En 2014 el mayor exchange de bitcoin del planeta colapsó, arrastrando consigo aproximadamente 850,000 BTC. El rastro parecía perdido para siempre. Pero la blockchain no olvida nada — y lo que no se pudo desenredar en semanas, lo desenredaron investigadores independientes a lo largo de años, moneda por moneda, transacción por transacción. Esta es una historia sobre la paciencia que se demuestra más fuerte que cualquier cifrado.
A principios de la década de 2010, Mt.Gox era más que un simple exchange — por él pasaba la mayor parte de todo el volumen mundial de bitcoin. La plataforma con sede en Tokio había surgido de un sitio para intercambiar cartas de un juego de mesa (el acrónimo significaba Magic: The Gathering Online Exchange) hasta convertirse en la principal puerta de entrada por la que la gente común compraba y vendía la primera criptomoneda. Cuando cae una infraestructura así, cae con ella la confianza de toda una industria.
En 2014 Mt.Gox colapsó, y se perdieron aproximadamente 850,000 BTC. Parte de las monedas pertenecían al propio exchange, pero la mayor parte era el dinero de decenas de miles de clientes que habían confiado la custodia a la plataforma. A los precios de aquel día esto ascendía a cientos de millones de dólares; a precios posteriores, a decenas de miles de millones. El exchange declaró insolvencia, y la pregunta "¿a dónde fueron las monedas?" quedó flotando en el aire durante años.
Cuando se roba un banco, la indagación sigue el papeleo: cuentas, transferencias, solicitudes a otros bancos. En el caso de Mt.Gox no había ni un punto claro de brecha ni un libro contable ordenado. Las monedas se fueron filtrando gradualmente, durante un largo periodo de tiempo, mezclándose con el volumen legítimo del exchange. La contabilidad interna estaba enredada, y algunos de los movimientos estaban disfrazados como actividad normal de la plataforma. Un auditor clásico se estrellaba aquí contra un muro: podía ver que el dinero había desaparecido, pero no el camino por el que se había ido.
Y es aquí donde entra en escena una propiedad fundamental de la blockchain — la que venimos comentando desde la primerísima sección del curso: un libro público es un registro permanente. Cada transacción realizada alguna vez en la red de bitcoin es accesible abiertamente y nunca desaparece. El problema no es que falten datos — al contrario, hay demasiados. El problema es separar el "hilo" de las monedas robadas de millones de movimientos sin relación y no perderlo en los puntos de ramificación.
El desenredo no lo llevaron a cabo agencias gubernamentales armadas con órdenes judiciales, sino analistas independientes — el equipo de WizSec y el investigador Kim Nilsson. No tenían acceso a servidores internos, ni citaciones judiciales, ni forma de interrogar a testigos. Tenían exactamente la misma herramienta disponible para cualquiera de nosotros: la blockchain abierta y un cerebro que funciona. Y sin embargo fueron precisamente ellos quienes, rastreando el robo pieza por pieza durante años, lograron reconstruir el cuadro.
¿Cómo se ve ese trabajo en la práctica? No es un único destello de inspiración, sino miles de pequeños pasos que suman una ruta. El analista toma las direcciones conocidas del exchange, encuentra el momento en que las monedas empiezan a comportarse "mal", y a partir de ahí sigue la cadena salto a salto, aplicando las mismas técnicas que estudiaste en las secciones sobre rastreo y patrones.
La palabra clave aquí es tiempo. Una investigación como esta no se puede hacer en un fin de semana. Se extiende a lo largo de años, porque el flujo sucio se difumina deliberadamente: se divide, se hace pasar por direcciones intermedias, se mezcla con fondos ajenos. Cada una de esas maniobras añade trabajo para el analista, pero ninguna de ellas borra el registro. Una moneda que ha pasado por cien direcciones deja igualmente cien rastros — simplemente hay que recorrerlos con paciencia.
Años de rastreo no quedaron en un ejercicio abstracto. El hilo de las monedas robadas de Mt.Gox condujo a los investigadores a un punto concreto de cash-out — el exchange BTC-e, una plataforma con procedimientos KYC extremadamente débiles (y en la práctica ausentes) que llevaba tiempo suscitando preguntas entre los observadores de la industria. Y detrás de las operaciones de BTC-e, la investigación acabó llegando a un individuo concreto — Alexander Vinnik, vinculado a la gestión de estos flujos.
Fíjate en la lógica del desenlace. El hackeo tuvo lugar en la blockchain, donde no hay nombres — solo direcciones. Pero para convertir el bitcoin en dinero utilizable, tarde o temprano hay que pasar por un punto donde la cripto se encuentra con el mundo real: un exchange, una casa de cambio, un cash-out a fiat. Ese mismo punto se convirtió en el eslabón débil. Mientras las monedas vagaban entre direcciones anónimas, seguían siendo meros números. En el momento en que intentaron convertirse en "dinero real", el rastro adquirió un nombre.
"Not your keys, not your coins."
— Andreas Antonopoulos, sobre la importancia de la autocustodia de las claves
Esta frase resuena por partida doble en el caso de Mt.Gox. Para los clientes del exchange significó una amarga verdad: al confiar sus monedas a la plataforma de otro, le habían confiado también el riesgo de su colapso. Y para los investigadores pone de relieve la otra cara — allí donde las monedas abandonan la autocustodia y aterrizan en un exchange, surge un punto de control y un punto de rastro. Lo que hace vulnerable al cliente hace vulnerable también al atacante.
El caso de Mt.Gox es un manual de rastreo paciente. Muestra que en la ciencia forense cripto casi no hay "casos cerrados": lo que no se puede desenredar hoy se desenreda un año, dos o cinco años después, porque los datos subyacentes no van a ninguna parte. Para un analista en ejercicio se derivan de esto varias conclusiones prácticas.
Los hechos se presentan a partir de fuentes abiertas. Este material tiene fines educativos.