• El atacante de Bitget intercambió un estimado de 6,3M de dólares en ETH por BTC vía THORChain.
• 2.746 ZEC, con un valor aproximado de 3,9M, ingresaron al pool blindado Ironwood de Zcash el 30 de septiembre.
• El movimiento de ZEC equivale aproximadamente al 15% de los 18.917 ZEC robados en el hack del 24 de septiembre.
Fondos robados divididos en dos rutas
Una cartera del atacante vinculada al hack del 24 de septiembre de la exchange Bitget ha comenzado a convertir los fondos robados en Bitcoin (BTC), y hasta ahora la pista se encuentra en registros públicos. Los datos on-chain muestran que se intercambiaron aproximadamente 6,3 millones de dólares en Ethereum (ETH) por BTC a través de THORChain, un protocolo de puente entre cadenas que liquida intercambios de activos entre redes separadas. A diferencia de la segunda ruta que el atacante abrió, esta deja un registro público completo: tanto el ETH que entra en los contratos del intercambio como el Bitcoin que sale de ellos son observables en la cadena. No se ha reportado ningún movimiento adicional del BTC intercambiado, lo que deja una reserva latente de vendedor para la oferta de Bitcoin y, por extensión, el panorama de precios del Bitcoin (BTC). El miércoles se abrió un segundo canal, más difícil de rastrear. Entre las 08:15 y las 08:46 UTC del 30 de septiembre, 2.746 ZEC, con un valor estimado de 3,9 millones de dólares en ese momento, se movieron en tres tandas separadas hacia Ironwood, el pool blindado más nuevo en Zcash, una red de prueba de trabajo que admite tanto transacciones transparentes como blindadas. La cantidad representa aproximadamente un 15% de los 18.917 ZEC que se estima que la cartera del atacante recibió en la brecha. El detective on-chain ZachXBT marcó primero el movimiento de ZEC, informando que los fondos pasaron por dos direcciones intermedias que recibieron ZEC de billeteras que Bitget ha identificado como controladas por el atacante. Bitget ha estimado sus pérdidas por el hack en aproximadamente 387,5 millones de dólares y afirma que está persiguiendo la recuperación de los fondos robados, aunque no ha divulgado cuánto de ese total, si es que algo, se ha recuperado hasta ahora. El patrón observado desde el jueves sugiere una estrategia dividida: una parte del botín se canalizó mediante intercambios públicos entre cadenas; otra parte se empujó hacia herramientas de privacidad diseñadas para romper la trazabilidad.
Dentro de la piscina blindada Ironwood
La piscina Ironwood de Zcash funciona, en la práctica, como infraestructura para pagos privados en cadena: una vez que entra ZEC, emisor, destinatario y monto de la transacción quedan ocultos de la vista pública. Los investigadores aún pueden medir cuánta ZEC cruza desde una dirección transparente hasta la piscina, y pueden medir qué sale si los fondos más tarde vuelven a direcciones públicas, comparando tiempos de entrada y salida, montos y otros metadatos. Lo que Zcash no revela es la ruta de la transacción que conecta un depósito específico con un retiro específico. Ese vacío es la razón por la que los 2.746 ZEC que entraron en Ironwood el miércoles por la mañana no pueden rastrearse como una transferencia estándar en una cadena transparente: las monedas se confirman dentro de la piscina, pero su siguiente movimiento, cuando ocurra, solo se manifestará como un monto de salida no atribuido. Los metadatos de tiempo siguen siendo el principal recurso forense; si eventualmente la ZEC sale en incrementos que imitan los lotes del depósito, los montos vuelven a ser públicos incluso sin una ruta de enlace. La ruta de THORChain utilizada antes dejó la huella opuesta. El intercambio estimado en 6,3 millones de dólares que drenó el saldo de la red Ethereum del atacante hacia BTC registró ambas etapas en libros públicos, lo que permitió a los investigadores reconstruir el flujo en su totalidad. Las dos rutas ahora enmarcan el problema de seguimiento: los fondos dentro de Ironwood están en la sombra; los fondos movidos a través de THORChain son visibles, pero quedan dispersos en Bitcoin; y aproximadamente 16.200 ZEC, el saldo de la ZEC robada, no ha sido reportado como movido en absoluto. Si reaparecen bloques de ZEC de gran tamaño desde la piscina blindada es el detalle del que dependerán los esfuerzos de recuperación. Para los lectores que evalúan el riesgo de plataforma tras una filtración de esta magnitud, nuestra guía sobre los mejores exchanges cripto explica los controles de custodia y de pruebas de reservas que vale la pena ejecutar.
Lo que no se ha contado
La lectura de COINOTAG que se desprende del registro en cadena es una estructura de blanqueo basada en visibilidad asimétrica: una ruta intercambia transparencia por velocidad, y la otra intercambia trazabilidad por silencio. Ambas cifras son estimaciones provisionales, no totales auditados. A la fecha del miércoles, 2.746 ZEC, aproximadamente el 15% de la ZEC robada, está confirmado dentro de Ironwood, mientras que unas 16.200 ZEC no tienen movimiento reportado y no se ha divulgado ningún destino para los aproximadamente 6,3 millones de dólares en BTC producidos por los intercambios de THORChain. Hasta que la piscina blindada se abandone o Bitcoin reaparezca en un libro mayor transparente, la parte recuperable de la pérdida estimada de 387,5 millones de dólares de Bitget sigue siendo una incógnita abierta.