca la recuperación de activos conectados al robo. Un juez federal también emitió un mandato judicial preliminar que impide a ciertos demandados no identificados transferir o disponer de activos cubiertos por la orden mientras el caso avanza.
Bybit ha dicho que los procedimientos civiles son separados de las investigaciones criminales de EE. UU. sobre la actividad de hacking norcoreana. El FBI atribuyó previamente el ataque a actores norcoreanos y pidió a los exchanges, validadores y empresas de blockchain que bloquearan las transacciones conectadas a direcciones utilizadas en la operación de lavado.
Rastrear los activos robados se hizo progresivamente más difícil después del ataque. En marzo de 2025, Bybit dijo que el 88.87% de los fondos seguían siendo rastreables, mientras que el 7.59% había desaparecido y el 3.54% había sido congelado. En abril, Zhou dijo que el 27.6% de los fondos robados ya no podían ser rastreados después de que los atacantes convirtieran los activos en Bitcoin y los dispersaran a través de miles de billeteras, servicios entre cadenas y mezcladores de criptomonedas.
Bybit también ha utilizado un programa de recompensas y congelaciones voluntarias por parte de otros participantes de la industria durante el proceso de recuperación. Tras el ataque, el exchange cubrió su déficit de activos mediante compras de Ether, préstamos y depósitos de contrapartes, mientras continuaba con los retiros de los clientes.
En el caso civil de EE. UU., Bybit dijo que tiene la intención de buscar una reparación adicional a medida que avancen los procedimientos. El tribunal no ha emitido un fallo final sobre las reclamaciones del exchange contra Corea del Norte, la Oficina General de Reconocimiento o el Grupo Lazarus.
