Gopax ha apagado la luz. El exchange surcoreano suspendió el viernes los depósitos y el trading después de recibir un correo con una amenaza de hackeo y, como medida preventiva, ha empezado a trasladar todos los activos de sus clientes a monederos fríos. Hasta ahora no se ha reportado ninguna pérdida.
El calendario de la jornada fue rápido. A las 14:55 hora local cayeron los servicios estándar de depósito y retirada; a las 15:53 se detuvo el trading. Con la plataforma en pausa, todas las órdenes que estaban abiertas quedaron canceladas. Algunas informaciones locales apuntan a que los depósitos ya se han restablecido, pero los retiros a través de la web y de la aplicación siguen cerrados.
Para el cliente, la consecuencia práctica es una cola. Quien quiera sacar sus monedas de Gopax no puede hacerlo con un botón: tiene que solicitarlo al centro de atención al cliente, donde cada petición se procesa a mano tras una verificación interna. Es más lento, y es exactamente el intercambio que la compañía dice estar haciendo para que los saldos no se muevan sin control.
Qué ha cerrado Gopax y cómo se saca el dinero ahora
La decisión de fondo es la del cold storage, o almacenamiento en frío: monederos que se mantienen desconectados de internet, a diferencia de los monederos calientes que usan los exchanges para procesar los envíos de los clientes. Al pasar todo el saldo a frío, Gopax reduce la superficie a la que puede llegar cualquiera que consiga entrar en sus sistemas conectados. En Corea del Sur los exchanges están obligados desde hace tiempo a mantener al menos el 80% del cripto de sus clientes en almacenamiento frío. El movimiento de esta semana empuja a Gopax todavía más lejos de la red.
Conviene subrayar una cosa: la amenaza no está verificada. Un portavoz de la compañía explicó a la agencia Yonhap que el correo procedía de alguien que afirmaba poder hackear el exchange, pero que la propia amenaza no ha podido confirmarse. La dirección no ha fijado fecha para reanudar el trading ni los retiros ordinarios.
Gopax tampoco llega limpio a esta semana. Desde principios de septiembre ha lidiado con accesos anómalos a algunas cuentas de usuario que filtraron datos personales de siete clientes y de dos empleados actuales o antiguos, con nuevas filtraciones confirmadas el mes pasado. La empresa trata ese episodio como un asunto separado del correo recibido el viernes; ningún vínculo entre ambos ha sido confirmado.
Un correo sin verificar ha bastado para parar un exchange entero. En cripto, la confianza se rompe antes por el acceso que por el código.
Una semana de sustos: de Binance a Mercado Bitcoin
El bloqueo aterriza en un momento en el que la seguridad de las plataformas está bajo el foco. A finales de octubre, unos atacantes vaciaron, según los datos difundidos por la propia compañía, alrededor de 6.340 millones de dólares de monederos calientes de Binance, en lo que la plataforma describió después como una campaña de meses que arrancó con una falsa entrevista de trabajo. El FBI ha vinculado ese robo con Corea del Norte. Binance ha reabierto los retiros por fases y sostiene que cubrirá las pérdidas de los clientes con fondos propios.
En paralelo, el brasileño Mercado Bitcoin congeló depósitos y retiros esta misma semana tras su propio incidente de seguridad, con estimaciones preliminares de transferencias sospechosas cercanas a los 40 millones de dólares. Y la Comisión de Servicios Financieros de Corea del Sur lleva meses apretando a las plataformas domésticas tras una oleada de incidentes informáticos en entidades financieras.
Lo que este caso dice de tus monedas en un exchange
El expediente de Gopax es distinto sobre el papel: no hay drenaje confirmado, solo una amenaza y un cierre preventivo. Y ahí está la lectura que me parece más útil para el inversor medio. Un exchange no es un banco. Cuando depositas bitcoin en una plataforma, quien controla las claves es la plataforma; tú tienes un derecho sobre el saldo, no la llave. Si esa plataforma se apaga, tu saldo sigue existiendo, pero tu acceso depende de que alguien atienda el correo, verifique tu identidad y firme la salida.
Ya hemos visto esta película. En noviembre de 2022, la quiebra de FTX dejó a cientos de miles de clientes esperando años para recuperar una parte de su dinero. El caso Mt. Gox, el exchange japonés que colapsó en 2014, tardó una década en empezar a devolver fondos a sus acreedores. La diferencia con Gopax es que aquí la plataforma ha actuado antes de que hubiera daño visible. La similitud es la misma de siempre: la ventana en la que el usuario no puede hacer nada.
Hay dos preguntas que resolverán el asunto. La primera es operativa: si Gopax termina el traslado a frío y vacía la cola de retiros manuales sin incidencias. La segunda es informativa: si la amenaza era real o solo un farol que ha costado días de operativa. Ninguna de las dos tiene respuesta hoy.
Para quien tenga monedas ahí, la recomendación no es heroica ni original: iniciar la solicitud de retirada cuanto antes si necesita liquidez, guardar el justificante de la petición y desconfiar de cualquier mensaje que, en nombre de la plataforma, pida claves o códigos de verificación. Los incidentes de este tipo son terreno abonado para el phishing, el fraude que suplanta a una entidad para quedarse con tus credenciales. Nadie del soporte de Gopax va a pedirte la frase semilla por correo.
El sector lleva una década prometiendo que la seguridad se resuelve con tecnología. Los últimos diez días demuestran que también se resuelve con procedimientos: quién tiene las llaves, cuánto tarda en firmarse una salida, y qué pasa cuando el que amenaza no ha demostrado nada. Eso no se arregla con una actualización de software.
