¿La primera criptoguerra? Evaluación del ecosistema ilícito de blockchain a un año de la invasión rusa de Ucrania

Cuando Rusia invadió Ucrania el 24 de febrero de 2022, muchos analistas y comentaristas anticiparon que se convertiría en la primera criptoguerra del mundo.

Había varias razones para tales predicciones. La ofensiva provocó el primer gran conflicto internacional desde la aparición de las criptomonedas en la década de 2010. También coincidió con el punto álgido de la carrera alcista de las criptomonedas, cuando el bitcoin y los bienes basados en blockchain, como las NFT, alcanzaron máximos históricos y la máxima expectación. 

En segundo lugar, los países de la antigua Unión Soviética han dominado durante mucho tiempo la actividad mundial de piratería informática y ciberdelincuencia. Ambos factores crearon expectativas de que la guerra cibernética desempeñaría un papel importante en el conflicto. 

En tercer lugar, la adopción incondicional de las criptomonedas por parte de Ucrania para las donaciones internacionales, junto con el temor a que las sanciones occidentales estimularan un aumento de la adopción de criptomonedas por parte de entidades rusas que trataban de eludirlas, también contribuyó a crear una sensación de centralidad de las criptomonedas en el conflicto. 

En el primer aniversario de la guerra, TRM Labs ha centrado su análisis en el estado del ecosistema ilícito de criptomonedas durante el pasado año. Este informe analiza cómo los ciberdelincuentes han ajustado sus organizaciones y tácticas para adaptarse a los continuos trastornos financieros, políticos y logísticos a los que se enfrentan Europa y el resto del mundo.

Principales resultados

Antes de febrero de 2022, Rusia y Ucrania, junto con varios países vecinos, mostraban amplios puntos en común en lo que respecta a la criptodelincuencia. 

Los intercambios vinculados a Rusia y Ucrania representaron más de la mitad de todos los volúmenes internacionales de criptomonedas ilícitas, mientras que los sindicatos de ciberdelincuentes y otros grupos ilícitos estaban formados por personas de habla rusa de toda la región, con poca división aparente entre líneas nacionales o étnicas. Los objetivos de estos grupos de malware solían tener motivaciones comerciales, más que políticas.

Los mercados de la darknet (DNM) en ruso dominaban el comercio mundial de criptodrogas en términos de volumen y parecían impermeables a la acción de las fuerzas de seguridad. También conocidos como criptomercados, los DNM son plataformas de comercio ilícito global en línea con múltiples vendedores que se especializan principalmente en la venta de drogas ilícitas.

Los DNM combinan redes de anonimización y criptomonedas con tecnologías de cifrado. Se diferencian de las tiendas independientes de un solo vendedor que también venden drogas ilícitas, y de otros tipos de tiendas fraudulentas. Los depósitos en los DNM en ruso representan más del 80% de todos los depósitos realizados en los mercados de la darknet a nivel mundial. En el año transcurrido desde el estallido de la guerra, la investigación de TRM ha observado cambios en muchas de estas características, mientras que otras han permanecido prácticamente inalteradas.

Consulte aquí el informe completo, que recoge las principales conclusiones resumidas a continuación:

• A pesar de las sanciones y los cierres occidentales, siguen prosperando los DNM en ruso, los grupos de Ransomware y los intercambios de alto riesgo

El año 2022 estuvo marcado por una acción sin precedentes de los gobiernos occidentales y las fuerzas del orden contra los DNM y las centrales de alto riesgo vinculadas a Rusia. En abril de 2022, la policía alemana confiscó los servidores de Hydra, en aquel momento el mayor DNM del mundo.

Ese mismo mes, la Oficina de Control de Activos Extranjeros (OFAC) del Departamento del Tesoro de Estados Unidos sancionó tanto a Hydra como a Garantex, una criptobolsa con sede en Rusia que también estaba registrada en Estonia y que fue acusada de facilitar más de 100 millones de dólares en transacciones asociadas con actores ilícitos y DNM, incluidos casi 6 millones de dólares de la banda rusa de ransomware Conti y unos 2,6 millones de dólares de Hydra.

A pesar de estas acciones, Garantex no solo sigue operando, sino que ha duplicado con creces sus volúmenes de negociación en el transcurso de 2022. Del mismo modo, la investigación de TRM descubrió que los nuevos DNM en ruso han llenado rápidamente el vacío dejado por Hydra, con ventas en mayo-diciembre de 2022 que igualan y superan las realizadas entre enero y abril, cuando Hydra aún estaba activa.

Y aunque Conti cerró oficialmente en mayo de 2022, ha seguido operando tras cambiar de marca como varias entidades más pequeñas pero relacionadas. Una de ellas, Karakurt, parece haber sido creada por Conti como proyecto paralelo en 2021. 

Rusia sigue albergando el mayor número de bolsas de criptomonedas de alto riesgo del mundo, con casi el 10% de todas las transacciones de sus bolsas clasificadas por TRM como de alto riesgo, una cifra que se ha mantenido relativamente constante antes y después de la invasión. Situadas fuera del alcance de las fuerzas de seguridad occidentales, estas bolsas de alto riesgo vieron cómo los volúmenes de criptodivisas en 2022 descendían solo ligeramente respecto al año anterior, incluso cuando el criptoinvierno acabó con alrededor del 60% del valor del bitcoin. 

• Entidades vinculadas al material de abuso sexual infantil (CSAM) acuden a los intercambios y a los DNM rusos de alto riesgo

El colapso total de la cooperación entre Rusia y Occidente en materia de ciberdelincuencia puede haber favorecido el surgimiento de actividades ilícitas nuevas o poco comunes hasta ahora. 

La investigación de TRM rastreó 3,81 millones de USD enviados a entidades vinculadas al CSAM a lo largo de 2022. La investigación de TRM descubrió un repunte en los volúmenes de fondos enviados por entidades vinculadas al CSAM a bolsas rusas de alto riesgo en el período previo e inmediatamente posterior a la invasión. Y aunque ya se habían observado algunos vínculos entre los actores del CSAM y los DNM, el tráfico hacia los DNM creció significativamente en 2022.

Los actores del CSAM pueden haber recurrido a los DNM en ruso como mezcladores para ocultar el origen de los fondos aprovechando la complejidad de la infraestructura de criptomonedas desplegada por dichos mercados y posiblemente debido a la percepción de que los DNM están fuera del alcance de las fuerzas de seguridad internacionales.

• Se detecta una creciente politización entre los piratas informáticos, pero no en los mercados o foros de la Darknet

La guerra coincidió con la politización de algunos grupos de hacking y ciberdelincuencia de habla rusa, varios de los cuales empezaron a solicitar criptodonaciones. Por ejemplo, el grupo de malware y DDOS KillNet prometió su lealtad al Estado ruso y amenazó con atacar a entidades vinculadas a países, como Estados Unidos y sus aliados, que se oponen a la política exterior rusa. 

KillNet también ha utilizado su popular canal de Telegram para recaudar criptomonedas que, según afirma, financian donaciones de equipos militares a unidades del ejército ruso. La contraparte proucraniana de KillNet, Dump Forums, ha llevado a cabo ciberataques contra objetivos rusos y también recauda fondos a través de Telegram.

Por otro lado, otras áreas de la criptoeconomía ilícita parecen haber permanecido relativamente aisladas de las fisuras geopolíticas. Este es el caso de los DNM y los foros de la darknet. Nuestro análisis demostró que, aunque algunos DNM han adquirido una reputación pro-rusa o pro-ucraniana, en general el espacio se ha mantenido políticamente neutral. 

Los imperativos comerciales -la competencia por la calidad del producto y la carrera por el dominio del mercado tras el cierre de Hydra, el mayor DNM del mundo, en abril de 2022- parecen imponerse a la política, y los grupos se alían y atacan entre sí independientemente de sus supuestas inclinaciones políticas. 

‍