Cuando los atacantes extorsionan a las víctimas con ransomware y reciben pagos en bitcoins, estas transacciones quedan registradas en la cadena de bloques. Sin embargo, las wallets que reciben estos fondos ilícitos se marcan, lo que lleva a los ciberdelincuentes a lavar el dinero mediante diversos métodos complejos para obtener beneficios de estafas en línea, robos y ciberataques. El lavado de dinero procedente del cibercrimen implica transferencias y conversiones intrincadas entre criptomonedas y moneda legal. Rastrear estos fondos presenta desafíos significativos para los investigadores. Raúl Orduna, jefe de Seguridad Digital en el centro tecnológico vasco Vicomtech, señala que esta actividad crea una economía global sumergida, vasta y compleja. La cuestión crucial para los atacantes post-ciberataque es cómo acceder a las ganancias obtenidas. Según el Informe de Crimen Criptográfico 2024 de Chainalysis, en 2023, el lavado de fondos ilícitos relacionados con criptomonedas alcanzó aproximadamente los 22. 200 millones de dólares. Durante el último año, el valor total enviado a direcciones ilícitas en blockchain—cuentas digitales para criptomonedas—fue de 40. 900 millones de dólares, con posible aumento hasta 51. 300 millones de dólares. Los ciberdelincuentes buscan convertir estas enormes sumas ilegales en dinero limpio. George Smaragdakis, profesor de Ciberseguridad en la Universidad Técnica de Delft, explica que los atacantes generalmente reciben fondos en bitcoin u otras criptomonedas y luego intentan acceder a ellos de forma anónima mediante mecanismos como intercambios o mezcladores. Los fondos se trasladan entre múltiples direcciones en blockchain, y en algunos casos, entran en la economía real. Para entender este laberinto de lavado, es necesario aclarar ciertos conceptos. Smaragdakis y Orduna colaboran en el Proyecto Horizon, una iniciativa europea que involucra empresas, centros de investigación y fuerzas del orden, con el objetivo de fortalecer la capacidad de Europa frente a amenazas cibernéticas, incluyendo comprender cómo los criminales obtienen beneficios. En las criptomonedas, una wallet contiene varias direcciones de blockchain usadas para enviar o recibir fondos. Aunque las transacciones en blockchain son anónimas, sus registros son públicos, lo que permite a los analistas detectar patrones de lavado de dinero sin identificar a los propietarios, dice Orduna. Los investigadores se concentran en identificar servicios de criptomonedas similares a los bancos, pero que operan de manera anónima. Prestan especial atención a sistemas como los contratos inteligentes de depósito en garantía, que retienen fondos hasta que se cumplen los términos, y a los mezcladores, diseñados para aumentar el anonimato de las transacciones al ocultar el origen de los fondos y facilitar el intercambio entre diferentes tipos de criptomonedas.

Orduna explica que los mezcladores dificultan rastrear las fuentes de pago. Smaragdakis añade que, aunque el origen—la víctima—a menudo puede ser identificado, tras múltiples transferencias, la pista se pierde. Los ciberdelincuentes aprovechan la facilidad de crear miles de direcciones en blockchain (a diferencia de las cuentas bancarias, que son más difíciles de abrir) para confundir los esfuerzos de rastreo. Antes, los criminales centralizaban los pagos de las víctimas en una sola dirección, pero ahora asignan direcciones únicas por víctima y a menudo múltiples direcciones por un mismo objetivo, explica Smaragdakis. Esta táctica fragmenta los fondos ilícitos en cantidades menores a través de muchas direcciones, lo que complica su control y monitoreo. Luego, los delincuentes pueden mezclar estos fondos con otros dinero o usar casinos que aceptan criptomonedas. Al hacer muchas microapuestas con riesgos y beneficios mínimos, “limpian” efectivamente el dinero, que luego puede retirarse en moneda legal, añade Orduna. Las plataformas de intercambio como Binance o Coinbase representan otra vía de lavado, aunque generalmente se consideran inaccesibles para los criminales, ya que estos sitios aplican políticas antifraude y de lavado de dinero, exigen documentos de identidad verificados y selfies vinculados a las cuentas. Las fuerzas del orden pueden solicitar información de usuario mediante orden judicial, lo que disuade actividad ilícita allí. Por ello, los criminales recurren a plataformas sin regulación que imitan a los intercambios oficiales. Orduna advierte que estas entidades, aunque no están registradas, muestran patrones de transacción similares a las de los intercambios legítimos. Los investigadores de Vicomtech trabajan en detectar estas plataformas analizando patrones de transacción en blockchain. Al modelar el comportamiento de los intercambios legítimos, los investigadores desarrollan modelos de comportamiento digital para identificar actividades similares ilícitas en redes blockchain. El equipo de Vicomtech colabora estrechamente con las autoridades, recopilando requisitos y ejemplos de actividades sospechosas, generando datos sintéticos anonimados para crear y probar modelos de detección inteligente. Una vez validados, estos modelos ayudan en investigaciones reales dirigidas por las autoridades competentes. Mientras que gran parte de la investigación en ciberseguridad se centra en comprender los ataques, mejorar las defensas y mitigar brechas, otro esfuerzo fundamental es rastrear los flujos de dinero ilícito. Este trabajo es crucial para dificultar la capacidad de los criminales de obtener beneficios, reduciendo así su incentivo económico para realizar cibercrímenes.