Sanciones contra Tornado Cash: cuando el código cayó bajo sanciones
Las sanciones suelen imponerse a personas, empresas o países — a quienes se puede arrestar, multar o coaccionar para algo. Pero en el verano de 2022 Estados Unidos hizo lo que nunca antes había hecho: añadió un programa a la lista de sanciones. No una persona, no una firma, sino un conjunto de contratos inteligentes — código autónomo que funciona por sí solo en la blockchain. Así comenzó la historia de Tornado Cash — un caso que entrelazó el lavado de los miles de millones de Lazarus, una disputa fundamental sobre el derecho a la privacidad y la "zona gris" legal en la que seguimos hasta hoy.
▶ Caso en vídeo: las sanciones a Tornado Cash (voz en español).
Agosto de 2022: una decisión sin precedentes
En agosto de 2022 la OFAC (la Oficina de Control de Activos Extranjeros del Tesoro de EE. UU.) impuso sanciones a Tornado Cash — el mezclador más conocido de la red Ethereum. Ya hemos examinado la mecánica de los mezcladores: Tornado acepta depósitos en denominaciones fijas (0.1 / 1 / 10 / 100 ETH), los mezcla en un fondo común y permite retirar los fondos a una nueva dirección, rompiendo criptográficamente el vínculo "entrada↔salida".
La singularidad de las sanciones no estaba en qué se sancionaba, sino en qué es el objeto de las sanciones. Tornado Cash no es una empresa con oficina y director. Es un conjunto de contratos inteligentes autónomos que, una vez publicados, funcionan por sí solos, sin un operador al que se pudiera "apagar". Por primera vez en la historia, un contrato inteligente cayó bajo sanciones en lugar de una persona o una organización. Esto planteó una pregunta a la que aún no hay una única respuesta: ¿cómo se sanciona un código que no responde ante nadie y que no se puede ni arrestar ni detener?
El contrato inteligente de Tornado Cash en un explorador de blockchain: depósitos uniformes de denominación fija y una etiqueta de sanciones. Es precisamente este tipo de código autónomo el que se convirtió en objeto de las sanciones de la OFAC.
La conexión con Ronin: por qué precisamente Tornado
Las sanciones contra Tornado Cash no surgieron de la nada. Como vimos en el caso de Ronin, fue precisamente a través de Tornado Cash que el grupo Lazarus lavó los $625M robados. El mezclador era un eslabón clave en la cinta de lavado de los hackers norcoreanos — y también en sus otras operaciones. Desde el punto de vista de EE. UU., una herramienta utilizada sistemáticamente para lavar el dinero del grupo cibernético estatal de un régimen hostil representa una amenaza a la seguridad nacional, con independencia de si se trata de un operador "vivo" o de código autónomo.
Ronin $625M y otros
lavado en un fondo común
agosto de 2022: código en la lista SDN
La disputa sobre la privacidad: dos verdades
Aquí el caso deja de ser puramente técnico y se convierte en una disputa filosófica que dividió a la comunidad. El problema con Tornado Cash es que la privacidad es una herramienta de doble filo.
De un lado está el mal evidente: el mezclador está idealmente adaptado para lavar el botín, y Lazarus lo usó activamente. Del otro lado, la privacidad tiene usos completamente legítimos. La naturaleza pública de la blockchain no es solo una bendición para los investigadores, sino también un problema para el usuario común: si alguien conoce tu dirección, ve todo tu saldo y todo tu historial de transacciones. No todo el mundo quiere que su salario, sus donaciones o sus compras sean visibles para el mundo entero.
El argumento más conocido en defensa de tal uso lo formuló Vitalik Buterin, cofundador de Ethereum. Declaró públicamente que él mismo usó Tornado Cash para donaciones anónimas a Ucrania. La lógica es sencilla: si hubiera donado desde una dirección abierta vinculada a su nombre, podría haber expuesto a los destinatarios y ponerlos en riesgo. Este es un ejemplo vívido del hecho de que la privacidad la necesitan no solo los delincuentes, sino también personas con motivos completamente legales.
Vitalik Buterin reconoció públicamente que usó Tornado Cash para donaciones anónimas a Ucrania — como ejemplo de un uso legítimo de la privacidad.
— la posición pública de Vitalik Buterin (paráfrasis)
Surge así un dilema que no tiene solución sencilla. Prohibir la herramienta por completo significa castigar a los usuarios legítimos por los pecados de los delincuentes. Permitirla significa dejar abierto un canal de lavado para Lazarus. Es precisamente sobre esta contradicción donde descansa toda la incertidumbre jurídica en torno a los mezcladores.
2024: el tribunal limita las sanciones
La vulnerabilidad jurídica de la decisión de la OFAC se manifestó en los tribunales. Las sanciones contra código autónomo desencadenaron demandas: los críticos argumentaban que no se puede sancionar un programa del mismo modo que se sanciona a una persona o una empresa, ya que un contrato inteligente no tiene un "dueño" al que apliquen las restricciones, y que esto afecta a los derechos de los usuarios respetuosos de la ley.
En 2024 un tribunal limitó parte de las sanciones, delimitando esa misma "zona gris" legal. Esto no significa que el lavado se haya vuelto legal de repente, sino una cuestión más sutil: si los mecanismos de sanciones existentes son aplicables, en su forma original, al código autónomo. El límite exacto entre "sancionar una organización" y "sancionar líneas de código" resultó ser jurídicamente poco claro — y esta disputa continúa.
Qué significa esto para la práctica del screening
El caso de Tornado Cash es la conclusión ideal para la sección sobre casos de gran repercusión, porque enlaza casi todo lo que hemos estudiado.
- Mezclador = riesgo máximoUn historial de dinero cortado hace que el origen no se pueda confirmar; en compliance, lo desconocido se interpreta en contra del cliente.
- Las sanciones pueden apuntar al códigoEl objeto de las sanciones puede no ser una persona sino un contrato inteligente — un sistema AML está obligado a reconocer contratos sancionados, no solo "carteras de personas".
- La privacidad es una zona gris legalExisten usos legítimos (el ejemplo de Buterin), un tribunal en 2024 limitó parte de las sanciones, pero el riesgo práctico de un mezclador permanece.
- El contexto importa más que la etiquetaLa misma herramienta la usan tanto Lazarus como el donante a Ucrania — pero para el AML lo que importa es el hecho de que el historial queda cortado, no las intenciones de un usuario concreto.
Qué llevarse de esta lección
- PrecedenteAgosto de 2022: la OFAC sancionó un contrato inteligente (Tornado Cash) por primera vez, en lugar de a una persona o una empresa.
- La conexión con RoninFue precisamente a través de Tornado Cash que Lazarus lavó los fondos robados — y esto se convirtió en el pretexto para las sanciones.
- La disputa sobre la privacidadVitalik Buterin reconoció haber usado Tornado para donaciones anónimas a Ucrania — un ejemplo de un uso legítimo.
- La zona grisEn 2024 un tribunal limitó parte de las sanciones; la cuestión jurídica de las sanciones contra código autónomo sigue abierta, pero el riesgo del mezclador para el AML no.
Con esto cerramos el bloque de casos modernos. En el siguiente caso real regresaremos a los orígenes — al colapso del exchange Mt.Gox en 2014 y a la historia de cómo investigadores independientes, a lo largo de años, desentrañaron pieza por pieza la desaparición de 850,000 bitcoin.
Los hechos se presentan a partir de fuentes abiertas. Los materiales tienen fines educativos.