Mis colegas de la división analítica Galaxy Research han detectado una nueva fase en el movimiento de los fondos robados durante la tercera ola de ataques dirigidos a usuarios de los monederos de hardware Coldcard. Se trata de la transferencia de los bitcoines robados al protocolo CoinJoin, un mecanismo que complica radicalmente el rastreo de las transacciones al mezclar los pagos de múltiples participantes independientes en una única operación de pool.
Este no es el primer paso del atacante para legitimar los activos obtenidos ilegalmente. Anteriormente, el hacker convirtió parte de las monedas en Ethereum a través del protocolo de cadena cruzada descentralizado THORChain, lo que permitía romper la conexión directa entre los BTC originales y sus movimientos posteriores. Ahora, el uso de CoinJoin indica una estrategia de lavado de dinero bien pensada y de múltiples etapas, destinada a borrar por completo las huellas digitales.
Por qué CoinJoin es un desafío para las investigaciones
La tecnología CoinJoin, que subyace en herramientas como Wasabi Wallet o Samourai Whirlpool, combina transacciones de diferentes usuarios en una sola. Para un observador externo, es extremadamente difícil determinar qué salida pertenece a una dirección específica. Para los analistas de blockchain, esto crea serios obstáculos: los métodos estándar de agrupación y las heurísticas pierden efectividad, y la probabilidad de una atribución errónea de los fondos aumenta considerablemente.
Este incidente es un claro recordatorio de que incluso los monederos de hardware, considerados el estándar de oro en seguridad, no son una panacea. Los ataques a Coldcard, según parece, se dirigieron a vulnerabilidades en los procesos de inicialización o a esquemas de phishing, y no al descifrado de la criptografía del propio dispositivo. El hacker actúa metódicamente, utilizando todas las herramientas disponibles para ocultar su identidad y el destino final de los fondos.
Mi evaluación experta: En las condiciones actuales, las autoridades y los detectives de blockchain tendrán que confiar no solo en el análisis de datos on-chain, sino también en el monitoreo de plataformas de intercambio y servicios extrabursátiles (OTC), donde tarde o temprano se producirá la retirada en moneda fiduciaria. CoinJoin retrasa la identificación, pero no la hace imposible, especialmente si el atacante comete un error al convertir a monedas fiduciarias o al utilizar plataformas con KYC.