Hackeo de WazirX por 235 millones: Recovery Tokens sin reembolso garantizado

1. Cuando la pantalla y la carga útil no coincidieron

El 18 de julio de 2024, un ciberataque afectó una billetera multifirma de WazirX y sustrajo activos que la empresa valoró en más de 230 millones de dólares. Elliptic estimó unos 235 millones repartidos entre más de 200 activos —incluidos Shiba Inu, Ether, Matic y Pepe— y observó al atacante intercambiarlos por Ether en servicios descentralizados.^[1][2]

Según la compañía, la billetera usaba la custodia de Liminal desde febrero de 2023 y tenía seis firmantes: cinco de WazirX y uno de Liminal. Una operación exigía tres aprobaciones de WazirX mediante hardware Ledger y la autorización final de Liminal, dentro de Gnosis Safe y con destinos en lista blanca.^[1]

El informe preliminar de WazirX situó el origen del fallo en la discrepancia entre lo visualizado por los firmantes y los datos reales procesados:^[1]

El ciberataque se debió a una discrepancia entre los datos mostrados en la interfaz de Liminal y el contenido real de la transacción.^[1]

— WazirX, Informe preliminar: Ciberataque a la billetera multifirma de WazirX (18 de julio de 2024)

2. Cuatro millones de acreedores y un balance

WazirX sospecha que la carga útil (payload) fue sustituida para transferir el control de la billetera al atacante, aunque esto constituye una hipótesis corporativa y no una resolución judicial firme. La plataforma suspendió los retiros y el comercio, calificando el suceso como fuerza mayor. La atribución se mantuvo en el análisis técnico: Elliptic vinculó el ataque a actores norcoreanos, y una declaración conjunta de enero de 2025 de Estados Unidos y la República de Corea atribuyó el robo de 235 millones a la RPDC "sobre la base de un detallado análisis de la industria".^[1][2][3]

El 27 de agosto de 2024, Zettai Pte Ltd —entidad constituida en Singapur que opera WazirX— solicitó una moratoria ante el Tribunal Superior de Singapur, obteniendo una suspensión automática de demandas por 30 días para diseñar un plan de reestructuración por acuerdo (Scheme of Arrangement).^[4]

Según la solicitud, salvo depósitos en fideicomiso para organismos policiales, más de 4,4 millones de usuarios eran acreedores quirografarios. El plan los vincularía tras votación y homologación. Persistían una disputa de propiedad con Binance y, según la empresa, pasivos superiores a los activos.^[4][10]

El principio rector fue la estricta distribución proporcional de pérdidas (pro-rata) entre todos los acreedores quirografarios del mismo rango, recibiendo cada uno activos remanentes equivalentes a su cuota. La sección 210(3AB) de la Ley de Sociedades de Singapur exige mayoría simple de votantes y al menos el 75% del valor monetario representado, paso previo a la homologación judicial.^[4][5]

3. Medio billón de dólares rebalanceado

El ejemplo oficial de Zettai fijó las reclamaciones totales en 546 millones de dólares al 18 de julio de 2024 a las 13:00 IST. El plan separó activos líquidos netos para distribución cercana de activos ilíquidos o robados cuya recuperación tomaría tiempo.^[7][2][4]

En enero de 2025, la empresa estimó una recuperación equivalente al 85,25% (variación de hasta 0,5%), pagadera en tókenes dentro de 10 días hábiles desde la vigencia; los de baja liquidez se liquidarían en parte en USDT. Los depósitos posteriores al ataque se devolverían íntegros. La cifra era indicativa, no un compromiso.^[6]

El resto se reflejó en 1.000 millones de Recovery Tokens asignados a prorrata sobre 546 millones de dólares en reclamaciones. Representan participación en activos ilíquidos y robados: no son dinero ni se canjean a la vista. Cada trimestre, si el valor recuperado libre de cargas alcanza 10 millones, una parte financia recompras; de lo contrario se acumula.^[7][4]

Se incorporó un reparto de beneficios: el 100% de los beneficios de la empresa irá a los acreedores hasta cubrir una reserva de costes de 30 millones de dólares, y luego el 50% durante 36 meses o hasta recomprar todos los Recovery Tokens. Esta estructura fue homologada judicialmente, sin garantizar un retorno absoluto.^[4]

4. Sí, no y sí de nuevo

La primera votación se celebró del 19 al 28 de marzo de 2025 en Kroll. Según datos verificados por un evaluador independiente de Alvarez & Marsal, participaron 141.476 acreedores que representaban 195,65 millones de dólares en créditos aprobados; el 93,1% de votantes y el 94,6% del valor respaldaron el plan, superando el umbral legal.^[5]

Sin embargo, el 4 de junio de 2025, el Tribunal Superior de Singapur denegó la homologación en el procedimiento HC/SUM 940/2025. Cointelegraph y The Hindu informaron de que las objeciones se centraban en el encaje regulatorio de los Recovery Tokens bajo el nuevo marco de proveedores de servicios de tókenes digitales (DTSP).^[8][11]

Cuando las reglas de la FSM Act 2022 entrarían en vigor el 30 de junio de 2025, Zettai modificó el plan para que Zanmai Labs gestionara distribución y operaciones. El tribunal anuló su rechazo y permitió otra votación. Del 30 de julio al 6 de agosto, 149.559 acreedores con 206,89 millones de dólares participaron; el 95,7% por número y 94,6% por valor aprobaron.^[4][8]

El fundador de WazirX, Nischal Shetty, valoró el resultado como una ratificación del proceso:^[8]

Que una segunda ronda de votación arroje cifras tan contundentes es un testimonio de que nuestro enfoque de reestructuración ha sido justo, transparente y la opción más rápida para que los usuarios recuperen sus fondos.^[8]

— Nischal Shetty, fundador de WazirX (comunicado de prensa de agosto de 2025, según informó The Hindu)

5. Homologado, en vigor y aún sin reembolso total

El 13 de octubre de 2025, Zettai anunció que el Tribunal Superior de Singapur homologó oficialmente el plan modificado con modificaciones; Cointelegraph informó que despejaba la vía para indemnizar a más de 150.000 usuarios. La orden se inscribió en el registro mercantil (ACRA) el 15 de octubre, fecha en que el plan bajo la sección 210 cobró plena vigencia.^[9][11][10]

Nischal Shetty calificó la homologación como un hito por su rapidez:^[9]

La homologación representa un hito fundamental en la trayectoria de WazirX, ya que constituye una de las reestructuraciones más rápidas en la industria cripto global, a pesar de haber sufrido uno de los mayores ciberataques en la historia de este sector.^[9]

— Nischal Shetty, fundador de WazirX (comunicado de prensa del 13 de octubre de 2025)

La plataforma reabrió bajo custodia de BitGo. Decrypt informó que el 24 de octubre volvió con comisiones cero, cerca del 25% de los tókenes habilitados cada día y retiros en INR ya activos; la emisión de Recovery Tokens aún se preparaba conforme al plan.^[9][12]

La primera distribución representó una estimación del 85,25% del valor de las reclamaciones; el director de Mudrex declaró a Decrypt que "el déficit residual del 15% sigue siendo un motivo de preocupación", usuarios reportaron recibir menos de lo esperado y el Tribunal Superior de Delhi ordenó a Zettai aportar sus acuerdos con Binance. Los Recovery Tokens no son dinero líquido: su negociación dependerá de requisitos regulatorios y las recompras están sujetas a recuperaciones y beneficios inciertos. En los libros contables, los 235 millones sustraídos permanecen como un derecho no liquidado proyectado al futuro.^{[12][6][7][9]}