Sección 3 · Lección 3.3
Darknet, extorsión y robo
Esta es la categoría "pesada" de fuentes criminales: dinero respaldado por delitos concretos: comercio de bienes prohibidos, extorsión mediante ransomware, hackeos de exchanges y puentes. Son los fondos que con más frecuencia pasan por mezcladores y acaban asentándose en los monederos de usuarios corrientes que no tienen ni idea del origen de las monedas que recibieron. Examinemos cada canal y entendamos por qué las exchanges vigilan estos fondos con especial cuidado.
Mercados de la darknet: los herederos de Hydra
Los mercados de la darknet (DNM, darknet markets) son plataformas de comercio anónimo en la red Tor donde la criptomoneda se usa como principal medio de pago de bienes y servicios prohibidos. El mayor de la historia fue el ruso Hydra, desmantelado en abril de 2022 en una operación conjunta de las autoridades alemanas y estadounidenses (servidores incautados, la plataforma añadida a las sanciones de OFAC). Por Hydra pasaron miles de millones de dólares.
La naturaleza aborrece el vacío: tras la caída de Hydra, su público y sus vendedores migraron a plataformas sucesoras (Mega, Blacksprut, Kraken DNM y otras). La mecánica es similar en todas partes:
- Depósito del comprador. El cliente paga cripto a una dirección interna del mercado (el monedero de custodia/escrow de la plataforma).A menudo a través de una red de "servicios de intercambio intermediarios" para ocultar la fuente original.
- Liquidación interna. El mercado mantiene los fondos en custodia hasta que se confirma la operación, y luego los transfiere al vendedor menos una comisión.Los monederos internos del mercado son clústeres que los analistas etiquetan como "darknet market".
- Retirada del vendedor. El vendedor retira los ingresos, y es exactamente aquí donde los fondos criminales entran en circulación "normal": a exchanges, a servicios de intercambio, a traders P2P.A menudo, antes de la retirada, el dinero se pasa por un mezclador para romper el rastro.
Por qué importa. Un monedero que recibió fondos directamente de direcciones de mercados de la darknet, o a uno o dos saltos de ellas, arrastra un riesgo alto. Aunque tu cliente vendiera honestamente algo legítimo a un trader P2P que resultó estar vinculado a un DNM, la "pintura" se traslada al cliente. Por eso rastrear varios saltos hacia atrás es obligatorio.
Ransomware: la economía de la extorsión digital
El ransomware es una de las formas más lucrativas de ciberdelincuencia. El esquema: los atacantes cifran los datos de una víctima (una empresa, un hospital, un organismo público) y exigen un rescate en criptomoneda por la clave de descifrado. Familias conocidas son Conti, LockBit, BlackCat/ALPHV, Ryuk.
- La dirección de rescateA la víctima se le da una dirección BTC/cripto concreta. Todo pago entrante en ella es, por definición, fondos criminales. Tales direcciones acaban con regularidad en las bases de datos de los analistas y a veces en listas de sanciones.
- División y blanqueoEl rescate recibido se divide rápidamente, se pasa por mezcladores y cadenas de monederos para "enfriarlo" y sacarlo a través de exchanges de alto riesgo.
- El ángulo de las sancionesVarios grupos de ransomware están vinculados a personas y Estados sancionados. Pagar un rescate a tales grupos puede constituir por sí mismo una violación de sanciones: OFAC ha advertido explícitamente a las empresas sobre ello.
La víctima paga el rescate
→
Mezclador / cadena
→
Retirada a efectivo vía exchange
Hackeos y drainers: el robo como fuente
Una categoría amplia aparte son los fondos robados. Esto incluye hackeos de exchanges centralizadas, exploits de protocolos DeFi, ataques a puentes entre cadenas y drainers de monederos.
- Hackeos de exchanges y protocolos. El clásico es Mt.Gox, pero incluso en la década de 2020 los ataques por sumas de nueve cifras son habituales. Explotar una vulnerabilidad de un contrato inteligente permite drenar los fondos ajenos en una sola transacción.Los fondos robados casi siempre se "aparcan" primero en direcciones intermedias, y luego se blanquean lentamente.
- Ataques a puentes. Los puentes entre blockchains mantienen enormes pools de liquidez y se han convertido en un blanco predilecto. Ronin Bridge (625 millones de dólares), Harmony Bridge, Wormhole son los mayores casos, muchos atribuidos a Lazarus.OFAC añade con prontitud a la SDN los fondos de los puentes hackeados: un doble riesgo de robo + sanciones.
- Drainers de monederos. Scripts maliciosos y sitios de phishing que engañan al usuario para que firme una operación que vacía su monedero. Un fenómeno masivo: miles de pequeñas víctimas cuyos fondos fluyen a las direcciones de servicios de drainer.Más sobre la mecánica del phishing de aprobaciones en la próxima lección sobre estafas.
Lazarus Group: donde convergen todas las líneas
Precaución. Lazarus Group —la estructura estatal de hackeo de Corea del Norte— enlaza todos los temas de esta lección y de la anterior. Es Lazarus quien está detrás de los mayores hackeos de puentes y exchanges; es Lazarus quien usa mezcladores (Tornado Cash, Sinbad) para blanquear con más intensidad que nadie; y es por Lazarus por lo que OFAC sancionó esos mezcladores. La exposición a fondos de Lazarus es el nivel máximo de alarma, porque aquí el riesgo AML se funde con una acusación de financiar el programa nuclear de un Estado hostil. Ninguna plataforma legítima aceptaría a sabiendas tales fondos.
Cómo entran estos fondos en circulación y por qué las exchanges los cazan
Entender el "camino del dinero" ayuda a estructurar una comprobación. Los fondos criminales de los tres canales (darknet, rescates, robo) atraviesan un ciclo de vida de blanqueo similar:
- Colocación (placement). Los fondos se retiran de la dirección de origen a monederos intermedios.A veces se dividen de inmediato entre decenas de direcciones: la técnica de peel-chain.
- Estratificación (layering). Muchas transferencias, mezcladores, intercambios entre tokens y blockchains (chain hopping): todo para enredar el rastro.Es en esta fase donde se pierde la visibilidad directa de la fuente, pero no la indirecta, si haces un rastreo profundo.
- Integración. Los fondos "blanqueados" se mueven a una exchange, a un servicio de intercambio o a un trader P2P para sacarlos a efectivo o convertirlos en fiat.Este es el cuello de botella donde el cumplimiento de la plataforma es la última barrera.
Por qué importa. Las exchanges cazan estos fondos con especial intensidad por tres razones. Primero, presión regulatoria: al aceptar delito, una exchange arriesga su licencia y multas. Segundo, reputación: un incidente con dinero "sucio" espanta a los clientes institucionales y a los bancos socios. Tercero, riesgo de congelación: si una exchange ha aceptado fondos con un rastro de sanciones, sus propias cuentas corresponsales y sus reservas de stablecoins pueden ser bloqueadas. Por eso la fase de integración es donde las comprobaciones son más estrictas, y precisamente por eso tu tarea como operador AML es detectar el rastro ANTES de que los fondos toquen una plataforma.
Referencia práctica. Al comprobar, busca en el historial del monedero contactos con clústeres etiquetados como "darknet market", "ransomware", "stolen funds", "exploit". Incluso un vínculo indirecto (2–3 saltos) con una proporción significativa de fondos es motivo de alto riesgo. La combinación "fuente-robo + paso por un mezclador" = un stop casi garantizado.
Resumen de la lección
- Tres canales "pesados"Mercados de la darknet, pagos de ransomware, hackeos/robos: fuentes criminales directas.
- Un ciclo de vida comúnColocación → estratificación (mezcladores) → integración vía exchanges. Mejor cazarlo antes de la integración.
- Lazarus lo une todoRobo + mezcladores + sanciones en un solo sujeto: el nivel máximo de riesgo.
- Rastrear saltos es obligatorioLa "pintura" del delito atraviesa los monederos intermedios hasta tu cliente.
La próxima lección trata de las amenazas más extendidas y "cotidianas" a las que se enfrenta casi cualquier usuario de cripto: estafas, tokens falsos, "polvo" (dust) y phishing que vacía monederos.
Este material tiene únicamente fines educativos y no constituye asesoramiento legal.