Sigue el dinero: cómo desaparecen las criptomonedas robadas on-chain

La llamada se produce a las cuatro de la madrugada y la persona al otro lado respira como si llevara nueve horas sin exhalar. Seis horas antes, de una billetera multifirma perteneciente a un exchange de tamaño mediano se retiraron aproximadamente cuatro millones de dólares en USDT, y el individuo que firmó las transacciones fraudulentas —llamémosle M— se encuentra actualmente en un apartamento alquilado con las ventanas cerradas, viendo cómo su propio delito se reproduce en un explorador de bloques. Cualquier persona con un navegador puede ver cada transacción, cada transferencia y cada decimal. Su novia podría hacerle una auditoría, su barbero podría hacer lo mismo y, lo que es más alarmante, también podría hacerlo un detective anónimo de internet que ha derribado a equipos mucho más profesionales que el suyo.

M no es estúpido, como se ve. Entendió el smart contract del que se aprovechó, sabía qué hot wallet tenía autoridad excesiva y programó el retiro para que coincidiera con un período en el que el equipo de monitoreo del exchange probablemente operaba con el personal mínimo. Lo que no anticipó —algo de lo que casi todos los ladrones primerizos no se dan cuenta— es que el acto real de robar el dinero era la parte fácil. Entre las siete direcciones que utilizó y el poder llevar una vida normal se interpone un sistema que existe enteramente para garantizar que personas como él nunca lo logren.

La primera mención del incidente aparece en las redes sociales a los noventa minutos; no proviene del exchange —ya que todavía están preparando su disculpa—, sino que la publica un investigador on-chain que cuenta con una gran cantidad de seguidores y que, al parecer, no necesita dormir. Esta persona proporciona las etiquetas de las direcciones, lleva a cabo un análisis temporal y plantea una explicación plausible del ataque. M lee esto dos veces y deduce por sí mismo lo que sucederá en su propio futuro. No tiene contactos entre los banqueros y no podría volar a Dubái con un teléfono que contiene hot wallets. Lo único que necesita es un especialista, y al amanecer ya se ha puesto en contacto con uno.

El aspecto de ese hilo que inquieta a M más que el análisis en sí es que el investigador no solo etiquetó al exchange, sino que también incluyó las propias direcciones como un añadido de última hora. En los viejos tiempos, un robo a un banco tardaba semanas antes de generar el retrato robot de un sospechoso. En este caso, sin embargo, el boceto se publicó antes de que la bóveda terminara de cerrarse. Dado que el exchange estaba en pánico y era consciente de su imagen pública, es muy probable que anuncie una recompensa: una parte de todo lo que se recupere, que se pagará a cualquiera que proporcione información que conduzca a congelar los fondos. Tras su brecha de mil millones de dólares, Bybit hizo exactamente eso, ofreciendo una recompensa del diez por ciento que provocó que todo internet se convirtiera en un operativo de vigilancia por delegación. Ahora, cada cazador de recompensas con un portátil tiene un incentivo financiero para reconocer el dinero de M antes de que M pueda gastarlo. Sus millones robados no solo lo han convertido en un fugitivo, sino también en el objetivo de una cacería humana abierta y autofinanciada en la que el cartel de «se busca» se actualiza en tiempo real.

El especialista —es decir, el intermediario o «fixer»— no lleva a cabo ningún hackeo, y es este mismo hecho lo que lo hace tan valioso. Lo que produce no es un robo, sino el olvido. Se compromete a sacar el dinero de la economía visible de la blockchain y luego hacer que reaparezca de forma sencilla: como dinero fiat en una jurisdicción que nadie vigila, como una factura de consultoría o como un negocio con ingresos aparentemente legítimos. Su comisión empieza en el diez por ciento y aumenta a medida que la situación se complica. Y aunque M había pensado que el diez por ciento era una extorsión, pronto se dará cuenta de que es, de hecho, solo la tarifa más baja de lo que está a punto de sucederle.

La blockchain de cristal

La paradoja que hace que la noche de M sea tan larga es esta: las criptomonedas se presentaron al mundo como una forma de tecnología de privacidad, cuando en realidad son el tipo de dinero menos privado que jamás se haya inventado. El dinero en efectivo casi no deja rastro: cuando un billete cambia de manos, olvida a todas las personas con las que ha estado en contacto. Una blockchain, por el contrario, recuerda todo y guarda un registro de todas las personas con las que se encuentra, junto con marcas de tiempo, para siempre. La seudonimia no es lo mismo que el anonimato; es anonimato con un temporizador, esperando un momento de descuido para dejar a alguien al descubierto.

Los investigadores aprovechan un pequeño número de fallas estructurales inherentes, y es importante entenderlas, ya que estas fallas explican por qué el blanqueo de capitales tiene que ser tan complicado. Si dos direcciones se financian como parte de la misma transacción, lo más probable es que pertenezcan al mismo controlador: esto se conoce como la heurística de gasto conjunto (co-spend heuristic) y es, con diferencia, la regla más eficaz en la ciencia forense on-chain. Los patrones observados en las direcciones de cambio revelan hábitos: una billetera que divide sistemáticamente sus salidas en las mismas proporciones inusuales una y otra vez está, en efecto, firmando su propio comportamiento. El hecho de que se hagan depósitos en un exchange a las 3 a.m. hora local muestra la zona horaria de una persona, del mismo modo que las huellas muestran qué tipo de zapato es. Todo esto se puede hacer sin necesidad de una orden judicial; lo único que se requiere es paciencia, ya que el registro contabiliza cada transacción.

Esa es la razón por la que el fixer no puede limitarse a transferir el dinero a una nueva billetera y quedarse satisfecho. Una nueva dirección es como un disfraz más que una nueva identidad. Los fondos tienen que romper todas las cadenas deductivas: las que conectan el robo con el primer salto, las cadenas que unen los saltos entre sí y las cadenas que conectan los saltos con personas. Cada una de estas rupturas implica dinero, tiempo o ambos, y toda la destreza del fixer reside en saber cuáles de estas rupturas son estructurales.

M también pasa por alto el lado humano del asunto. La blockchain no solo está bajo la vigilancia de la policía, sino también de aficionados, periodistas, grupos de víctimas y cazadores de recompensas, todos los cuales tienen estándares éticos diversos. De hecho, los más famosos de estos individuos han forjado una carrera por sí mismos y han ganado una reputación que vale millones de dólares en términos de prestigio sacando a la luz exactamente el tipo de estratagema que M está intentando comprar en este momento. El fixer es consciente de esto; parte de sus honorarios se debe a que él también está siendo vigilado y a que su propia seguridad operativa tiene que resistir el escrutinio de personas que, para ser sinceros, son mejores en esto que su cliente.

Las primeras setenta y dos horas

El factor tiempo es esencial en este juego, ya que el reloj no perdona en absoluto. El día posterior a un gran robo es el momento más peligroso para el dinero, ya que en algún punto tiene que entrar en contacto con el mundo real. Los exchanges son los principales puntos débiles: cuando las monedas robadas se depositan en una plataforma con custodia, acaban en un edificio donde coexisten oficiales de cumplimiento normativo, la amenaza de citaciones judiciales y una fuerte motivación para cooperar, ya que resulta menos costoso ayudar a la víctima que terminar vinculado al delito. Los emisores de stablecoins también disponen de una opción aún más directa: una función de congelación integrada directamente en el contrato del token. Tether ha congelado a lo largo de los años cientos de millones de dólares en USDT sospechosos, a veces congelando los fondos apenas unas horas después de que se informe de un hackeo.

Desde el principio, el objetivo del blanqueador es salir de la zona controlada antes de que se emitan las órdenes de congelación. El primer paso debe ser centrarse en cualquier dirección que contenga dólares tokenizados, ya que el emisor cuenta con una capacidad remota que puede hacerlos desaparecer; no hay necesidad de una orden judicial ni de negociación alguna, simplemente una transacción que deja inactivo el saldo independientemente de dónde se encuentre. La siguiente prioridad es salir de las cadenas que están más rigurosamente vigiladas por los analistas hacia aquellas que tienen un gran volumen de operaciones, y luego hacia jurisdicciones en las que las contrapartes locales consideran que el papeleo es una cuestión de fe para otras personas. Cuanto mayor sea el retraso, menos vías de salida quedarán.

Es en este contexto donde entra en escena el enfoque industrial de este oficio, siendo el caso de estudio más reciente el mayor robo de criptomonedas registrado. En febrero de 2025, atacantes vinculados al grupo Lazarus de Corea del Norte retiraron aproximadamente mil quinientos millones de dólares del exchange Bybit, una suma que, en cuanto fue sustraída, dejó de ser un simple atraco para convertirse en una operación logística. El dinero se dividió entre miles de nuevas direcciones en cuestión de horas, se convirtió de Ethereum a Bitcoin mediante servicios cross-chain, se canalizó a través de servicios de intercambio instantáneo sin KYC cuyos propietarios declararon más tarde con claridad que solo habían procesado una pequeña cantidad, y luego se envió a intermediarios extrabursátiles (OTC) cuyo modelo de negocio se basa enteramente en no hacer preguntas. Los investigadores, incluidos aquellos que se mantienen bajo seudónimo, rastrearon el dinero en tiempo real, tuit por tuit, y aun así funcionó, en su mayor parte. El mecanismo de congelación de Tether bloqueó una cantidad considerable de los fondos, varios exchanges incautaron pequeñas sumas aquí y allá, uno de los exchanges intermediarios colapsó como resultado del daño a su reputación y cerró, pero la mayor parte del dinero desapareció en la masa monetaria global ordinaria, confirmando así una cruda realidad: cuando el equipo cuenta con una financiación sólida, es paciente y se muestra indiferente a las comisiones, la velocidad importa más que el escrutinio. Cabe destacar que la operación no redujo su ritmo para lidiar con el papeleo; continuó de manera ininterrumpida, incluidos fines de semana y días festivos, porque el aparato estatal que intentaba evitar solo trabaja en horario de oficina.

Si se analiza lo que hicieron los aficionados, se hace evidente una lección moral. La pareja acusada de blanquear el dinero robado en el hackeo a Bitfinex de 2016 conservó gran parte del Bitcoin sustraído durante muchos años, moviéndolo a través de mixers y cuentas de la darknet, pero sin desvincularse nunca por completo de él; por otra parte, cuando los agentes federales finalmente allanaron sus instalaciones en 2022, el Estado pudo confiscar miles de millones de dólares en criptomonedas simplemente presentando unas pocas peticiones judiciales. Es la misma blockchain y el mismo grado de transparencia, pero los resultados fueron opuestos. El problema no radicaba en las herramientas; estaba en su disciplina y, para ser sinceros, en su paciencia. Lazarus concibe el blanqueo como una cadena de suministro; las personas involucradas en el caso Bitfinex lo ven simplemente como almacenamiento. El almacenamiento es el camino que conduce a la detención.

El plan de acción que el fixer ejecuta para M es una versión a menor escala de la misma secuencia, y vale la pena exponerla con claridad, porque cada paso existe para quebrar un método de investigación específico:

1. Dividir el dinero robado entre decenas de direcciones, asegurándose de que no exista ninguna conexión entre ellas en términos de financiación, con el fin de eludir la heurística de co-spend y de agrupación de clusters. 2. Introducir un mixer o uno basado en CoinJoin, o bien emplear una alternativa moderna que implique un swap cross-chain diseñado deliberadamente para ocultar el rastro. 3. Transferir activos de la blockchain utilizando bridges y plataformas de intercambio instantáneo, lo que obliga al investigador a empezar de nuevo y reconstruir el contexto dentro de un nuevo entorno que ofrece análisis distintos. 4. Utilizar Bitcoin por su profundidad y stablecoins por su velocidad, y mantener el valor durante un período de tiempo que coincida con la duración del ciclo de noticias. 5. Recurrir a vías con bajos requisitos de cumplimiento, tales como mesas de operaciones extrabursátiles (OTC), intermediarios privados y el método de utilizar dinero en efectivo en países donde las contrapartes locales no son miembros de ningún club de vigilancia.

Todas las fases implican un coste, una demora y conllevan el riesgo de filtraciones, que es la razón por la que el fixer cobra lo que cobra. Las peel chains —siendo este el método tradicional de enviar dinero a través de cientos de direcciones sucesivas, cada una de las cuales toma una pequeña parte— son prácticamente gratuitas, pero generan los diagramas forenses más llamativos del sector. Aunque los mixers proporcionan un nivel real de ofuscación, ahora se han convertido en zonas prohibidas desde el punto de vista legal; los desarrolladores de un conocido mixer de Bitcoin fueron arrestados en 2024, y Tornado Cash permaneció bajo sanciones estadounidenses durante muchos años antes de que los tribunales obligaran a una revocación parcial en 2025. Las herramientas pueden cambiar de nombre; la economía subyacente sigue siendo la misma. El anonimato es un bien que tiene un precio, y ese precio sube cada vez que un gobierno sanciona a alguien.

Los detectives y la carga de la prueba

Al mismo tiempo, al otro lado del cristal, se escucha un zumbido inusual proveniente de una industria. Las empresas de software de rastreo son capaces de reconstruir automáticamente estas cadenas, agrupando millones de direcciones en entidades con nombre. Estas firmas atienden a diversos clientes, incluidos los exchanges, que buscan mantener fuera el dinero contaminado; los reguladores, que exigen estadísticas; y los organismos policiales, que buscan acusados. También están los individuos independientes, como ZachXBT, que ha dejado al descubierto tramas de robos por valor de cientos de millones de dólares, trabaja en gran parte sin remuneración y se ha convertido de facto en detective privado y conciencia pública. Su vía de influencia no es el poder legal, sino el narrativo: un rastro bien documentado puede dar lugar a que la cuenta de un exchange perteneciente a una mula sea congelada antes de que cualquier fiscal haya tomado medidas.

Esta falta de equilibrio repercute en cada parte del escenario. Aunque los investigadores pueden observar el flujo del dinero casi en tiempo real, el Estado solo se entera más tarde, de forma indirecta. Para que las fuerzas de seguridad tomen medidas —por ejemplo, embargar cuentas bancarias, inmuebles o privar de libertad personal—, un informe de rastreo por sí solo no basta. Se necesitan más pruebas: estas consisten en registros de KYC que vinculen una dirección a un pasaporte, registros del servidor que conecten un pasaporte a un ordenador portátil y declaraciones de testigos que asocien el portátil con una decisión específica. La atribución debe satisfacer el estándar probatorio que rige en un tribunal de justicia, y el proceso de pasar de las observaciones en la blockchain a pruebas admisibles ante un juez es prolongado, varía según la jurisdicción y resulta lento. Un rastreador puede identificar toda la red del fixer en una semana; un fiscal, por el contrario, podría tardar un año entero en actuar basándose en ese mapa, momento para el cual las mulas ya habrán cambiado de teléfono.

El fixer está tan familiarizado con los plazos procesales como cualquier abogado. La tramitación de los tratados de asistencia judicial mutua se desarrolla a una velocidad comparable a la de los procesos geológicos. Las órdenes de incautación solo se aplican a aquello que es accesible, y los elementos accesibles son únicamente los que se encuentran dentro de un exchange que cumpla con la normativa en el instante en que llega la documentación. Su estrategia no es, por lo tanto, intentar adelantar a la blockchain —nadie podría hacer eso—, sino vencer a la burocracia manteniendo su valor en las brechas existentes entre diferentes jurisdicciones hasta que el sistema centre su atención en otra cosa. En este contexto, el delito no es principalmente una infracción de las normas, sino una explotación de sus debilidades más lentas.

Rara vez aparece un elemento psicológico en los informes oficiales. A los rastreadores los motiva algo más fuerte que su salario: una auténtica obsesión, a menudo arraigada en la indignación hacia los estafadores vinculada a vivencias traumáticas y, en ocasiones, en el placer adictivo de ser el primero en detectar el fraude. A los blanqueadores, por el contrario, los impulsa algo más débil que la codicia: simplemente se ven arrastrados por la inercia de su rutina profesional ordinaria. La mayoría de los fixers no se consideran delincuentes, del mismo modo que la mayoría de las personas no se ven a sí mismas como administradores de planes de pensiones; simplemente transfieren valor y las responsabilidades morales asociadas a ese valor corresponden a otra persona. Esta forma de verse a sí mismos —describiéndose como técnicos neutrales y respetables— constituye el pilar fundamental de toda la economía del blanqueo, y los fiscales la están abordando ahora directamente tomando acciones contra los desarrolladores de mixers y los operadores de exchanges en lugar de contra los fantasmas que custodian las claves privadas.

Por qué la máquina nunca se detiene

Cuando uno toma distancia y contempla la historia de M en su conjunto, no parece tanto un escenario criminal como un ecosistema sometido a un proceso metabólico. Cada mejora en la seguridad dificulta el robo, lo que a su vez eleva el nivel de habilidad exigido a los ladrones, lo que a su vez sube el estándar de calidad requerido a los fixers, lo que entonces exige análisis más sofisticados, lo que a su vez demanda un mejor blanqueo, y el ciclo continúa. Corea del Norte ha adoptado este patrón y lo ha convertido en política estatal oficial al financiar su régimen utilizando exactamente los métodos de pago que su audiencia internacional prefiere. Los grupos de aficionados continúan demostrando que los factores humanos —la impaciencia, la codicia y el deseo de gastar— siguen siendo la superficie de ataque más barata posible. Además, las herramientas de privacidad disponibles en una década se convierten en objeto de sanciones en la siguiente.

TRON ocupa una posición bastante singular dentro de este sistema, ya que alberga más USDT que cualquier otra red, lo que significa que se utiliza tanto para las operaciones legítimas más activas como para algunas de las actividades de blanqueo más intensivas del mundo. Debido a que realizar miles de transferencias de USDT en la red resulta costoso si hay que quemar TRX en cada una de ellas, los operadores de transferencias a gran escala —como exchanges, procesadores de pagos y, en efecto, los blanqueadores que gestionan peel chains— han dado con la misma solución: alquilan TRON Energy. Puesto que comprar TRON Energy cuesta solo una pequeña fracción de lo que se pagaría al quemar TRX, o al obtener TRON Energy delegada durante una hora mientras se procesan unos cientos de transferencias, constituye una ingeniería sólida en el lado legítimo del mercado; y es precisamente esta Energy barata de TRON la que hace asequible un esquema de blanqueo a través de cientos de direcciones en el otro lado, razón por la cual los proveedores serios de servicios de Energy ahora verifican a quién están atendiendo. Aquí es donde Netts marca una línea que el resto del mercado de alquiler no traza: utilizando su propia infraestructura de análisis de TRON, ha establecido un perímetro de cumplimiento que incluye más de 28 millones de direcciones bloqueadas —entidades sancionadas, infraestructura de phishing y billeteras vinculadas a hackeos y fondos robados—, y cada solicitud de delegación de Energy se coteja con esta lista en tiempo real, con una capa independiente de Elliptic que se ejecuta detrás de su propio sistema de monitoreo. La razón expuesta es sencilla: los recursos que acaban alimentando la economía del blanqueo no deben proceder de una infraestructura que afirme desconocer cómo es el blanqueo.

Para cualquiera de las personas que se encuentren en el lado honesto de esa línea —es decir, traders, exchanges y servicios de pago—, la conclusión práctica es simple: si deseas transferir USDT en TRON sin tener que gastar TRX, el Netts TRON Energy Market reúne a toda la industria del alquiler en tiempo real y muestra siempre la mejor tarifa de mercado disponible, permitiéndote alquilar Energy al precio más bajo que el mercado ofrece en cada momento; y esto es posible a través de una plataforma que ya es capaz de distinguir la diferencia entre un trader activo y una peel chain en plena actividad.