Caso Coinbase: qué se sabe del actor que mueve fondos robados a través de Tornado Cash

La diferencia es importante. En un ataque contra un contrato inteligente, el delincuente suele aprovechar un defecto en la lógica de una aplicación que funciona en la cadena de bloques. En una estafa de suplantación del soporte, en cambio, manipula al titular de la cuenta para que autorice o facilite la transferencia. El punto vulnerable no es necesariamente el código, sino la confianza y la capacidad de decisión de la persona, a menudo bajo presión, con datos personales convincentes y una falsa sensación de urgencia.

Qué muestran las estimaciones de pérdidas —y qué no demuestran

En febrero de 2025, los investigadores de blockchain ZachXBT y tanuki42 informaron de pérdidas superiores a 65 millones de dólares entre usuarios de Coinbase durante diciembre de 2024 y enero de 2025. También calcularon que las pérdidas anuales derivadas de estafas similares de ingeniería social podrían superar los 300 millones de dólares. Su revisión combinó denuncias de víctimas y actividad en la cadena, aunque reconoció que los datos disponibles eran incompletos.

Un reporte posterior atribuyó alrededor de 45 millones de dólares en pérdidas adicionales de usuarios de Coinbase a estafas coordinadas de ingeniería social durante una sola semana de mayo de 2025. Estas cifras respaldan la idea de ataques persistentes y organizados. Sin embargo, por sí solas no prueban que todos los incidentes fueran controlados por el mismo operador de billeteras.

En otra investigación se identificó una dirección de consolidación asociada con más de 25 víctimas. Agrupar transacciones de ese modo puede ayudar a conectar operaciones e identificar el patrón de una campaña, pero sigue siendo una atribución indirecta: no prueba la identidad de una persona en el mundo real.

El incidente de datos de Coinbase aporta contexto, pero no una conexión probada

En mayo de 2025, Coinbase informó que delincuentes habían sobornado a parte del personal externo de atención al cliente en el extranjero para obtener información de usuarios. Según la empresa, los datos robados podían utilizarse para hacerse pasar por Coinbase y convencer a los clientes de enviar sus criptomonedas. Coinbase calculó que la respuesta al incidente y los reembolsos voluntarios a clientes costarían entre 180 y 400 millones de dólares.

Ese incidente pudo hacer más creíbles las estafas de soporte: una persona que conoce el nombre, los datos de contacto o información de la cuenta de un cliente puede parecer mucho más convincente. Pero las pruebas públicas disponibles no establecen que los delincuentes detrás del robo de datos internos fueran las mismas personas que controlaban las billeteras vinculadas a los informes más amplios sobre los robos. Por eso, ambas historias deben entenderse como riesgos relacionados, no como una atribución común confirmada.

La provocación pública aportó pistas de comportamiento, no de identidad

En mayo de 2025, una billetera vinculada por investigadores a campañas de phishing contra usuarios de Coinbase habría intercambiado unos 42,5 millones de dólares en Bitcoin por Ether mediante THORChain. La misma billetera envió a ZachXBT un mensaje en la cadena que decía «L bozo».

El mensaje mostró que quien controlaba la billetera estaba dispuesto a provocar públicamente a un investigador. No permitió establecer su nombre, ubicación ni conexión con todos los demás robos atribuidos a la campaña.

Por qué Tornado Cash complica la recuperación

Un mezclador de criptomonedas está diseñado para dificultar el vínculo directo entre un depósito y un retiro posterior. Tornado Cash utiliza fondos compartidos y mecanismos de transacciones orientados a la privacidad, de modo que los activos depositados desde una dirección pueden retirarse después hacia otra distinta.

Eso no significa que la cadena de bloques desaparezca. Significa que el recorrido sencillo entre depósito y retiro se vuelve mucho más difícil de demostrar. Los investigadores todavía pueden analizar horarios, cantidades, patrones repetidos de las billeteras, puentes entre redes, exchanges descentralizados y direcciones de depósito de plataformas centralizadas. Esas señales pueden ayudar a establecer correlaciones.

Pero una correlación no siempre basta para identificar a la persona que hizo un retiro ni para convencer a un exchange o a un tribunal de congelar los fondos. Cuanto más tiempo permanezcan los activos fuera de un custodio rastreable, más difícil puede ser recuperarlos.

Qué cambió con el fallo de noviembre de 2024 sobre Tornado Cash

El 26 de noviembre de 2024, el Tribunal de Apelaciones del Quinto Circuito de Estados Unidos concluyó que la Oficina de Control de Activos Extranjeros del Departamento del Tesoro (OFAC) había excedido su autoridad legal al sancionar los contratos inteligentes inmutables de Tornado Cash. El tribunal consideró que esos contratos no eran «propiedad» que pudiera bloquearse conforme a la ley aplicable.

La decisión se refirió a la base jurídica de esas sanciones. No legalizó el robo ni el lavado de dinero, eliminó una posible responsabilidad penal o garantizó que los fondos enviados mediante un mezclador puedan recuperarse. Tampoco convierte por sí sola la actividad sospechosa en una prueba de inocencia o culpabilidad. El alcance del fallo y la cuestión del uso del protocolo para delitos son asuntos distintos.

La lección práctica para los usuarios de Coinbase

El riesgo más persistente que revela este caso no es un fallo misterioso en la infraestructura blockchain de Coinbase. Es una persona convincente al otro lado de una llamada, un mensaje o un enlace.

Los usuarios deberían:

• Tratar como potencialmente maliciosas las llamadas, los mensajes de texto y los mensajes directos no solicitados que supuestamente procedan del soporte de Coinbase.
• No compartir nunca contraseñas, frases semilla, códigos de un solo uso ni claves privadas.
• No conceder acceso remoto a un dispositivo a petición de un supuesto agente de soporte.
• Evitar los enlaces de asistencia incluidos en mensajes inesperados.
• Abrir la aplicación oficial de Coinbase o escribir manualmente la dirección del sitio web antes de solicitar ayuda.
• Si se produce un robo, conservar los mensajes, números de teléfono, direcciones de billetera y hashes de las transacciones, y denunciar el incidente de inmediato.

El movimiento del 16 de agosto indica que los fondos asociados con la campaña reportada siguen activos. Pero la conclusión más importante es más sencilla: la ingeniería social puede superar controles técnicos sólidos cuando un atacante consigue convencer a un usuario legítimo de autorizar la transferencia.