Zcash hoy: 2.746 ZEC del hackeo de Bitget desaparecen en el depósito Ironwood

Una parte del botín del asalto a la plataforma Bitget ha dejado de ser rastreable desde el miércoles por la mañana. A lo largo de la mañana, 2.746 ZEC se movieron en tres transferencias hacia Ironwood, el más reciente depósito blindado de Zcash. Al precio del mediodía del miércoles equivalen a unos 3,9 millones de dólares y a cerca del 15 % de los ZEC que salieron de la plataforma el 24 de septiembre. Para tu propia cartera, de momento no se deriva nada de ello: quien guarda ZEC en su propio monedero no se ve afectado por estas transferencias. La cuestión práctica está en otro sitio y afecta a todo el que compra o vende ZEC a través de una cuenta en una plataforma.

Quien dio cuenta del movimiento fue el investigador de blockchain seudónimo ZachXBT, que hizo públicas las tres transferencias el miércoles a través de su canal de Telegram. CoinDesk las reconstruyó después a partir de los datos de transacción. Según ese mismo informe, los fondos llegaron por medio de dos direcciones intermedias, alimentadas desde un monedero que la propia Bitget había atribuido al atacante.

2.746 ZEC en tres transferencias: el camino hacia el depósito Ironwood

Las cifras están próximas entre sí, aunque difieren ligeramente según la fuente. CoinDesk habla de 2.746 ZEC en tres ingresos y de unos 3,9 millones de dólares. Cryptobriefing menciona alrededor de 2.700 ZEC y unos 3,8 millones de dólares. Ambas casas cuentan la misma operación, solo que a niveles de precio algo distintos y con redondeos diferentes. Toma por tanto la horquilla: entre 2.700 y 2.750 ZEC, entre 3,8 y 3,9 millones de dólares.

También en el total de ZEC sustraídos las cifras varían un poco. CoinDesk llega a unos 18.917 ZEC, Cryptobriefing a alrededor de 18.900 ZEC por un contravalor aproximado de 28 millones de dólares. En ambos casos la parte blindada equivale más o menos a ese séptimo que los informes cifran en el 15 %.

Para entenderlo importa el orden de los hechos. Tras el asalto, los ZEC estaban en direcciones corrientes, visibles para cualquiera. Solo el paso hacia Ironwood cambia la situación, y hasta ahora afecta a una parte pequeña de la suma.

Qué distingue una dirección transparente de una blindada

Zcash conoce dos clases de direcciones. Una dirección transparente funciona como una dirección de Bitcoin: importe, remitente y destinatario figuran abiertamente en la cadena y cualquier observador puede leerlos. Una dirección blindada pertenece en cambio a lo que se denomina un depósito blindado, en el que precisamente esos tres datos están cifrados. Mientras un saldo permanece en el depósito, desde fuera solo se aprecia que algo ha entrado.

El depósito blindado explicado: Ironwood oculta remitente, destinatario e importe

Un depósito blindado es un espacio cifrado dentro de la misma blockchain, en el que las transferencias sí se producen y se verifican criptográficamente, pero cuyos detalles no son visibles públicamente. Ironwood es, según la descripción de CoinDesk, el más reciente de esos espacios en Zcash. Las transferencias dentro del depósito ocultan a la vez remitente, destinatario e importe.

Zcash ha renovado estos espacios varias veces a lo largo de los años; Ironwood es el más nuevo y los depósitos anteriores siguen existiendo junto a él. Para el caso actual cuenta una sola propiedad: en cuanto un importe está en el depósito, la cadena en sí misma ya no ofrece ninguna vía para vincularlo con su origen.

Esto no es un fallo ni una laguna legal. Es la finalidad declarada de la tecnología. Zcash arrancó en 2016 expresamente como una moneda con datos de pago cifrados. La misma propiedad que oculta a un asalariado la cuantía de su sueldo oculta a un atacante la procedencia de su botín.

Por qué el 15 % del botín en ZEC basta para romper el rastro

Ante criptoactivos sustraídos, los investigadores trabajan normalmente con la propia cadena: seguir una suma de dirección en dirección, detectar divisiones y agrupaciones y esperar a que un importe parcial llegue a una plataforma que conoce a sus clientes. Ese es el punto en el que se puede congelar dinero. Lo bien que funciona ya se ha visto en este caso: otro protocolo asegura haber bloqueado 50 millones de dólares del mismo botín antes de que pudieran escaparse.

Dentro del depósito blindado ese método se interrumpe. No hay dirección de destino que observar ni importe que reconocer de nuevo. Aun así, el rastro no se pierde del todo. CoinDesk señala que, ante un regreso posterior a direcciones transparentes, los investigadores pueden retomar el hilo con las horas, los órdenes de magnitud y otros datos accesorios. Dentro del depósito, sin embargo, Zcash no entrega por sí mismo ninguna ruta de transacción.

Para los implicados esto se convierte en una carrera. Todo importe que siga al descubierto puede aparecer en un proveedor de servicios y ser detenido allí. Todo importe blindado queda por ahora fuera de ese alcance.

Unos 24 millones de dólares siguen en direcciones transparentes

El resto de los ZEC continúa siendo visible según el informe de Cryptobriefing: unos 24 millones de dólares en direcciones transparentes, a fecha de la información del miércoles. Es con diferencia la parte mayor y sigue siendo observable. Si tomará el mismo camino está abierto; por ahora solo está acreditado el paso del miércoles por la mañana.

Este reparto explica además por qué la noticia pesa pese a lo comparativamente modesto del importe. El peso no está en la suma. Está en la demostración de que la vía hacia el depósito blindado está abierta y se utiliza.

El asalto del 24 de septiembre: 387,5 millones de dólares por una vulnerabilidad de día cero

El incidente del que proceden estos ZEC se remonta a seis días atrás. El 24 de septiembre, según los informes disponibles, salieron 387,5 millones de dólares de los monederos de la plataforma Bitget, con sede en las Seychelles. Los informes señalan como causa una vulnerabilidad de día cero en un programa de seguridad adquirido a un tercero, unida a credenciales internas comprometidas con las que era posible lanzar órdenes de retirada.

Una vulnerabilidad de día cero es un fallo conocido por los atacantes pero todavía no por el fabricante, de modo que en el momento del ataque no existe corrección alguna. Llama la atención dónde estaba el fallo: en un producto suministrado por un tercero y no en el código propio de la plataforma. La superficie de ataque de un centro de negociación no termina, por tanto, en su propio software.

La partida individual mayor fue, según Cryptobriefing, XRP con unos 157 millones de dólares, a la que se sumaron ETH, USDT, USDC, BNB, AVAX y TRX. Con unos 28 millones de dólares, los ZEC suponen una parte menor, pero ahora están en el centro porque solo ellos ofrecen la salida blindada.

Las cifras sobre cómo gestionó la plataforma el daño y sobre las salidas de clientes en los días siguientes las hemos reunido en un texto aparte. La propia Bitget afirma que la pérdida está cubierta por su fondo de protección, que cifra en más de 464 millones de dólares.

Gracy Chen atribuye el ataque a actores norcoreanos

La atribución procede de la propia plataforma. Gracy Chen, directora general de Bitget, vincula el ataque a actores relacionados con Corea del Norte y lo fundamenta en pautas de comportamiento y direcciones IP que, según ella, coinciden con ataques anteriores con nexo norcoreano. ZachXBT sitúa a los atacantes en la misma dirección.

Se trata de una valoración de la parte perjudicada y de un investigador, no de una constatación judicial o administrativa. Hasta ahora no existe confirmación independiente y los actores mencionados no están identificados por su nombre. Para valorar los hechos, la cuestión del origen cambia de todos modos poco: el desarrollo técnico y las consecuencias para la trazabilidad son los mismos.

El artículo 79 del reglamento antiblanqueo de la UE retira las criptos anónimas de las plataformas

Para ti como inversor en la Unión Europea el caso tiene una prolongación que va más allá de la noticia. El reglamento antiblanqueo de la UE, el Reglamento (UE) 2024/1624, se aplica a partir del 10 de julio de 2027. Su artículo 79 prohíbe a las empresas afectadas mantener cuentas que oculten al titular o las operaciones, y menciona expresamente los criptoactivos con anonimato reforzado.

En la práctica eso significa que los proveedores autorizados en la UE ya no podrán ofrecer ZEC ni activos comparables. Qué desaparece exactamente y qué se mantiene lo hemos desglosado en nuestro texto sobre la prohibición europea de negociar Zcash. Algunas casas se han adelantado: Binance retiró Monero de su oferta invocando su orientación regulatoria y Kraken restringió el acceso a activos comparables en la UE.

Qué es un PSAC y por qué el término cuenta aquí

PSAC significa proveedor de servicios de criptoactivos, es decir, un operador autorizado en la Unión Europea. Toda plataforma, todo intermediario y todo custodio que puedas usar legalmente en Europa entra en esa categoría. Las obligaciones del artículo 79 alcanzan precisamente a estas empresas, no a ti como particular. Si quieres comparar qué casas trabajan bajo supervisión europea, te ayuda nuestro panorama de los exchanges de criptomonedas regulados.

ZEC en 1.284 euros: un 13,8 % menos en siete días

El precio apenas ha reaccionado hasta ahora a la noticia. ZEC cotiza el miércoles al mediodía en 1.284 euros, es decir, 1.460 dólares, con una subida de alrededor del 1 % en un día. En cambio, en el balance semanal acumula una caída del 13,8 %, medida en dólares. Zcash se sitúa así en el noveno puesto por capitalización de mercado.

De estas cifras no se puede deducir una relación entre el blindaje y el precio. La pérdida semanal comenzó antes de la noticia del miércoles y la cantidad de 2.746 ZEC es pequeña en relación con el volumen diario negociado. Si quieres seguir el precio, lee el blindaje como una noticia sobre la trazabilidad y no como una señal de oferta o de demanda.

Las plataformas tratan con más rigor los ingresos de ZEC desde direcciones blindadas

Aquí está el punto en el que el caso te toca en la práctica. Muchos centros de negociación comprueban de dónde vienen los pagos entrantes. Un ingreso cuyo historial no se puede reconstruir resulta difícil de clasificar para un departamento de cumplimiento, y un saldo blindado es exactamente eso. Algunas casas no aceptan por ello ningún ingreso procedente de direcciones blindadas; otras exigen justificantes del origen antes de liberar el saldo.

De ahí se deriva una regla de prudencia sencilla, ajena a este ataque y que sin embargo se hace visible con él: si quieres transferir ZEC a una plataforma, aclara antes de qué tipo de dirección procede tu pago y si tu proveedor lo acepta. Y si retiras ZEC de una plataforma, anota la operación con fecha e importe mientras la plataforma siga mostrándote los datos. Para documentar las fechas de compra y de venta que necesitas para el plazo de tenencia existen programas fiscales y de seguimiento de cartera que las registran automáticamente.

La autocustodia sigue permitida, la cotización en plataformas no

Conviene despejar aquí un malentendido extendido. La norma europea a partir de julio de 2027 no te prohíbe poseer Zcash. Lo que se prohíbe es que los proveedores autorizados sigan ofreciéndolo. Mantenerlo, custodiarlo uno mismo y transferirlo directamente a otra persona sigue siendo lícito. Lo que desaparece es la vía cómoda de la cuenta en un proveedor europeo.

Quien quiera conservar ZEC más allá de 2027 acaba por tanto casi inevitablemente en la autocustodia. Qué aparato sirve, qué modelos admiten Zcash y cuánto cuestan está en nuestra comparativa de carteras hardware. Lo decisivo es la compatibilidad con direcciones blindadas: no todos los aparatos ni todos los programas de monedero saben manejarlas, y un aparato que solo conoce direcciones transparentes te priva justamente de la propiedad que da sentido a Zcash.

El plazo es generoso. Hasta julio de 2027 quedan más de 21 meses y no hay motivo para las prisas. Sí lo hay para no dejar la mudanza para las últimas semanas, porque entonces llegarán todos a la vez.

Zcash y el depósito Ironwood: cómo proceder ahora

1. Aclara dónde están tus ZEC y en qué tipo de dirección. Un saldo en una cuenta de plataforma te pertenece solo como derecho de crédito frente a esa plataforma, y es precisamente ese derecho el que entra en la norma a partir de julio de 2027. Si quieres pasar a la autocustodia, comprueba en la comparativa de carteras hardware qué aparato admite direcciones Zcash blindadas.
2. Averigua bajo qué supervisión trabaja tu proveedor. Quien ya está en una casa autorizada en la UE conoce las restricciones pronto y de forma ordenada, por lo general con plazos y una posibilidad de canje. El panorama de los exchanges de criptomonedas regulados muestra quién forma parte de ese grupo.
3. Guarda tus justificantes de compra antes de mover nada. Para el plazo de tenencia de un año previsto en el artículo 23 de la ley alemana del impuesto sobre la renta cuenta la fecha de adquisición, y un traslado a tu propio monedero no es una venta. Aun así tienes que poder acreditarlo, razón por la cual un programa fiscal y de seguimiento de cartera debería importar los datos antes de la mudanza.

Lo que queda del miércoles es una prueba y no una conjetura: la vía hacia el depósito blindado está abierta, se utiliza y sustrae el importe afectado al seguimiento por la cadena. La mayor parte de los ZEC sustraídos sigue a la vista. Para tu cartera hoy no cambia nada; para la pregunta de dónde tendrás tus ZEC dentro de dos años, cambia mucho.

Fuentes para ampliar: el informe de CoinDesk sobre las tres transferencias y el texto del Reglamento (UE) 2024/1624 con su artículo 79.

(30 de septiembre de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)