Mt. Gox: el hackeo que perdió 850.000 bitcoins

¿Qué pasó con Mt. Gox? Mt. Gox, un exchange con sede en Tokio por el que pasaba la mayor parte del comercio mundial de bitcoin hacia 2013, detuvo los retiros en febrero de 2014 y se declaró en quiebra el 28 de febrero de 2014. Le faltaban unos 850.000 bitcoins, cerca del 7 % de todos los que existían entonces. Más tarde aparecieron unos 200.000 BTC; los clientes empezaron a recibir pagos recién en julio de 2024, más de diez años después.

Al principio, Mt. Gox no era un banco, ni un fondo, ni siquiera un exchange de verdad. Su nombre significa "Magic: The Gathering Online eXchange": un sitio para intercambiar cartas de un juego de fantasía. En algún punto entre los dragones y los magos, terminó custodiando una buena parte de todos los bitcoins del mundo. ¿Qué podría salir mal?

¿Cómo un sitio de cartas se volvió un gigante del bitcoin?#

El programador Jed McCaleb registró mtgox.com en 2007 para intercambiar cartas. En 2010 convirtió el sitio abandonado en un exchange de bitcoin y en 2011 se lo vendió a Mark Karpelès, un desarrollador francés que vivía en Japón. Bitcoin era diminuto y casi nadie más ofrecía una forma sencilla de comprarlo, así que Mt. Gox creció muy rápido. En 2013 manejaba cerca del 70 % de todas las operaciones de bitcoin del mundo.

La tecnología y la empresa no crecieron al mismo ritmo. Los clientes se quejaban de retiros que tardaban semanas, y el código del exchange se había escrito para un sitio de aficionados, no para una de las mayores montañas de dinero digital del planeta.

Cronología#

¿A dónde fueron los bitcoins?#

Al principio, Mt. Gox culpó a una particularidad técnica de bitcoin llamada transaction malleability. Los investigadores independientes contaron una historia menos halagadora. En 2015, la empresa de seguridad WizSec, de Tokio, concluyó que la mayoría o la totalidad de las monedas faltantes habían sido robadas directamente de la hot wallet del exchange, poco a poco, desde fines de 2011, y que Mt. Gox no lo notó durante años porque sus propios registros no coincidían con lo que de verdad había en sus billeteras.

Piénsalo: a un exchange lo pueden robar durante más de dos años y aun así mostrarle a cada cliente un saldo perfecto en la pantalla. El número de tu cuenta es solo una línea en la base de datos del exchange. Si detrás hay monedas reales es otra pregunta.

Los fiscales de Estados Unidos vincularon después las monedas robadas con el ruso Alexander Vinnik y el exchange BTC-e, que según ellos las lavó. Vinnik se declaró culpable en EE. UU. en 2024 de conspiración para lavar dinero, y en febrero de 2025 fue enviado de vuelta a Rusia en un intercambio de prisioneros. En 2023, EE. UU. acusó además a otros dos ciudadanos rusos del hackeo en sí; están acusados, no condenados, y se cree que están en Rusia.

Karpelès siempre negó haber robado las monedas. En 2019, un tribunal de Tokio lo absolvió de malversación, pero lo condenó por manipular registros electrónicos para inflar los fondos de la empresa y le impuso una pena suspendida.

¿Los clientes recuperaron su dinero?#

En parte, y muy despacio. Como el precio de bitcoin subió muchísimo mientras el caso se alargaba, las monedas restantes pasaron a valer mucho más que las reclamaciones originales. En 2018, un tribunal japonés cambió la quiebra por un proceso de rehabilitación civil, que permitía pagar a los clientes en bitcoin y no en yenes a precios de 2014.

El administrador tenía unos 142.000 BTC para repartir. Los pagos empezaron por fin en julio de 2024. En 2025 el administrador informó que los pagos básicos, anticipados e intermedios estaban "prácticamente completados" para los acreedores con los trámites en regla. A octubre de 2026, todavía conserva unos 34.000–35.000 BTC para quienes no terminaron el proceso, y el plazo oficial es el 31 de octubre de 2026. Ya se había aplazado tres veces, así que cuando se escribió esta lección no se sabía si se extendería otra vez.

La mayoría de los clientes recuperó solo una fracción de los bitcoins que tenía en 2014, pero como bitcoin se había vuelto tanto más valioso, muchos terminaron con más dinero del que perdieron medido en dólares de 2014. Un final feliz bastante extraño que tardó una década.

Señales de alerta que se podían ver#

• Retiros que tardaban semanas. Cuando sacar tu dinero se vuelve lento y lleno de excusas, puede que el exchange no lo tenga. Es la señal de alerta más antigua y fiable de todo este curso.
• Un solo exchange con casi todo el mercado. Tamaño no es seguridad. Mt. Gox era el más grande, y por eso el blanco más grande.
• Nadie revisaba las reservas desde afuera. Nadie comprobó que las monedas que los clientes veían en pantalla existieran. Hoy algunos exchanges publican una prueba de reservas; no es perfecta, pero es mejor que nada.
• Una operación de aficionados. Código de hobby, una sola persona clave y ninguna auditoría: así no se cuidan cientos de millones.
• Monedas en el exchange durante años. Quien las retiró a su propia billetera no perdió nada.

De eso se trata la autocustodia. El curso de custodia segura te guía paso a paso; empieza por exchange o billetera propia.

Mitos comunes#

• "A Mt. Gox lo hackearon en un solo gran ataque." Según los investigadores, las monedas se fueron escapando durante años. El exchange simplemente no se dio cuenta.
• "Los clientes no recibieron nada." Recibieron una parte, en bitcoin, desde 2024: muy tarde, pero no nada.
• "Eso fue al principio, hoy no puede pasar." Las herramientas son mejores, pero el problema de fondo – confiar tus monedas a una empresa – es el mismo, como mostró FTX en 2022.

Fuentes#

• Administrador de Mt. Gox – anuncios oficiales (se abre en una pestaña nueva)
• Decrypt – Mt. Gox aplaza los pagos hasta octubre de 2026 (2025) (se abre en una pestaña nueva)
• Decrypt – Mt. Gox mueve bitcoins antes del plazo de pagos (2026) (se abre en una pestaña nueva)
• France 24 – Alexander Vinnik vuelve a Moscú tras un intercambio de prisioneros (2025) (se abre en una pestaña nueva)