En la primavera de 2021, el mayor oleoducto de combustible de la costa este de EE. UU. quedó paralizado durante varios días, y se formaron colas en las gasolineras. La causa no fue un atentado terrorista ni un accidente, sino una línea de código malicioso. La empresa pagó a los extorsionadores un rescate de 75 bitcoin, convencida de que el dinero se disolvería para siempre en las oscuras profundidades de la blockchain. Un mes después, la mayor parte se había recuperado. Este caso es una demostración breve pero contundente del principio que comentamos en el caso anterior: incluso un rescate en criptomonedas es rastreable, y recuperable.
▶ Videocaso: Colonial Pipeline (voz en español).
El 7 de mayo de 2021 el grupo de hackers DarkSide (que operaba desde Rusia) cifró las redes de Colonial Pipeline, el operador del oleoducto que abastecía de combustible a una parte importante de la costa este de EE. UU. El ataque de ransomware paralizó a la empresa: para no arriesgar la seguridad, el operador se vio obligado a detener el flujo de combustible.
Las consecuencias fueron mucho más allá de un incidente informático. Las interrupciones en el suministro de combustible desataron pánico, colas en las gasolineras y subidas de precios, un caso poco frecuente en el que un ciberataque golpeó directamente la vida cotidiana de millones de personas. Fue precisamente la magnitud de este golpe lo que convirtió el caso de Colonial Pipeline en un procedimiento ejemplar: el Estado tenía motivos para responder de forma sonora y visible.
Bajo la presión de las circunstancias, la empresa tomó una decisión que los expertos en seguridad por lo general no recomiendan, pero que en una crisis parecía la única salida rápida: pagar el rescate. Colonial Pipeline transfirió 75 BTC a los extorsionadores, unos 4,4 millones de dólares en aquel momento.
Desde el punto de vista de DarkSide se trataba de un esquema bien afinado: cifrar infraestructura crítica, exigir un rescate en bitcoin —"irrastreable", como muchos creen— y desaparecer. La lógica de los extorsionadores se apoya en la suposición de que la criptomoneda es anónima y de que el dinero recibido no puede rastrearse ni recuperarse. El caso de Colonial Pipeline demolió públicamente esa lógica.
Lo que ocurrió después fue algo que los extorsionadores no esperaban. El FBI no "buscó el dinero en la darknet": en su lugar, los investigadores hicieron exactamente lo que la blockchain permite: rastrearon el movimiento del rescate por el registro público, transacción a transacción, monedero a monedero.
Pero rastrear el recorrido es solo la mitad del trabajo. Como ya sabemos por la historia de Bitfinex, ver las monedas en la blockchain y obtener el control sobre ellas son cosas distintas. Una transferencia de bitcoin no puede deshacerse; para incautar las monedas se necesita una clave privada. Y aquí la investigación tenía una baza decisiva: acceso a la clave privada de un monedero perteneciente a un afiliado (socio) del grupo DarkSide. El modelo de ransomware como servicio funciona de tal manera que a menudo el ataque no lo lleva a cabo el propio grupo "cabecilla", sino su socio afiliado, que recibe una parte del rescate. Fue al monedero de exactamente uno de esos afiliados al que se accedió.
Con la clave en la mano, los investigadores, por orden judicial, incautaron unos 63,7–69,6 BTC, aproximadamente 2,3 millones de dólares, es decir, una parte significativa del rescate pagado. Para el mundo de la ciberextorsión, donde el dinero pagado se consideraba tradicionalmente irremediablemente perdido, este fue un punto de inflexión.
"Today we turned the tables on DarkSide."
— Lisa Monaco, fiscal general adjunta de EE. UU.
Esta breve frase —"le dimos la vuelta a la tortilla"— capta con precisión la esencia del caso. Los extorsionadores contaban con que las reglas del juego estuvieran de su parte: cripto anónima, infraestructura cifrada, una víctima indefensa. Pero resultó al revés: la propia criptomoneda que consideraban un escondite fiable se convirtió en la prueba y en el canal para recuperar el dinero.
El caso de Colonial Pipeline se recuerda a menudo al hablar del mito de la criptomoneda "irrastreable". Analicemos qué lecciones ofrece al especialista en verificación de monederos.
Primera: un rescate de ransomware es un flujo de dinero rastreable. A diferencia de un maletín de efectivo que pasa de mano en mano, un rescate en cripto queda registrado para siempre en la blockchain. Esto significa que los fondos vinculados a campañas de extorsión conocidas acaban en bases de datos de etiquetas y listas de sanciones. Un monedero que recibió monedas de una fuente así lleva una "huella dactilar" tóxica, y una verificación AML competente está obligada a verla.
Segunda: la velocidad de respuesta ha crecido. Fíjate en los plazos. En el caso de Bitfinex pasaron seis años entre el robo y la incautación. Aquí pasaron meras semanas desde el ataque del 7 de mayo hasta el anuncio de la recuperación. Las herramientas de análisis de blockchain y la coordinación entre investigadores e industria han alcanzado un nivel en el que el dinero "caliente" puede rastrearse casi en tiempo real.
Tercera: la clave sigue siendo el punto de control. Como en el caso de Bitfinex, la recuperación física de los fondos solo fue posible gracias al acceso a la clave privada. La blockchain es inmutable: una transferencia no puede "revertirse". La única forma de hacerse realmente con las monedas es obtener el control sobre las claves del monedero donde se encuentran. Esto subraya una vez más por qué en el cumplimiento normativo es tan importante entender quién controla las claves de una dirección determinada.
Hemos examinado dos casos en los que el rastro condujo a criminales y socios individuales. En el siguiente caso de estudio el adversario será de otra categoría: un grupo de hackers estatal de todo un país: cómo Lazarus robó 625 M$ a través del puente Ronin.
Los hechos se presentan a partir de fuentes abiertas. Los materiales tienen fines educativos.