Adónde van a parar realmente las criptomonedas robadas: un repaso a la «máquina de blanqueo» de 45 días

Seis años, más de 16 000 millones de dólares desaparecidos

El robo de criptomonedas ya no es una fase de la que el sector de los activos digitales esté saliendo poco a poco, sino un sector en sí mismo. Hasta la fecha, solo en la última media década, los investigadores de la cadena de bloques han contabilizado totales de robos cada vez mayores (3.7 mil millones de dólares en 2022, 1.7 mil millones en 2023, 2.200 millones de dólares en 2024 y 3.400 millones de dólares en 2025), cifras que no han dado señales de detenerse.

De hecho, cabe mencionar que casi la mitad del total del año pasado procedió de un único suceso: el ataque a Bybit de febrero de 2025, en el que los atacantes comprometieron el proceso de firma de la cartera fría de la plataforma y se llevaron 1.5 mil millones de dólares (lo que lo convierte en el mayor robo de criptomonedas de la historia).

El primer semestre de este año fue inquietantemente similar, con un total de aproximadamente 1.100 millones de dólares en 212 incidentes, una cifra récord, según la empresa de seguridad Blockaid. El mayor ataque individual fue el exploit del 19 de abril contra el protocolo de restaking KelpDAO (por valor de 293 millones de dólares), y TRM Labs contabilizó 207 incidentes a lo largo de estos seis meses, más del doble que en el mismo periodo del año anterior.

El guion de 45 días

Lo que suele ocurrir tras los robos mencionados se ha convertido ya casi en un guion, y los investigadores describen un ciclo de blanqueo característico que dura aproximadamente 45 días y se desarrolla en tres fases.

Durante los días del cero al cinco, la rapidez es lo más importante y los tokens robados suelen intercambiarse a través de protocolos de finanzas descentralizadas (DeFi) —la actividad se dispara hasta un 370 %— y se introducen en servicios de mezcla, que agrupan y barajan las monedas para romper el vínculo entre el origen y el destino. Entre los días seis y diez, los fondos saltan de una cadena a otra a través de puentes entre cadenas y fluyen por plataformas de intercambio con controles limitados de «conozca a su cliente» (KYC).

A continuación, aproximadamente desde el día 20 hasta el 45, las monedas se retiran en pequeños tramos (normalmente por debajo de 500 000 dólares para no superar los umbrales de notificación) a través de plataformas sin KYC, intercambiadores instantáneos, redes extrabursátiles (OTC) en chino y servicios de garantía como el mercado sancionado Huione. En consecuencia, al final del ciclo, el dinero ha atravesado tantas cadenas, mezcladores y jurisdicciones que, aunque la atribución sigue siendo posible (ya que las cadenas de bloques nunca olvidan), la recuperación rara vez lo es. Para ponerlo en perspectiva, se recuperó menos del 5 % de los fondos robados a Bybit, a pesar de que la plataforma contaba con algunos de los mejores expertos en seguridad informática de su lado.

2026: Más ataques, botines más reducidos

Este año, los atacantes han ampliado sus objetivos porque, junto con vulnerabilidades en protocolos como la de KelpDAO, solo en abril se batió un récord mensual con 641,67 millones de dólares robados. Los grupos norcoreanos vinculados a Lazarus estuvieron detrás de aproximadamente el 55 % de las pérdidas del primer semestre, y el recuento de CertiK —que incluye el phishing y los vaciamientos de monederos personales— sitúa los daños de ese periodo en 1.32 mil millones de dólares repartidos en 344 incidentes.

Más recientemente, la vulnerabilidad del monedero físico Coldcard demostró cómo el manual de estrategias se está adaptando también al bitcoin. Tras vaciar aproximadamente 116 millones de dólares de monederos con claves de inicialización débiles, el atacante comenzó a consolidar las monedas mientras los espectadores observaban cada movimiento. A la luz de este incidente, las principales características distintivas del bitcoin —como la transparencia y la irreversibilidad— se convirtieron en armas de doble filo casi de la noche a la mañana, ya que, aunque todo el mundo podía ver cómo se movían las monedas robadas, nadie podía recuperarlas.

Por qué la recuperación casi nunca se produce

Cuando se producen todos estos ataques, la única medida que ha funcionado de forma fiable una y otra vez es la congelación centralizada de las stablecoins. Tether y Circle pueden incluir direcciones en una lista negra a nivel de contrato, dejando al instante sin uso cualquier USDT o USDC que los ladrones aún tengan en su poder, lo cual es precisamente la razón por la que los atacantes sofisticados cambian las monedas estables robadas por ether o bitcoin a los pocos minutos de producirse una brecha de seguridad, aceptando el riesgo de precio para escapar del radio de congelación.

Se trata de una asimetría reveladora: es decir, los activos más resistentes a la censura son los más fáciles de blanquear, y los más susceptibles de ser congelados son los más fáciles de recuperar. Toda estrategia de blanqueo es, en última instancia, una carrera para convertir lo «atrapable» en «inatrapable» antes de que alguien con un «botón de pausa» se dé cuenta.

La incómoda realidad de los robos de criptomonedas es que la prevención lo es casi todo. Las plataformas de intercambio y las empresas de análisis pueden congelar los fondos que pasan por plataformas que cumplen con la normativa, y es precisamente por eso por lo que los blanqueadores se adelantan utilizando DeFi y mezcladores, donde nadie puede congelar nada.

Las sanciones a los mezcladores y servicios como Huione aumentan los costes, pero se limitan a desviar los flujos hacia sucesores en lugar de detenerlos. Y el plazo de 45 días significa que, para cuando el proceso legal transfronterizo ni siquiera se haya puesto en marcha, las monedas suelen haber completado ya su recorrido.

Para los usuarios y las plataformas, la lección es que, una vez robados, la inmensa mayoría de sus fondos nunca volverán. Además, el ciclo de los atacantes es más rápido que el del cumplimiento normativo, y cada año que aparece en un titular que «los robos de criptomonedas están disminuyendo», el siguiente contraejemplo de mil millones de dólares ya está en marcha. La cadena de bloques lo registra todo y no devuelve nada.