Tras la pista de los estafadores del juego del calamar

Hace poco más de un año, el mundo de las criptomonedas se vio sacudido por una de las estafas más sencillas y audaces de su historia. Aprovechando el frenesí mundial en torno a Squid Game, un violento drama surcoreano que se convirtió en el programa más visto de Netflix, unos estafadores lanzaron un token negociable llamado SQUID. Su llamativo sitio web y sus ingeniosas cuentas en las redes sociales, repletas de imágenes de la serie, sugerían falsamente un respaldo oficial.

La historia es el tema de un podcast recién publicado en Audible y producido por ITN. TRM llevó a cabo una investigación en profundidad de la estafa en cadena, de la que habla el Jefe de Investigaciones Globales de TRM, Chris Janczewski, a lo largo del podcast.

Lea aquí nuestro informe detallado sobre la investigación.

Pocas semanas después del lanzamiento de SQUID en octubre de 2021, su precio se disparó más de un 40.000%. Pero cuando los titulares se apresuraron a realizar sus ganancias, se vieron bloqueados por los smart contracts que sustentaban los tokens. Resultó que estos contratos solo permitían vender a los creadores. Cuando los creadores se retiraron, el precio de SQUID se desplomó de 2.862 dólares a una fracción de céntimo, dejando a los inversores con el agua al cuello. En unos instantes, los estafadores anónimos se llevaron millones.

Los autores de SQUID perfeccionaron muchos de los principios que caracterizan a las estafas de criptomonedas:

- El uso de bolsas descentralizadas (DEX), con bajas barreras de entrada.

- Smart contracts amañados contra los compradores de tokens

- Blanqueo de fondos robados a través de servicios de mezcla (incluido el servicio ahora sancionado, Tornado Cash).

- Intercambios de cadenas cruzadas y proveedores de servicios de activos virtuales (VASP) de alto riesgo con requisitos mínimos o inexistentes en materia de CSC. 

TRM LabsLa capacidad de TRM Labs para rastrear complejos intercambios entre cadenas utilizando nuestra herramienta Forensics permitió a los investigadores seguir el flujo de estos fondos robados. El análisis de TRM también ayudó a vincular a los estafadores de SQUID con otras dos estafas similares. Aunque el valor total obtenido de las tres estafas es difícil de determinar debido a la complejidad del proceso de blanqueo, la investigación de TRM Labs estima que fue de al menos 35.025 BNB (aproximadamente 19,3 millones de USD en el momento de los hechos). 

Los estafadores se aprovecharon de la apertura de DeFi 

Los contratos de tokens de SQUID tenían dos funciones clave que permitieron la estafa. La primera daba permiso a sus creadores para drenar fondos de cualquier fondo de liquidez vinculado. En segundo lugar, los contratos estaban codificados de tal manera que la venta del token no era prácticamente posible para nadie más que para los estafadores. 

En el corazón de las finanzas descentralizadas está el rechazo a la burocracia y a los guardianes institucionales. Los estafadores de SQUID parecen haberse aprovechado de estos principios democráticos y de la falta de supervisión central para incluir su token comprometido en Pancake Swap. Los pares de tokens listados en los pools de liquidez podrían entonces negociarse libremente utilizando cualquier activo del pool. 

La lavandería de los calamares

Mucho más sofisticada que la estafa en sí era la forma en que se blanqueaban sus ganancias. Una vez que los estafadores agotaron la liquidez del fondo que habían establecido en Pancake Swap, intercambiaron primero los tokens SQUID por WBNB, o una moneda Binance Coin envuelta que permitía intercambios con otros tokens. A continuación, convirtieron el WBNB en Binance Coin (BNB) normales, que retiraron del DEX. La mayor parte se envió a Tornado Cash, un conocido servicio de mezcla utilizado para ocultar el origen de las criptomonedas. 

Los fondos depositados en Tornado Cash se retiraron y consolidaron rápidamente. Sólo el 1 de noviembre de 2021, se realizaron 55 depósitos en Tornado Cash que se enviaron a una única dirección. A continuación, los estafadores utilizaron aplicaciones puente para trasladar los fondos a la red Ethereum.

VASPs con controles KYC deficientes: La rampa de salida perfecta para los delincuentes

En toda estafa, uno de los mayores retos para el estafador es cómo convertir las ganancias mal habidas en dinero en efectivo que pueda gastarse en el mundo real. Los presuntos delincuentes de SQUID recurrían a dos bolsas de criptomonedas con mínimos controles de verificación y KYC. Análisis de TRM Labs demostró que una parte significativa de las ganancias se cobró a través de una entidad establecida en el ecosistema criptográfico que ofrece una amplia variedad de servicios financieros, incluida la posibilidad de depositar, negociar y retirar activos virtuales sin comprobaciones de identidad.

Al menos 2.693 ETH (alrededor de 11,1 millones de USD en ese momento) se enviaron a este VASP desde direcciones vinculadas a los estafadores de SQUID. Antes de llegar, los fondos se canalizaron a través de dos servicios de "limpieza" -Tornado Cash, un mezclador, y Compound, un protocolo descentralizado de préstamos y empréstitos que permite a los usuarios ganar intereses por sus tenencias de criptomonedas, pero que también puede servir para ocultar el origen de los fondos. El segundo VASP recibió la parte restante de los ingresos que no se había migrado a otras cadenas. Irónicamente, aunque los proveedores de servicios de valor añadido parecían haber permitido la estafa debido a sus bajos estándares de KYC, sus mecanismos de protección de datos no permitían a los proveedores de servicios de valor añadido acceder a los fondos. TRM Labs acceder a la información pertinente de las cuentas, que podría haber proporcionado pistas sobre la identidad de los estafadores.  

Afortunadamente, a pesar de todas sus importantes habilidades, los estafadores detrás de SQUID dejaron un rastro de errores que pudo ser seguido por los investigadores. Entre los fallos se incluían errores aparentes al utilizar servicios mixtos, patrones de comportamiento coherentes y una dependencia excesiva de sólo dos proveedores de servicios de valor añadido. Sin embargo, estas pistas han resultado insuficientes para identificar a los culpables o reunir a las víctimas con sus fondos perdidos, por el momento.

Un mercado bajista no debe generar complacencia 

¿Podría repetirse lo de SQUID?

El ambiente febril y las perspectivas de ganancias sensacionales llevaron a muchos inversores a pasar por alto o racionalizar las señales de alarma, como la falta de asociaciones oficiales de SQUID y un libro blanco lleno de errores e incoherencias.

En última instancia, la facilidad con la que se pueden crear y cotizar tokens en bolsas descentralizadas sigue planteando riesgos. Además, la difícil coyuntura económica puede llevar a muchos a asumir riesgos extremos para rentabilizar sus activos. Todo esto sugiere que, sea cual sea la forma que adopte, otra estafa masiva podría estar en el horizonte. Llevar a cabo una diligencia debida exhaustiva antes de invertir en cualquier nuevo proyecto, y utilizar herramientas como Chainabuse, sigue siendo la mejor manera de evitar convertirse en víctima. La TRM también seguirá respondiendo rápidamente a delitos de esta naturaleza rastreando los flujos de fondos, activando las redes pertinentes y, en última instancia, ayudando a obstaculizar la capacidad de los actores ilícitos para blanquear los beneficios de estas hazañas.