-
La ingeniería social convierte la custodia propia en un riesgo si no hay rigor operativo.
-
El desvío de USD 46 millones al Estado demuestra que el error humano no discrimina al usuario.
Tiffany Milanovich marcó el número de un hodler de bitcoin (BTC). Y mientras conversaba, haciéndose pasar por el soporte técnico de su hardware wallet, apostaba los fondos que acababa de robarle en un casino digital. Se reía.
Esa grabación, filtrada por el analista ZachXBT, desmonta, una vez más, una de las premisas más extendidas en el ecosistema. Que comprar una cartera de hardware de alta gama convierte a su dueño en un fortín inexpugnable. La arquitectura criptográfica de Bitcoin es sólida. La psicología humana, no. Y cuando el factor humano falla, la brecha de seguridad alcanza a todos. Desde el usuario individual hasta el gobierno más poderoso del mundo.
El Gobierno perdió 46 millones de dólares en criptoactivos… y ni siquiera lo sabía
A finales de enero de 2026, ZachXBT expuso a John Daghita (alias «Lick»), de 21 años, por el desvío de más de 46 millones de dólares en criptomonedas incautadas por el Servicio de Alguaciles de Estados Unidos (USMS).
Daghita era el hijo del director ejecutivo de la empresa contratada para custodiar esos fondos. Su padre, Dean Daghita, preside Command Services & Support (CMDSS), la firma encargada por el Gobierno estadounidense de gestionar los activos digitales decomisados.
El joven utilizó su acceso privilegiado para sustraer fondos de carteras vinculadas a incautaciones históricas, incluidos los activos del pirateo de Bitfinex en 2016. La cifra real, contabilizando toda la actividad hasta finales de 2025, supera los 90 millones de dólares.
Posteriormente, el 5 de marzo de 2026, el FBI y la Gendarmería francesa lo arrestaron en la isla de San Martín, como lo informó CriptoNoticias. El director del FBI, Kash Patel, difundió imágenes de Daghita esposado junto a una piscina.
El caso dejó al descubierto una falla estructural en la custodia pública. Las transferencias se habían ejecutado durante semanas sin que los sistemas internos del gobierno detectaran la discrepancia, evidenciando que el Estado ni siquiera mantenía un inventario en tiempo real de sus activos incautados.
Tiffany y el eslabón más débil (que nunca fue el código)
La investigación destapó un segundo frente. Se trató de Tiffany Milanovich, quien operaba con un método más primitivo y, por eso mismo, más efectivo.
Primero grabó a Daghita en una llamada y filtró el audio para exponerlo. Él respondió publicando su identidad en su canal. Sin embargo, Tiffany demostró una dinámica de ataque metódica.
Su método de operación: la explotación de la confianza
- Se hacía pasar por el soporte técnico de Trezor, Coldcard o del exchange centralizado Coinbase.
- Alertaba a los usuarios sobre supuestas fallas de seguridad.
- Lograba que le entregaran voluntariamente sus frases semilla de recuperación.
En una sola operación, transfirió 1,2 millones de dólares desde la cartera de una víctima. En total, acumuló más de 5 millones, según ZachXBT, quien rastreó públicamente el flujo de fondos y las direcciones de monederos vinculados a Milanovich.
La gravedad de este incidente va más allá del debate tecnológico. Con la ingeniería social como vector conocido, el foco de alerta se desplaza hacia la frialdad en la dinámica de la operación.
- Grababa sus llamadas para burlarse de las víctimas.
- Apostaba los fondos robados en plataformas de apuestas basadas en criptomonedas como Shuffle mientras hablaba con ellas.
- Publicaba capturas de pantalla en Telegram.
- Compartió una orden de allanamiento emitida en su contra en Connecticut, fechada antes de varios de los incidentes.
- Presumió en una grabación de tener un vuelo reservado para escapar de las acciones judiciales
- No robaba en silencio. Robaba y se reía.
El factor humano frente a la seguridad del código
Este comportamiento deja al descubierto que la premisa tradicional de «si no son tus llaves, no son tus monedas» resulta insuficiente frente a la ingeniería social. La autocustodia no actúa como un blindaje automático si el usuario desconoce los riesgos de la interacción directa.
Las víctimas disponían de hardware wallets que se creía era la mejor infraestructura del mercado. Aun así, los hodlers entregaron sus frases semilla ante una llamada convincente. Y eso terminó demostrando que el vector de falla no fue tecnológico; fue psicológico.
La regla de oro del ecosistema permanece inalterada: ningún fabricante de hardware wallets ni plataforma de custodia contacta jamás a un usuario para pedir sus claves privadas. Ignorar esta premisa convierte la mejor herramienta de seguridad en un activo desprotegido.
Milanovich robó más de 5 millones de dólares en criptoactivos haciéndose pasar por soporte técnico de carteras frías. Fuente: CriptoNoticias / Creada con ChatGPT.
Al ahorrar en bitcoin, fuera del sistema bancario tradicional, el usuario asume la responsabilidad integral de la custodia, el cumplimiento normativo y la ciberseguridad frente a vectores de ingeniería social.
El caso Tiffany y Daghita deja dos diagnósticos claros:
- La vulnerabilidad en la custodia estatal. La pérdida de 46 millones de dólares a través del hijo del contratista evidencia fallas graves en los protocolos de supervisión de los activos decomisados.
- La psicología como principal vector de ataque. Los atacantes no gastan energía en romper el cifrado SHA-256; gastan energía explotando la confianza del usuario.
Ante este escenario, el principio central de la filosofía cypherpunk recupera vigencia operativa: «don’t trust, verify», en español: «no confíes, verifica». La verificación aplica tanto a las garantías institucionales como a cualquier interacción que solicite credenciales de acceso.
ZachXBT documentó la trazabilidad en la cadena de bloques, junto con registros de conversaciones y audios, y señaló que Milanovich «sustrajo fondos, confrontó directamente a los afectados y exhibió las ganancias sin mostrar remordimiento».
La gestión independiente de los activos es una herramienta clave para la autonomía financiera. Pero su eficacia exige un nivel de verificación y rigor operativo proporcional a la responsabilidad que implica ser el único custodio del propio capital.
En Bitcoin, el enemigo no siempre está en el código. A veces, está al otro lado del teléfono, riéndose mientras apuesta tu dinero.
