• Una entidad no identificada de la UE perdió más de 106 millones de dólares de varias cuentas de exchanges el 1 de noviembre.
• Los fondos robados se retiraron en USDC y USDT antes de que comenzara el blanqueo.
• Los ladrones cambiaron USDC por ETH y luego usaron los servicios instantáneos WellWallet y Kyrrex.
Stablecoins retiradas de cuentas de exchanges
El 1 de noviembre salieron más de 106 millones de dólares de las cuentas de exchanges centralizados de una entidad no identificada dentro de la Unión Europea, y el registro on-chain de la salida ya es público. El investigador on-chain ZachXBT publicó el rastro del dinero en una investigación en Telegram la noche del 2 de noviembre. Según escribió, los fondos presuntamente robados se retiraron de varias cuentas de exchanges centralizados en forma de las stablecoins USDC y USDT. Ni la víctima ni ningún tercero han confirmado públicamente el monto o el método, y la identidad de la entidad europea sigue sin revelarse. Lo que muestra el rastreo es una eliminación deliberada de la trazabilidad por etapas. Primero, los responsables convirtieron USDC en Ether, el par más profundo y líquido disponible para ellos en las plataformas de intercambio. Luego, canalizaron el Ether a través de servicios de intercambio instantáneo con requisitos de identidad poco estrictos, entre ellos WellWallet y Kyrrex, servicios concebidos para convertir un activo en otro en cuestión de minutos y sin un expediente de cumplimiento normativo completo. El siguiente salto convirtió las ganancias en Monero (XMR), una blockchain de capa 1 centrada en la privacidad, en la que los montos transferidos y las contrapartes quedan ocultos por diseño. En la etapa final, transfirieron valor entre varias cadenas públicas, siguiendo un patrón omnichain que interrumpe el rastro en cada salto y obliga a cualquier investigador a empezar de nuevo. ZachXBT situó el grueso de los movimientos en un período de aproximadamente 24 horas y describió a los responsables como rápidos. Retirar los fondos en stablecoins también fija el valor del robo en el momento de la retirada, por lo que se puede precisar la cifra de 106 millones de dólares aunque la víctima guarde silencio. Que los fondos se hayan extraído de varias cuentas y no de una sola billetera apunta a una vulneración coordinada de credenciales, en lugar de a la filtración de una única clave, aunque todavía no se ha documentado el vector de entrada. También publicó varias direcciones vinculadas al robo para que los exchanges y los observadores de la comunidad puedan cotejar los depósitos entrantes con sus propios registros.
La ventana de congelación tras la conversión
ZachXBT añadió una segunda conclusión: a juzgar por varias características del lavado, está muy seguro de que el responsable del presunto robo no es Lazarus Group, el grupo norcoreano detrás de una larga serie de ataques a exchanges, y la verdadera identidad del autor sigue sin conocerse. La parte sin resolver del caso es operativa. Si los fondos realmente salieron de varias cuentas en exchanges centralizados, la brecha se produjo en el nivel de las cuentas: los inicios de sesión, las claves API, las listas blancas de retiros y la interceptación de retiros anómalos fallaron antes de que pudieran marcarse las stablecoins. Ese orden importa porque ambos activos en cuestión siguen estando bajo el control de sus emisores. USDC y USDT cuentan con mecanismos de congelación del emisor, y un emisor o una plataforma solo pueden intervenir mientras el valor permanezca en una forma sobre la que puedan actuar. La congelación funciona a nivel del token, es decir, un emisor puede incluir en una lista negra una dirección que tenga el activo; ese mismo poder no sigue a los fondos cuando pasan a Ether o Monero. Cada conversión elimina esa posibilidad: cuando el dinero pasa a Ether, cuando supera un intercambio instantáneo o cuando llega a Monero, la ventana se cierra. Para los exchanges, este episodio pone de relieve la necesidad de compartir más rápido las listas negras de direcciones y reforzar las alertas KYT —el análisis en tiempo real que señala depósitos vinculados a direcciones incluidas en listas negras— entre plataformas; para las instituciones que mantienen grandes saldos en plataformas centralizadas, vuelve a subrayar la importancia de la autenticación multifactor, los periodos de espera para los retiros y la distribución de la custodia entre proveedores. No se ha publicado el desglose exacto de las dos stablecoins dentro del total robado. El suceso también ocurre mientras el propio emisor de USDC está en plena renovación: Circle ha programado para el 1 de diciembre una pausa de CCTP V1, su puente heredado de USDC; la previsión de COINOTAG sobre los resultados del tercer trimestre de Circle (CRCL) sitúa el beneficio por acción en 0,40 dólares, junto con el crecimiento de USDC, y un dato reciente de siete días mostraba una caída de 800 millones en la circulación de USDC. Las herramientas del emisor se están reconstruyendo justo cuando los ladrones demuestran lo rápido que pueden eludirlas.
Una pérdida sin confirmar y un responsable sin identificar
La base probatoria en este caso es la propia cadena: se publicaron direcciones, se documentó el patrón de saltos y se indicó un total, pero la entidad que supuestamente perdió el dinero aún no lo ha confirmado. Nuestra interpretación es que el punto de entrada probablemente estuvo en el nivel de las cuentas, no en una brecha de protocolo, y las medidas correctivas que se desprenden de ello son poco vistosas: renovar las credenciales, auditar las listas blancas y activar en cuestión de minutos la congelación preventiva, porque la conversión a Ether y Monero limita rápidamente el alcance del emisor. El robo de cuentas en plataformas centralizadas también queda fuera de la mayoría de las coberturas de seguros DeFi, que suelen estar diseñadas para exploits de protocolos en cadena, no para credenciales comprometidas. Por ahora, el caso sigue abierto: no se ha identificado al responsable, el rastro pasa por Monero y cruza varios puentes, y ni la víctima ni el monto de la pérdida han sido confirmados de forma independiente.