¿Es seguro Bybit? Lo que el hackeo de 2025 realmente indica

Qué ocurrió realmente en febrero de 2025

El 21 de febrero de 2025, Bybit estaba realizando una transferencia interna rutinaria, moviendo Ethereum de un monedero frío a un monedero caliente usado para las operaciones diarias. La transferencia requería que varios ejecutivos de Bybit la firmaran usando Safe{Wallet}, un monedero de contrato inteligente multifirma de terceros muy utilizado. Los firmantes revisaron lo que parecía una transferencia normal, la aprobaron, y aproximadamente 401,000 ETH salieron hacia direcciones que ellos no controlaban.

Esta es la parte que la mayoría de la cobertura mediática entiende mal, y que importa si usted está evaluando cuán seguros estarían sus propios fondos. La criptografía del monedero frío no se rompió y los propios servidores de Bybit no fueron vulnerados. Dos investigaciones forenses independientes, de Sygnia y Verichains, no encontraron pruebas de que la infraestructura de Bybit hubiera sido comprometida. En su lugar, los atacantes habían comprometido una máquina de desarrollo perteneciente a Safe{Wallet} y usaron ese acceso para servir JavaScript malicioso desde la interfaz del monedero en app.safe.global. El código era condicional, y solo se activaba para el objetivo específico, así que los usuarios normales de Safe no vieron nada inusual. Mostró una transacción a los firmantes de Bybit y envió otra distinta, y después se eliminó minutos más tarde para cubrir el rastro de los atacantes.

En otras palabras, esto fue un fallo de firma ciega. Los firmantes aprobaron lo que su pantalla les decía que estaban aprobando, y su pantalla mentía. Esa es una debilidad real y grave, y Bybit la asumió como la parte que firmó. Pero es una debilidad distinta de una custodia de claves descuidada o de un empleado que se marcha con una clave privada, y dice cosas distintas sobre el exchange. También implicó a toda una práctica del sector y no solo a una empresa: en aquel momento, muchas grandes instituciones firmaban transferencias de alto valor de la misma manera.

El robo fue atribuido públicamente por el FBI a actores vinculados al Estado norcoreano, el grupo habitualmente descrito como Lazarus Group. Los fondos se blanquearon rápidamente a través de mixers y puentes entre cadenas. Bybit lanzó un programa de recompensas que ofrecía el 10% de todo lo recuperado, y más tarde emprendió acciones civiles. Aun así, la recuperación ha sido escasa, y a fecha de agosto de 2026 la mayor parte del dinero se ha perdido. La vía judicial puede congelar activos que los investigadores logren identificar, pero una congelación no es lo mismo que los fondos volviendo a la parte que los perdió. Dé por hecho, cuando lea sobre cualquier gran robo cripto, que el dinero no vuelve.

Cómo respondió Bybit, y si se compensó por completo a los usuarios

Primero, las retiradas nunca se detuvieron. En las horas posteriores a que el robo se hiciera público hubo una estampida bancaria, exactamente lo que cabría esperar. Bybit procesó más de 350,000 solicitudes de retirada, y declaró haber completado el 99.9% de ellas en aproximadamente diez horas. Las salidas acumuladas en los días siguientes ascendieron a miles de millones. Sí se formó una cola, y Bybit lo reconoció en su momento en lugar de limitarla en silencio. El director general Ben Zhou declaró durante la estampida que alrededor del 70% de las solicitudes se habían resuelto en las primeras dos horas, que algunos usuarios esperarían unas horas, y que la congestión de la red todavía podía retrasar las transferencias. Lo que no ocurrió es la parte que importa: las retiradas nunca se suspendieron, no apareció ninguna ventana de mantenimiento de emergencia, y el atraso se resolvió en aproximadamente doce horas. Compare eso con el patrón de fallo habitual en este sector, donde primero se apaga el botón de retirada y el anuncio llega días después.

Segundo, el agujero se cubrió rápido. Bybit cerró el hueco de ETH en aproximadamente 72 horas usando una combinación de compras en el mercado abierto, préstamos puente y grandes depósitos de contrapartes, incluidas Galaxy Digital, FalconX y Wintermute. La empresa que realiza sus certificaciones de prueba de reservas, Hacken, informó después de que los principales activos, incluidos BTC, ETH, SOL, USDT y USDC, habían vuelto a estar por encima de una ratio de colateralización del 100%.

Tercero, los clientes no sufrieron ningún recorte. No hubo pérdida socializada, ningún recorte estilo ADL aplicado a los saldos al contado, ninguna conversión de las reclamaciones de los usuarios en un token de recuperación. La pérdida se absorbió en el propio balance de Bybit, financiada en parte con deuda. Ese es un dato significativo, y es el argumento más sólido a favor de Bybit.

Ahora la advertencia honesta. A los usuarios se les compensó por completo porque Bybit era lo bastante grande como para absorber una pérdida de $1.4 mil millones y porque las contrapartes estuvieron dispuestas a prestarle dinero. Eso fue un resultado de capacidad, no una garantía legal. No hay ningún sistema de seguro de depósitos detrás de un exchange de criptomonedas en ningún lugar del mundo, y nada en las condiciones de su cuenta habría obligado a nadie a cubrirle.

Con quién contrata realmente: Bybit EU o la entidad offshore

Con qué entidad contrata cambia completamente la respuesta, según su domicilio.

«Bybit» no es una sola empresa. Si usted está en el Espacio Económico Europeo, la entidad con la que contrata es Bybit EU GmbH, una empresa con sede en Viena que tiene una autorización como proveedor de servicios de criptoactivos de la autoridad financiera de Austria bajo MiCA, concedida por una decisión fechada el 28 de mayo de 2025 y pasaportada a 29 Estados del EEE. Si usted está fuera del EEE, en cambio, está tratando con una entidad offshore del grupo, y la licencia austriaca no le sirve de nada. Qué entidad es esa ha cambiado con los años, así que lea el nombre en las propias condiciones de su cuenta en lugar de confiar en una lista. Bybit Fintech Limited, el nombre que aparece en las acciones regulatorias más antiguas contra el grupo, no es una suposición segura. La Comisión de Servicios Financieros de las Islas Vírgenes Británicas declaró públicamente en 2023 que la empresa, constituida allí en agosto de 2018, había sido dada de baja del registro de las BVI en diciembre de 2021, fue disuelta en julio de 2023, y nunca había tenido licencia en el territorio para servicios financieros en absoluto. El banco central holandés seguía nombrando esa entidad cuando multó al grupo en octubre de 2024, que es exactamente la razón por la que merece la pena leer la entidad escrita en las condiciones de su propia cuenta. El robo de febrero de 2025 afectó a la operación global del grupo, no a la entidad austriaca.

Las consecuencias prácticas de esa división son grandes. El periodo transitorio de MiCA terminó el 1 de julio de 2026, y el 29 de junio de 2026 Bybit anunció que restringiría progresivamente a los residentes del EEE los servicios en la plataforma global y los trasladaría a Bybit EU, que está pasaportada a 29 Estados del EEE pero no a Malta. Bybit dijo que los usuarios afectados recibirían primero aviso y plazos, y que conservarían el acceso a los saldos y posiciones existentes para poder liquidarlos en lugar de que algo quedara congelado. Bybit EU se lanzó con trading al contado, margen al contado, productos Earn y la Bybit Card. No se lanzó con futuros perpetuos, opciones ni la gama de derivados apalancados por la que Bybit es más conocida. Llevar eso a Europa es una solicitud distinta en una empresa distinta: Bybit X GmbH, una entidad austriaca diferente de Bybit EU GmbH, solicitó a la FMA austriaca el 5 de septiembre de 2025 una licencia de empresa de inversión bajo la trasposición austriaca de MiFID II, que es el marco normativo bajo el que se sitúan los derivados cripto. A fecha de agosto de 2026, esa licencia no se había concedido, así que los usuarios europeos no tienen acceso a esos productos.

Si usted llegó a esta página porque quiere Bybit para derivados o copy trading, y vive en el EEE, ese es el hecho que decide su respuesta. La pregunta de seguridad se vuelve irrelevante, porque el producto que quería no está disponible para usted a través de la entidad autorizada. Algunos competidores ya han resuelto esto: Kraken, por ejemplo, tiene una autorización MiCA a través del Banco Central de Irlanda junto con una autorización MiFID independiente vía CySEC, que es lo que permite a una plataforma europea ofrecer derivados de forma legal. Esa es una ventaja genuina frente a Bybit en Europa a fecha de agosto de 2026. Bitvavo es otra opción europea consolidada, aunque es una plataforma al contado y no de derivados.

Los usuarios fuera del EEE obtienen la gama completa de productos y, a cambio, protecciones más débiles. Compruebe las condiciones de su cuenta para ver qué entidad figura en ellas.

Dónde está regulada Bybit, y dónde esa palabra pesa menos de lo que parece

A los exchanges offshore les gusta enumerar licencias, y la mayoría de esas licencias son más limitadas de lo que sugiere la palabra. Merece la pena separar las que importan de las decorativas.

La autorización MiCA austriaca es la real. MiCA impone requisitos sobre segregación de activos de clientes, gobernanza, gestión de reclamaciones, responsabilidad de custodia y divulgación, y una autoridad europea puede actuar contra la empresa. Bybit EU está autorizada para un subconjunto de los servicios de criptoactivos de MiCA y no para todos ellos, y no cubre los derivados, que son instrumentos financieros y se sitúan bajo MiFID y no bajo MiCA. El brazo de pagos de Bybit, Bybit Payments GmbH, recibió una licencia de entidad de dinero electrónico de la FMA austriaca bajo la Ley de Dinero Electrónico de 2010, anunciada el 4 de agosto de 2026, que es relevante para los servicios de tarjeta y pago, no para la negociación.

En los EAU, Bybit trasladó su sede a Dubái en 2022, tiene licencia de la Autoridad Reguladora de Activos Virtuales de Dubái, y en octubre de 2025 obtuvo una licencia de Operador de Plataforma de Activos Virtuales de la Autoridad de Valores y Materias Primas de los EAU. Son autorizaciones genuinas en una jurisdicción con un régimen real de activos virtuales, pero no crean ningún sistema de compensación y no ayudarán a un usuario en Brasil o Vietnam.

El historial regulatorio no está inmaculado, y usted debería sopesarlo. El 22 de octubre de 2024, el banco central holandés, De Nederlandsche Bank, multó a Bybit Fintech Limited con €2,250,000 por ofrecer servicios cripto en los Países Bajos sin el registro legalmente exigido, cubriendo un periodo que llegaba hasta septiembre de 2023. En enero de 2025, la Unidad de Inteligencia Financiera de la India impuso una sanción de unas ₹9.27 crore, aproximadamente $1 millón, por operar sin registro bajo la ley india contra el blanqueo de capitales; Bybit pagó, se registró, y reanudó el servicio allí más adelante en 2025. El regulador de mercados francés había incluido antes a Bybit como proveedor no autorizado, y fue retirada de esa lista a principios de 2025.

El patrón es constante y merece nombrarse sin rodeos: Bybit ha operado repetidamente primero en mercados y se ha regularizado después, pagando multas cuando la han pillado. Desde 2024 se ha movido de forma decidida hacia la obtención de licencias. Las dos mitades de esa frase son ciertas, y cuánto peso le dé a cada una es una cuestión de criterio, no un hecho.

Prueba de reservas: útil, y más limitada de lo que suena

Bybit publica certificaciones de prueba de reservas, verificadas por un tercero, con una cadencia regular, usando un árbol de Merkle para que cada usuario pueda comprobar que su propio saldo estaba incluido en la instantánea. Después del hackeo, la certificación de Hacken confirmó que los principales activos habían vuelto a estar por encima del 100% de colateralización. Eso es más transparencia de la que ofrecían la mayoría de los exchanges antes de 2022, y merece la pena comprobarlo antes de depositar.

También se sobrevende con frecuencia, así que aquí está lo que no le dice.

Un informe que muestra una cobertura de unos pocos puntos por encima del 100% para BTC es una afirmación sobre un activo en un momento dado, verificada por una empresa usando datos que suministró el propio exchange. Es un detector de humo útil, no una garantía ni un seguro.

• Es una instantánea de un único momento. Los activos presentes el día de la certificación pueden moverse al día siguiente.
• Solo cubre los activos incluidos en esa evaluación. Cualquier cosa fuera de los tokens enumerados no está verificada.
• No muestra los pasivos fuera de balance: deudas, préstamos puente, exposición a litigios u obligaciones con contrapartes. Un exchange puede estar sobrecolateralizado en tokens y aun así tener problemas.
• No dice nada sobre la exposición a derivados, las pérdidas no realizadas en las posiciones propias de la plataforma, o el riesgo operativo.

El fondo de seguro no le asegura a usted

Este es el elemento que más consistentemente se malinterpreta en cualquier exchange de derivados, y el nombre tiene toda la culpa. Bybit mantiene un fondo de seguro para sus contratos de futuros. Mucha gente lo interpreta como una protección para su dinero. No lo es.

El fondo existe para absorber patrimonio negativo. Cuando una posición apalancada se liquida a un precio peor que su precio de quiebra, la pérdida supera el margen depositado por el trader y alguien tiene que cubrir el déficit para que la contraparte ganadora cobre en su totalidad. Ese es el trabajo del fondo. Se financia con aportaciones de Bybit más el excedente de las liquidaciones que se cierran mejor que el precio de quiebra, y Bybit ha añadido fondos segmentados para contratos recién listados y carteras correlacionadas para aumentar la capacidad de absorción de pérdidas.

Lea de nuevo ese mecanismo desde su propio punto de vista. Para cuando el fondo de seguro se vuelve relevante para su posición, su margen ya ha desaparecido. El fondo protege la integridad de liquidación de la plataforma y al trader que está al otro lado de usted. No le reembolsa a usted, no limita sus pérdidas, y no tiene ninguna relación con su saldo al contado ni con un incidente de seguridad como el robo de febrero de 2025.

Detrás del fondo de seguro está el auto deleveraging. Si las pérdidas por liquidación en condiciones extremas superan lo que el fondo puede cubrir, el sistema ADL de Bybit cierra por la fuerza posiciones en beneficio del lado contrario, empezando por las más apalancadas. Si usted está en el lado correcto de un movimiento violento, el ADL puede terminar su operación ganadora al precio del sistema y no al suyo. Los fondos segmentados de Bybit están diseñados para que eso sea más raro, y sigue siendo un riesgo real en un mercado rápido.

El resumen sencillo: ningún fondo de seguro de un exchange de criptomonedas, en Bybit o en cualquier otro sitio, es un seguro de depósitos. No existe un equivalente de la garantía bancaria de depósitos de €100,000 de la UE ni del FSCS del Reino Unido para las criptomonedas mantenidas en un exchange.

Apalancamiento y liquidación, explicados sin rodeos

En la plataforma global, Bybit ofrece hasta 100x de apalancamiento en sus contratos perpetuos más líquidos, como BTC y ETH, con el máximo reduciéndose en pares más pequeños y encogiéndose todavía más a medida que el tamaño de su posición sube por los niveles de límite de riesgo. Las posiciones se mantienen en una Cuenta de Trading Unificada que puede funcionar con margen aislado, cruzado o de cartera, y la liquidación se activa según el precio de referencia y no el último precio negociado, lo cual evita que una sola operación fina le cierre la posición.

Nada de esa ingeniería cambia la aritmética. Con 100x de apalancamiento, un movimiento del 1% en su contra elimina el margen que respalda la posición. En qué modo de margen esté usted decide entonces cuánto más queda expuesto. Bajo margen aislado, la pérdida se limita al margen que asignó a esa posición. Bajo margen cruzado o de cartera no es así, y una sola mala operación puede llevarse con ella el resto del saldo de esa cuenta, así que estos productos pueden hacerle perder más de lo que usted decidió conscientemente arriesgar. La liquidación no es un aviso, es el cierre de la posición, y en mercados rápidos el deslizamiento entre el disparador y la ejecución real significa que puede perder todo el margen en una operación que se habría recuperado minutos después. Las tarifas de financiación en los perpetuos le cobran de forma continua solo por mantener una posición.

El apalancamiento alto no hace por sí mismo que un exchange sea inseguro, y no es una trampa oculta. Es simplemente la forma más habitual en que la gente pierde dinero en plataformas como esta, mucho más habitual que ser hackeado. Cualquier respuesta honesta a «es seguro Bybit» tiene que poner eso en proporción: estadísticamente, los productos apalancados son una amenaza mucho mayor para su saldo que la seguridad del exchange que lo mantiene. Operar con derivados cripto pone en riesgo su capital. Esta página no es asesoramiento de inversión y no puede decirle si algún producto es adecuado para usted.

Retiradas, retenciones de cumplimiento y cuentas congeladas

El historial de retiradas de Bybit durante su peor semana fue excelente, y eso merece peso. Día a día, las retiradas suelen ser rápidas, con procesamiento on-chain normalmente en una hora una vez superadas las comprobaciones de seguridad.

La queja recurrente contra Bybit no son los pagos lentos sino las congelaciones por cumplimiento. Busque en cualquier plataforma de reseñas y encontrará usuarios describiendo cuentas restringidas sin aviso, fondos inaccesibles durante una revisión de cumplimiento, sin motivo indicado, sin fecha de finalización indicada, y tickets de soporte que avanzan despacio. Algunas de estas siguen a depósitos rastreados hasta fuentes sancionadas o de alto riesgo. El Reino Unido incluyó al exchange HTX bajo sanciones el 26 de mayo de 2026, y desde entonces los usuarios han reportado retenciones en transferencias relacionadas con él, incluidos usuarios que no habían hecho nada malo a sabiendas.

Hay que decir dos cosas con honestidad sobre esa evidencia. Las muestras de quejas son autoseleccionadas, porque nadie escribe una reseña para contar que su retirada funcionó bien. Y las retenciones de cumplimiento ocurren en todas las plataformas con KYC del mundo, ya que son una obligación legal y no una preferencia comercial. Lo que sí es justo criticar es la opacidad.

Tenga también cuidado con de quién acepta consejos aquí. Existe toda una industria de empresas de «recuperación de fondos» que se promociona precisamente a partir de estas quejas, y tiene un interés comercial en hacer que las congelaciones de exchanges parezcan a la vez universales y reversibles a cambio de una tarifa. Trate esas fuentes como publicidad.

• Mantenga en el exchange solo lo que está usando activamente, y traslade las tenencias a largo plazo a un monedero que usted controle. Nada de lo que mantiene en un exchange está asegurado, que es la lección de febrero de 2025 repetida.
• Active la autenticación de dos factores con una aplicación de autenticación en lugar de SMS, configure una lista blanca de direcciones de retirada, y use un código antiphishing para poder reconocer los correos genuinos.
• Complete la verificación por completo antes de depositar nada significativo, para que una laguna de KYC no pueda dejarle fondos atrapados más adelante.
• Evite recibir depósitos de contrapartes desconocidas, operaciones entre particulares con desconocidos o fondos de origen poco claro, que es el desencadenante más habitual de una retención de cumplimiento.

KYC y restricciones por país

La era de Bybit sin verificación ha terminado. La verificación de identidad de al menos nivel estándar es ahora obligatoria en todos los productos y servicios de Bybit, y una cuenta no verificada no puede operar, depositar o retirar de forma significativa. La verificación estándar normalmente significa un documento de identidad oficial más una comprobación de vida, y se resuelve en un día para los casos sencillos. Los niveles de verificación más altos elevan los límites de retirada y, para la entidad del EEE, son simplemente un requisito legal.

La cobertura por país cambia a menudo, así que compruébelo en la página de registro en lugar de confiar en cualquier lista que lea en internet, incluida esta. Como panorama general en 2026: Bybit no atiende a Estados Unidos, y no está disponible o está restringida en China continental, Singapur y Canadá, entre otros. El Reino Unido es un caso distinto y a menudo se reporta desactualizado. Bybit volvió al Reino Unido el 19 de diciembre de 2025, tras dos años de ausencia, a través de un acuerdo con Archax, una empresa autorizada por la FCA que aprueba y supervisa sus promociones financieras. Eso no es un registro de la FCA para la propia Bybit. Los usuarios del Reino Unido tienen trading al contado en más de 100 pares además de operaciones entre particulares, y sin derivados ni productos apalancados. Los residentes del EEE son atendidos por Bybit EU y no por la plataforma global. Usar una VPN para sortear una restricción de país es una buena forma de que le congelen la cuenta justo en el momento en que intente retirar, y las condiciones permiten exactamente eso.

Registrarse mediante un enlace o código de referido no cambia nada de lo anterior. Una recompensa de registro es un coste de marketing, no una característica de seguridad, y no compensa el riesgo de custodia, el riesgo de liquidación ni la posibilidad de una restricción de cuenta. La recompensa estándar de Bybit es una pequeña cantidad de Bitcoin para ambas partes una vez cumplidas las condiciones, y esas condiciones cambian con regularidad. Juzgue primero el exchange.

Entonces, ¿es seguro Bybit? Una respuesta calibrada

La pregunta genuinamente interesante es si un exchange que fue vulnerado y compensó por completo a sus usuarios es más seguro o más arriesgado que uno que nunca ha sido puesto a prueba. No hay una respuesta limpia, pero sí hay una defendible.

Lo que el incidente demostró, y sí lo demostró, es que Bybit tenía el capital, las líneas de crédito y la disciplina operativa para absorber el mayor robo de la historia de los exchanges sin tocar los saldos de los clientes ni suspender nunca las retiradas. Muy pocos exchanges podrían haber hecho eso, y la mayoría de los que quebraron en 2022 detuvieron las retiradas mucho antes de llegar a pérdidas de esa magnitud.

Lo que el incidente también demostró es que una transferencia de $1.4 mil millones fue autorizada por humanos mirando una pantalla que un portátil comprometido de un tercero podía manipular, y que el dinero está esencialmente perdido. Sobrevivir a una pérdida no es lo mismo que ser poco propenso a sufrirla. La respuesta del sector, alejándose de la firma ciega hacia la verificación independiente de transacciones, la confirmación por hardware de los detalles de la transferencia, la custodia basada en MPC y la liquidación fuera del exchange, es un progreso genuino, pero es un progreso que está haciendo todo el sector y no un foso que haya construido un exchange concreto.

Así que la posición calibrada es esta: Bybit hoy es una opción razonable entre los grandes exchanges offshore, con una transparencia mejor que la media, una disposición demostrada a absorber una pérdida en lugar de trasladarla, y una licencia europea real para los usuarios del EEE. No es un lugar seguro para guardar ahorros, porque ningún exchange lo es, y los riesgos de custodia, contraparte y congelación por cumplimiento están todos vivos y ninguno está asegurado.

La respuesta práctica depende de quién sea usted. Si es residente del EEE y quiere trading al contado, Bybit EU es una opción regulada legítima bajo las mismas normas de MiCA que sus competidores autorizados, así que compare comisiones y cobertura de activos en lugar de angustiarse por el hackeo. Si vino por los perpetuos o el copy trading y vive en el EEE, Bybit actualmente no puede atenderle, y una plataforma con permisos tanto de MiCA como de MiFID es el sitio más útil donde mirar. Si está fuera del EEE y quiere derivados apalancados, Bybit es una de las plataformas más líquidas y con mayor profundidad disponibles, y usted está aceptando riesgo de contraparte offshore sin ningún regulador detrás. En todos los casos, mantenga en el exchange solo el saldo que su operativa realmente requiere.

Preguntas frecuentes