Cómo las criptomonedas robadas acaban en tu cartera

El 22 de julio, alguien con las claves de validador correctas sacó 24,15 millones de dólares en USDC del puente de AFX Trade en Arbitrum. No se rompió nada. La retirada llevaba firmas válidas suficientes para alcanzar el quórum del puente, así que el sistema liberó los fondos exactamente como estaba construido para hacerlo. En unas horas el dinero estaba en Ethereum convertido en unos 12.467 ETH, en una cartera que cualquiera puede abrir en un explorador de bloques.

Al día siguiente el puente Verus-Ethereum perdió cerca de 7,54 millones de dólares por la misma vía de importación que un atacante ya había abusado en mayo. Ese fue más rápido y más sucio: 3.916 ETH directos a Tornado Cash. Wanchain entregó unos 10 millones de dólares por un fallo de codificación en un script de validador. Allbridge Core se detuvo tras un ataque de préstamo relámpago de 1,65 millones sobre su pool de stablecoins en Solana. El 24 y el 25 de julio, a la firma de pagos singapurense Triple-A le sacaron más de 9,7 millones de dólares de sus carteras calientes en seis cadenas, con unos 5.227 ETH consolidados en una sola dirección.

Una semana, más de 47 millones de dólares, y eso es solo lo confirmado.

El informe Hack3D de CertiK sobre el primer semestre de 2026 contabiliza 1.310 millones de dólares perdidos en 344 incidentes. Solo las carteras comprometidas explican más de 444 millones de esa cifra, en apenas 33 casos.

Ahora la parte que nunca llega a los titulares. Todo ese dinero tiene que ir a alguna parte, y una proporción sorprendente va a buscar a gente corriente.

Las monedas robadas se venden a desconocidos

Un atacante sentado sobre 12.467 ETH tiene un problema. El saldo es público, queda etiquetado en horas por media docena de firmas de análisis, y no sirve de nada hasta convertirse en algo gastable. Los mezcladores absorben una parte. El resto se trocea y sale por canales que tocan a usuarios reales: mesas OTC con onboarding flojo, anuncios P2P, pequeños servicios de swap, freelancers contratados y pagados en cripto, compradores encantados de pagar de más por un producto.

Ese último grupo es donde cae la mayoría. Vendes un coche, algo de hardware, un dominio, un proyecto de diseño. El comprador paga en USDT o ETH. El dinero llega, la transacción se confirma, y no tienes ni idea de que salió de un exploit de puente hace nueve días.

Tu exchange congela primero y pregunta después

En cuanto mueves esas monedas a una plataforma regulada, se escanean. Hoy todos los exchanges grandes vigilan las transacciones en los depósitos, y tras años de sanciones por incumplimiento la respuesta por defecto ante una coincidencia es bloquear el saldo y abrir una revisión. Tú no robaste nada. Esa no es la pregunta que hace la comprobación automática.

Los emisores pueden ir más lejos. El 1 de julio, la OFAC añadió a la lista SDN 134 identificadores cripto vinculados a ISIS-K, 131 direcciones TRON y tres de Monero, y Tether congeló el saldo en USDT de las 131. Dos semanas después, el 14 de julio, se añadieron otras cuatro carteras TRON bajo la entrada del Banco Central de Irán, y unos 131 millones de dólares en USDT quedaron inmovilizados. La lista negra se aplica en el contrato del token. Después de eso, ningún exchange, ninguna cartera y ningún puente puede moverlo.

Lo que se puntúa es la distancia respecto al robo

Las herramientas de screening no devuelven "robado" o "limpio". Devuelven exposición: cuánto de lo que llegó a una dirección procede de una fuente marcada, y a través de cuántos saltos.

Recibir directamente desde la cartera de un hacker es el peor caso y el más fácil de detectar. Tres saltos después, pasando por un DEX y un par de intermediarios, la puntuación baja, pero el rastro sigue ahí. Y se queda, porque el registro no olvida. Una dirección que hoy parece correcta puede ponerse en rojo el mes que viene, cuando los investigadores terminen de agrupar el robo y metan nuevas atribuciones en los datos contra los que todo el mundo compara.

Por eso el momento importa más de lo que la gente supone. La ventana de mayor riesgo son los primeros días tras un robo grande, antes de que las direcciones de blanqueo lleven ninguna etiqueta, cuando un vendedor que ofrece un buen precio no parece más que un buen precio.

Comprueba antes de que el dinero se mueva, no después

Cuatro hábitos que no cuestan casi nada:

• Pide la dirección de origen por adelantado. Quien te paga de forma legítima puede decirte de dónde sale la transferencia. Quien se niega ya te ha dicho algo.
• Analízala antes de aceptar. Una comprobación de sanciones y AML sobre una sola dirección tarda segundos. Puedes comprobar aquí cualquier dirección de cartera y ver su exposición, sus alertas y su atribución antes de entregar mercancía o trabajo.
• Toma un descuento como una advertencia. Un vendedor OTC que ofrece un 4 % por debajo de mercado no está siendo generoso. Está poniendo precio al riesgo que te está pasando.
• Guarda el papeleo. La factura, el historial de chat, la dirección, la marca de tiempo. Si más adelante un banco o un exchange pregunta por el origen de los fondos, esa carpeta es la diferencia entre una revisión de dos días y una de dos meses.

Si ya te ha llegado

No lo reenvíes, no lo dividas, no lo pases por un swap para que se vea mejor. Ese paso es lo que convierte un cobro desafortunado en algo que un fiscal puede describir como ocultación. Deja los fondos donde están.

Anótalo todo: el hash de la transacción entrante, quién te pagó, por qué concepto y cuándo. Si ya has depositado en un exchange y te has topado con un bloqueo, responde a la revisión con esa documentación en vez de discutir. La mayoría de los bloqueos sobre depósitos realmente inocentes acaban levantándose, despacio. Si la cantidad es relevante, busca un abogado de tu propia jurisdicción que haya llevado antes un caso así.

Los pagos en cripto se liquidan en un minuto, y eso hace fácil olvidar que la historia que arrastran es permanente y pública. No puedes controlar de quién sacó sus monedas un desconocido. Sí puedes dedicar treinta segundos a averiguarlo antes de decir que sí.