Qué están haciendo los hackers de Coldcard con los BTC robados

Durante los días posteriores al hackeo de Coldcard, la atención del ecosistema se centró en descubrir el alcance de la vulnerabilidad y ayudar a los usuarios afectados a proteger sus fondos. Sin embargo, conforme el ataque siguió expandiéndose, surgió una nueva pregunta: ¿cómo convertirán los atacantes esos bitcoin en dinero utilizable? Hasta ahora, la respuesta parece ser que no tienen prisa.

Según el seguimiento realizado por Galaxy Research y distintos analistas on-chain, el ataque ya supera las 4.500 direcciones comprometidas y los 1.300 BTC robados. No obstante, el grueso de los fondos permanece sin gastar, una situación que contrasta con otros grandes robos de criptomonedas, donde los atacantes comenzaron a mover el dinero pocas horas después del incidente.

La cobertura de CriptoNoticias documentó desde el robo inicial hasta la expansión del ataque, así como la actualización de emergencia publicada por Coinkite y las opciones para las víctimas. Ahora, el foco dejó de estar únicamente en la vulnerabilidad para trasladarse al destino de los BTC.

Las dos direcciones que actualmente concentran la mayor cantidad de fondos robados continúan visibles en exploradores públicos como Mempool.space. Su inmovilidad facilita el seguimiento, ya que cualquier usuario puede monitorear en tiempo real si los BTC son fragmentados, enviados a un exchange o utilizados en herramientas de privacidad.

Mover los fondos será el verdadero desafío

Robar bitcoin y gastarlo son dos problemas distintos. Aunque quien controla las claves privadas puede transferir los UTXO libremente dentro de la red, convertir esos fondos en activos utilizables sin levantar alertas resulta mucho más complejo.

Empresas como Chainalysis, TRM Labs y Elliptic desarrollan plataformas que reconstruyen el recorrido de los bitcoin robados mediante análisis de grafos y heurísticas de gasto. Muchos exchanges utilizan estos sistemas para detectar depósitos asociados con hackeos y otras actividades ilícitas antes de acreditar los fondos a sus clientes.

Mientras más tiempo permanezcan inmóviles los BTC, más sencillo resulta para estas firmas etiquetar el clúster de direcciones relacionado con el ataque. Esa información suele compartirse con plataformas de intercambio, custodios y autoridades, lo que reduce las posibilidades de que un atacante convierta rápidamente los bitcoin en dinero fíat.

Precisamente por ello, algunos analistas consideran que la decisión de no mover inmediatamente los fondos puede responder a una estrategia deliberada. Esperar reduce la presión mediática, aunque no elimina el historial permanente que conserva la cadena de bloques.

Mixers, CoinJoin y un debate que volvió a aparecer

Tras el hackeo, varios usuarios en redes sociales afirmaron que los mixers rechazarían automáticamente los BTC robados mediante listas negras. Sin embargo, esa afirmación simplifica un ecosistema donde existen herramientas con arquitecturas muy diferentes.

Los mixers custodiales funcionan como intermediarios que reciben bitcoin y posteriormente envían otros distintos al usuario. Debido a que existe un operador, sí pueden aceptar o rechazar determinados depósitos, además de colaborar con investigaciones si así lo exige la legislación de su jurisdicción.

Distinto es el caso de protocolos de CoinJoin como JoinMarket o Whirlpool. En estos sistemas los participantes construyen conjuntamente una transacción sin entregar la custodia de sus monedas a un tercero. No existe una autoridad central que pueda revisar individualmente cada UTXO antes de permitir su participación, por lo que implementar listas negras resulta mucho más complejo que en un servicio custodial.

Esto no significa que utilizar CoinJoin garantice el anonimato. Las empresas de análisis blockchain continúan desarrollando técnicas para identificar patrones de mezcla, mientras que algunos exchanges aplican controles adicionales cuando detectan fondos que pasaron por herramientas de privacidad.

Monero aparece como una alternativa, pero no elimina todos los riesgos

Otro escenario que observan los investigadores es la posibilidad de que los atacantes abandonen temporalmente Bitcoin mediante intercambios atómicos o plataformas descentralizadas para obtener criptomonedas enfocadas en la privacidad, como Monero (XMR).

Esta estrategia ha sido documentada en investigaciones sobre otros robos importantes, porque Monero oculta remitentes, destinatarios y montos transferidos. La trazabilidad disminuye considerablemente, aunque el proceso requiere posteriormente regresar a Bitcoin o utilizar mercados P2P para obtener liquidez, etapas donde pueden cometerse errores operativos.

Además, mover más de mil bitcoin sin llamar la atención representa un reto por sí mismo. Incluso si los fondos son divididos en cientos de transacciones, la magnitud del robo hace que cualquier movimiento relevante sea observado por analistas independientes y empresas especializadas.

Los antecedentes muestran que el lavado puede tardar años

El comportamiento observado hasta ahora difiere del registrado en ataques atribuidos al grupo Lazarus, vinculado con Corea del Norte, cuyos operadores suelen fragmentar y redistribuir los fondos pocas horas después del robo mediante cientos de direcciones, bridges y distintos servicios financieros descentralizados.

En contraste, el hackeo de Bitfinex en 2016 mostró que los responsables pueden esperar años antes de intentar mover parte del dinero. Cuando finalmente comenzaron a hacerlo, distintos errores operativos facilitaron el trabajo de los investigadores y terminaron contribuyendo a la recuperación de una parte significativa de los fondos, permitiendo a las víctimas recuperar parte del dinero.

Por ahora, los hackers de Coldcard parecen seguir un patrón más cercano a este último caso. Las principales direcciones permanecen bajo observación pública y no muestran evidencia de haber enviado el grueso de los BTC a CoinJoin, mixers conocidos o exchanges identificados.

El desenlace dependerá de los próximos movimientos registrados en la cadena. Si los fondos permanecen inmóviles, las empresas de análisis seguirán fortaleciendo el mapa de direcciones asociadas al ataque. Si comienzan a fragmentarse o migran hacia herramientas de privacidad, el ecosistema tendrá la primera señal concreta sobre la estrategia elegida por los responsables para intentar convertir uno de los mayores robos recientes de bitcoin en activos difíciles de rastrear.