La OFAC toma la primera medida contra una bolsa de criptomonedas y publica un aviso actualizado en ransomware

Ver la entrevista‍

Funcionarios del Tesoro ofrecen comentarios adicionales sobre la acción y el asesoramiento en una entrevista exclusiva con TRM Labs.

_____

Leer los antecedentes

‍Acción de la OFACcontra el criptointercambio Suex

La Oficina de Control de Activos Extranjeros (OFAC) del Tesoro de EE.UU. ha emprendido hoy su primera acción contra una empresa de intercambio de criptomonedas, SUEX.io, una empresa de intercambio de criptomonedas constituida en Chequia pero que opera en Rusia. Esta acción se produce en un momento en que los Estados Unidos intentan hacer frente a la plaga de los ataques de ransomware y reforzar las ciberdefensas contra los ciberdelincuentes y los agentes de Estados nación delincuentes.

En opinión del Tesoro, SUEX llena un nicho esencial en el ecosistema de los intercambios no regulados que, ya sea por ignorancia deliberada o por cooperación deliberada, facilitan la conversión de cripto rescates ilícitos en moneda del mundo real.

SUEX también operaba como una bolsa "anidada" o "parásita", lo que significa que SUEX no custodiaba directamente las criptomonedas de sus clientes. En su lugar, se alimentaba de la infraestructura de una gran bolsa mundial de criptomonedas para realizar sus transacciones. Las bolsas anidadas suelen aprovechar la mayor liquidez y los menores costes de transacción de las grandes bolsas multinacionales, al tiempo que presentan a los clientes una interfaz personalizada que oculta la conexión con el servicio más grande. Utilizando esta relación con una gran bolsa, y el acceso a efectivo de fuentes desconocidas, SUEX pudo convertir el dinero ilícito de sus clientes en efectivo físico a una escala alarmante. *Vea la investigación en profundidad de TRM sobre Suex aquí.

Todd Conklin, Consejero del Vicesecretario del Tesoro, destacó el riesgo asociado a los intercambios anidados al hablar con nosotros esta mañana en una edición especial de TRM Talks:

"Si observamos el ecosistema de las bolsas en su conjunto, vemos que algunas de las más grandes han mejorado en lo que respecta al conocimiento del cliente y al cumplimiento de la normativa contra el blanqueo de capitales. Sin embargo, en el ecosistema más pequeño de bolsas anidadas y mezcladoras se ha ido formando un entramado ilícito sobre el que queremos arrojar luz. Los porcentajes más altos de las transacciones de estos intercambios en particular son en nombre de actores criminales y de ransomware . No podemos permitir que los intercambios anidados más pequeños sirvan de puerta trasera para actividades ilícitas. Eso enturbia todo el ecosistema, en el que predominan los negocios lícitos".

- Todd Conklin, Tesoro de EE.UU.

‍

Aunque en este caso concreto se hace hincapié en este "subsuelo" ilícito, la acción indica que la OFAC está dispuesta y es capaz de perseguir a las entidades relacionadas con las criptomonedas que tengan vínculos con la delincuencia financiera. "Hemos dejado muy claro que los requisitos de la OFAC se aplican al sector de las monedas virtuales del mismo modo que a los bancos y otras instituciones financieras tradicionales", afirma Lawrence Scheinert, director asociado de cumplimiento y ejecución de la OFAC, en la misma entrevista.

El Sr. Scheinert añadió, a la luz de la acción emprendida hoy contra SUEX: "También creemos que el cumplimiento de las normas debe incorporarse a la arquitectura tecnológica desde el principio. El cumplimiento no es opcional. Existen sanciones civiles y penales por incumplimiento y, de hecho, sólo en los últimos ocho meses la OFAC ha publicado dos acciones de aplicación que implican a proveedores de servicios de moneda virtual por incumplimiento de las obligaciones de la OFAC."

Aviso actualizado de ransomware de ‍OFAC

En coordinación con la acción, la OFAC publicó un aviso actualizado sobre los riesgos potenciales de sanciones por facilitar los pagos de Ransomware ("aviso actualizado"). El aviso actualizado se basa en la orientación de octubre de 2020, que declaró: "Las empresas que facilitan los pagos de ransomware a los actores cibernéticos en nombre de las víctimas . . no solo fomentan futuras demandas de pago de ransomware , sino que también pueden arriesgarse a violar las regulaciones de la OFAC". El propósito de la advertencia actualizada es "resaltar los riesgos de sanciones asociados con los pagos de ransomware en relación con actividades cibernéticas maliciosas y las medidas proactivas que las empresas pueden tomar para mitigar dichos riesgos, incluidas las acciones que la OFAC consideraría como "factores atenuantes" en cualquier acción de aplicación relacionada."

El aviso actualizado reitera y que el "gobierno de EE.UU. desalienta enérgicamente a todas las empresas privadas y los ciudadanos de pagar las demandas de rescate o extorsión y recomienda centrarse en el fortalecimiento de las medidas defensivas y de resiliencia para prevenir y proteger contra los ataques de ransomware ", y destaca la acción tomada hoy contra SUEX declarando:

"La OFAC designó a SUEX . . . un intercambio de moneda virtual, por su participación en la facilitación de transacciones financieras para actores de ransomware , involucrando ganancias ilícitas de al menos ocho variantes de ransomware . El análisis de las transacciones conocidas de SUEX mostró que más del 40% del historial de transacciones conocidas de SUEX estaba asociado con actores ilícitos. La OFAC ha impuesto, y seguirá imponiendo, sanciones a estos actores y a otros que ayuden materialmente, patrocinen o proporcionen apoyo financiero, material o tecnológico a estas actividades."

La acción y el aviso señalan la expectativa de la OFAC de que las bolsas, los custodios y otros negocios relacionados con las criptomonedas sean conscientes de la evolución de las tipologías ALD/CFT en las criptomonedas más allá de la detección de orígenes y destinos sospechosos de los fondos. Al poner de relieve el riesgo de los intercambios anidados, la OFAC también está pidiendo a los intercambios regulados más grandes que refuercen sus controles y garanticen que las entidades parásitas no prosperen inconscientemente en sus arquitecturas.

La OFAC también reitera su atención al cumplimiento. En la entrevista de hoy con TRM, por ejemplo, el Sr. Scheinert destacó que es más probable que la OFAC resuelva una acción de aplicación con una carta de no acción si una víctima:

• Coopera plenamente con la OFAC y las fuerzas del orden. El aviso actualizado amplía la lista de organismos a los que la presentación de informes hará que una empresa pueda optar a lo que la OFAC denomina crédito de autodivulgación voluntaria para incluir a la Agencia de Seguridad Cibernética y Seguridad de las Infraestructuras (CISA), así como a la OFAC y a organismos policiales más tradicionales, como el FBI.
• Refuerza las ciberdefensas. Las medidas significativas adoptadas para reducir el riesgo de extorsión por parte de un agente sancionado mediante la adopción o la mejora de las prácticas de ciberseguridad, como las destacadas en la Guía Ransomware septiembre de 2020 de la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA), se considerarán un factor atenuante significativo en cualquier respuesta de aplicación de la OFAC.
• Mantiene un sólido programa de cumplimiento. La OFAC alienta a las instituciones financieras y otras empresas a implementar un programa de cumplimiento basado en el riesgo para mitigar la exposición a violaciones relacionadas con sanciones. Esto también se aplica a las empresas que se relacionan con las víctimas de ataques de ransomware , como las que ofrecen ciberseguros, análisis forense digital y respuesta a incidentes, y servicios financieros que pueden implicar el procesamiento de pagos de rescates.

Por último, como señala en la entrevista Michael Lieberman, director adjunto de cumplimiento de la OFAC, el aviso actualizado "anima encarecidamente a todas las víctimas y a quienes participan en la lucha contra los ataques de ransomware a que denuncien el incidente", con el fin de aprovechar los factores atenuantes en el futuro. Según la OFAC, la notificación temprana también permitirá la mejor oportunidad para recuperar los datos robados y "prevenir o interrumpir futuros ataques". La información debe ser lo más específica posible para ayudar a la OFAC y a las fuerzas de seguridad a rastrear las redes de ransomware . Lieberman explicó: "Buscaríamos el tipo de variantes de ransomware , fechas y hechos clave como la fecha del ataque, cuándo se descubrió el ataque, los plazos de pago del ransomware , las instrucciones de pago y las cantidades exigidas."

¿A quién afecta todo esto y cómo debe responder?

Hoy hemos visto cómo la OFAC perseguía un objetivo específico que permitía actividades ilícitas a una velocidad y escala sin precedentes aprovechándose de un intercambio regulado. La acción ha sido precisa como un bisturí, ya que se ha centrado en una entidad que permite el ransomware y otras actividades ilícitas sin afectar a la criptoeconomía lícita en general.

La acción también pone de relieve los riesgos colaterales experimentados por las empresas posiblemente legítimas operadas por los propietarios e inversores de SUEX u otras bolsas anidadas no reguladas. Estas empresas pueden no ser nombradas en esta acción, pero sus bancos, inversores y clientes seguramente reconsiderarán la conveniencia de hacer negocios, ya sean servicios bancarios o carriles de pago, con los operadores de una bolsa de criptomonedas sancionada por la OFAC.

Las grandes bolsas también están sobre aviso. Los servicios anidados de alto riesgo, o bolsas parásitas, como SUEX presentan enormes riesgos para las entidades reguladas cuya infraestructura comparten. El riesgo sistémico de una designación de la OFAC u otra acción reguladora o de aplicación de la ley no compensa claramente los posibles beneficios empresariales de alojar una bolsa anidada no regulada con un KYC laxo o inexistente.

Los intercambios anidados también pueden ser difíciles de detectar. Como proveedor de Inteligencia en Blockchain que trabaja con algunas de las bolsas de criptomonedas más grandes del mundo para ayudarles a identificar riesgos emergentes como estos, hemos estado estudiando la forma y el comportamiento en la cadena de las bolsas anidadas desde principios de 2020. Hoy en día, los usuarios de TRM aprovechan esta capacidad única, conocida como Ownership Analytics, para identificar intercambios parásitos y otras entidades anidadas que operan en sus plataformas. Para obtener más información sobre esta capacidad y otras tipologías de delitos financieros en la cadena que pueden ser importantes de detectar para su empresa, póngase en contacto con nosotros.

‍