El hackeo a Bybit demuestra que el GAFI solo tiene un estúpido escudo de papel

El eco de los 499.000 ethers (ETH), valorados en 1.400 millones de dólares, que se esfumaron de Bybit el 21 de febrero de 2025, aún resuena, y probablemente vibrará como un recordatorio inquietante en el mundo de Bitcoin durante años. Chainalysis lo bautizó como «el mayor atraco digital en la historia de las criptomonedas» por tratarse de un golpe maestro que, con su ejecución digna de un thriller de Hollywood, hizo temblar los cimientos del ecosistema.

Los hackers, presuntamente el Lazarus Group norcoreano, dejaron a reguladores como el Grupo de Acción Financiera (GAFI) y organismos de seguridad como meros espectadores atónitos, boquiabiertos ante una danza macabra de phishing sofisticado y lavado vertiginoso que burló carteras multifirma y dispersó el botín entre monederos intermediarios, exchanges descentralizados y puentes entre cadenas, mientras que apenas 43 millones de dólares fueron congelados en una colaboración récord que llegó tarde.

Relegado a un papel marginal, el GAFI blande su regla de viaje como un escudo de papel ante el huracán desatado.

Esta norma, vigente desde 2019, obliga a los exchanges y otros proveedores de servicios de activos virtuales (VASPs, por sus siglas en inglés) a registrar y transmitir datos de remitentes y destinatarios en transacciones de criptomonedas que superen los 1.000 dólares, presentándose como un baluarte contra el lavado de dinero. Sin embargo, tras el robo de Bybit, cabe preguntarse: ¿qué utilidad tiene este sistema burocrático, arraigado en regulaciones bancarias de los años 90, si ni siquiera logró ralentizar el flujo de ETH sustraído?

El viaje obsoleto de las reglas del GAFI

Si todos los hackers adoptaran técnicas como las utilizadas en el robo de Bybit, y las criptomonedas robadas se lavaran masivamente con estos métodos, la regla de viaje del GAFI enfrentaría una crisis de relevancia.

La normativa, fundamentada en la idea de que rastrear a las partes involucradas puede prevenir o detectar el lavado de dinero, está irremediablemente obsoleta. Y ya es hora de reconocerlo.

Aunque el GAFI adaptó la regla a las criptomonedas en 2019, sus raíces se hunden en regulaciones bancarias estadounidenses de hace más de 20 años, las cuales a su vez se basan en la Ley de Secreto Bancario (BSA) de 1970. En su tiempo, esta normativa, marcó el inicio del seguimiento de transacciones financieras en un mundo muy distinto al actual.

La historia nos ha mostrado cómo robos magistrales, innovadores en su momento, dejaron una huella imborrable al inspirar a los criminales a replicar y perfeccionar sus métodos, mientras forzaban a los sistemas de seguridad a evolucionar en respuesta. Sin embargo, el reciente atraco a Bybit revela una constante inquietante: los ciberatacantes aprenden y adaptan estas lecciones del pasado con una velocidad que supera con creces la capacidad de los reguladores para reaccionar, dejando en evidencia la brecha entre el crimen digital y las normas que intentan contenerlo.

Un ejemplo paradigmático es el robo al Centro de Diamantes de Amberes en 2003, catalogado entonces como el «robo del siglo». Sucedió cuando una banda italiana, liderada por Leonardo Notarbartolo, sustrajo más de 100 millones de dólares en diamantes de una bóveda en Bélgica. Para lograrlo, él y su equipo pasaron dos años y medio infiltrados como comerciantes legítimos, superando diez niveles de seguridad, entre ellos, cerraduras avanzadas, sensores infrarrojos y radar Doppler. Actuaron en una operación sin violencia y sin dejar huellas.

Esta hazaña, asombrosa por su paciencia y precisión, marcó un antes y un después, ya que sus técnicas de infiltración prolongada, el uso de conocimientos internos y la paciencia para estudiar vulnerabilidades se volvieron un estándar en el crimen organizado, un eco que resuena en la sofisticación del ataque a Bybit, donde, con la manipulación de interfaces, lograron burlar incluso las defensas digitales más avanzadas.

Cuando los hackers imponen el ritmo

Así que, al igual que en Amberes, los atacantes de Bybit demostraron que la paciencia y la infiltración siguen siendo armas clave en la era digital. La estandarización de los métodos usados en Bybit presenta un escenario que seguramente sería una pesadilla para los exchanges y reguladores. Primero, los hackers, inspirados por el éxito de Lazarus, podrían perfeccionar los ataques y los fondos en criptomonedas podrían lavarse antes de que los proveedores de servicios activen la regla de viaje.

Si este patrón se generaliza, los exchanges gastarían recursos en cumplir con el GAFI, recopilando y transmitiendo datos, solo para descubrir que la información llega tarde o apunta a carteras desechables que ya han pasado por mezcladores o redes anónimas.

Los datos de Chainalysis indican que el 16% de todos los robos de criptomonedas históricos se concentraron en Bybit. Sin ello, ya la tendencia anual de robos norcoreanos había crecido más de un 102% entre 2023 y 2024. Entonces queda claro que la evolución supera las defensas actuales.

Ante ello, ¿qué sentido tiene implementar la regla de viaje? Para los exchanges, el incentivo inmediato es evitar multas y mantener licencias, como los 4.000 millones de dólares impuestos a Binance en 2023 por fallas en su aplicación de normas antilavado de dinero. Pero su utilidad práctica se diluye si los hackers evaden el punto de captura inicial, como son los proveedores de servicios con criptoactivos.

Los reguladores y la paradoja de la centralización

Los reguladores, como el GAFI, insisten en su aplicación para justificar su existencia y presionar por más centralización. Lo hacen exigiendo KYC o técnicas de conoce a tu cliente a cada exchange y demás proveedores de servicios con criptomonedas, pese a que esto choca con la esencia descentralizada de bitcoin, alienando a los usuarios y alimentando el auge de alternativas no reguladas como plataformas de finanzas descentralizadas (DeFi).

El robo de Bybit ilustra esta contradicción: mientras el GAFI intenta vigilar a los exchanges, los hackers como el Lazarus Group operan fuera de ese marco, explotando vulnerabilidades centralizadas sin que la regla de viaje pueda detenerlos.

Mientras tanto, los fondos lavados financian actividades ilícitas. Corea del Norte robó más de 1.300 millones de dólares en 2024 antes de Bybit, erosionando la confianza en el sistema de bitcoin y criptomonedas, sin que la regla de viaje ofrezca una solución tangible.

En este escenario, el GAFI y los proveedores de servicios con activos virtuales, quedan atrapados en un juego del gato y el ratón donde los hackers llevan la delantera. Esto, mientras la regla de viaje, sigue apareciendo como un parche de apariencia bienintencionada, pero definitivamente obsoleto, incapaz de adaptarse a un enemigo que no respeta fronteras ni formularios.

Con el caso Bybit, la historia susurra una lección que el Lazarus Group gritó a pleno pulmón: la paciencia y la astucia siempre encuentran grietas. Mientras, los reguladores como el GAFI tropiezan con su regla de viaje, un relicario de los 90 que no frena el torrente digital.

Con el 16% de los robos cripto históricos concentrados en un solo golpe y Corea del Norte amasando fondos para su régimen, la mirada sigue apuntando hacia bitcoin y criptomonedas, no por su diseño, sino por quienes pretenden tener el control.

La pregunta ya no es si esta norma obsoleta merece su lugar, sino si el ecosistema puede reinventarse antes de que los ciberatacantes escriban el próximo capítulo. ¿Seguiremos persiguiendo sombras, o construiremos una fortaleza que los hackers no puedan derribar?

Si nos vamos al aprendizaje que hemos obtenido de la tecnología de Bitcoin, lo que queda claro es que el ecosistema exige una evolución que combine tecnología, educación y colaboración para superar a los ciberatacantes y a los reguladores por igual.

Ahora es evidente que el ecosistema también requiere una comunidad educada que rechace puntos de fallo humanos, exchanges que prioricen seguridad sobre conveniencia y una colaboración transnacional que enfrente a actores como Corea del Norte, cuyo botín de criptomonedas ya financiaba amenazas globales antes de Bybit.

Descargo de responsabilidad: Los puntos de vista y opiniones expresadas en este artículo pertenecen a su autor y no necesariamente reflejan aquellas de CriptoNoticias. La opinión del autor es a título informativo y en ninguna circunstancia constituye una recomendación de inversión ni asesoría financiera.