El hackeo de la hot wallet de Zaif por ¥6.7B: la dirección se marcha, el exchange se vende a FISCO

Zaif, un exchange de Osaka gestionado por Tech Bureau, fue hackeado el 14 de septiembre de 2018: un acceso no autorizado alcanzó el servidor que administraba la hot wallet utilizada para los depósitos y retiradas de clientes, vaciando bitcoin, Monacoin y bitcoin cash por valor de unos ¥6.7 mil millones —aproximadamente $60 millones—, de los cuales ¥4.5 mil millones pertenecían a los clientes. La anomalía se detectó el 17 de septiembre y se reveló el 20 de septiembre; la estimación se revisó posteriormente al alza hasta unos ¥7 mil millones.

La empresa había pasado 2018 en la lista de vigilancia del regulador —la Agencia de Servicios Financieros emitió órdenes de mejora empresarial en marzo y de nuevo en junio—, pero la arquitectura de la hot wallet se mantuvo. Tras el hackeo, la FSA emitió una orden de presentación de informes y pasó a la inspección in situ, y el presidente Takao Asayama y la dirección en funciones dimitieron.

El 10 de octubre, Tech Bureau firmó un acuerdo formal para transferir el negocio de Zaif a FISCO Crypto Exchange y fijó la compensación: BTC y BCH se devolvieron por los mismos importes en especie, mientras que los tenedores de MONA recibieron el 60% en MONA y el 40% restante en yenes a ¥144.548 por moneda —por encima del propio precio de mercado de Zaif, porque el MONA robado era demasiado ilíquido para recomprarlo—. Todo lo que cotizaba en mercados profundos se devolvió íntegro; el único mercado fino se comió un recorte del 40%.

Los servicios se reanudaron por etapas bajo FISCO —la negociación al contado de MONA se reabrió en abril de 2019— y los dos exchanges gestionados por FISCO tenían previsto fusionar sus sistemas a lo largo de 2019.

¥6.7B (~$60M) robados, de los cuales ¥4.5B eran cripto de clientes; los tenedores de MONA asumieron el 40% de su pérdida en yenes

Los activos de los clientes estaban en una hot wallet administrada en un único servidor; una sola intrusión durante una ventana de dos horas bastó para vaciarla.

Los reguladores habían señalado a la empresa dos veces en seis meses, pero las órdenes de mejora cambiaron el papeleo, no la arquitectura que falló.

El mercado fino de MONA hizo que el importe robado no pudiera recomprarse sin mover el precio, por lo que parte de la pérdida se liquidó en yenes —la iliquidez se convirtió directamente en pérdidas para los clientes—.

Una hot wallet en línea es una oferta permanente a los atacantes. Las advertencias regulatorias no cambian nada si la arquitectura se mantiene —y las monedas robadas demasiado ilíquidas para recomprarlas hacen que los usuarios asuman el desfase—.

Bajo FISCO, el exchange reanudó sus servicios gradualmente a lo largo de 2019, con la negociación de MONA relanzada en abril de 2019 y los sistemas del exchange integrados poco después. Los propios ¥2.2 mil millones en activos de Tech Bureau se perdieron con la hot wallet, y su dirección se marchó con la empresa. El propio rescatador no se quedó: en mayo de 2026, FISCO, la matriz cotizada, eliminó las cripto y la blockchain de sus segmentos de negocio y abandonó el sector.