Ethereum del hackeo de Drift: el atacante mueve hasta 61 millones de dólares a Tornado Cash

El botín del ataque contra Drift Protocol vuelve a moverse. El 20 de octubre de 2026, carteras que los observadores atribuyen al atacante enviaron una gran parte de los ether robados al mezclador Tornado Cash, después de unos dos meses de inactividad de las direcciones. Las cifras sobre el importe difieren y se sitúan entre 32 y 61,6 millones de dólares. Para los inversores europeos no es una noticia lejana: el ether blanqueado acaba en el mercado abierto, y aceptarlo sin saberlo expone a un depósito congelado.

25.700 ether en dos horas: las cifras del movimiento del 20 de octubre

El valor más alto lo aporta el servicio de análisis Lookonchain. Según su lectura, el 20 de octubre entraron en Tornado Cash 25.700 ether, por un contravalor de unos 61,56 millones de dólares, en el plazo de dos horas. El primer aviso del día llegó de Onchain Lens y fue menor: 13.400 ether, equivalentes a unos 32 millones de dólares, desde una dirección que los observadores identifican como «Drift Exploiter 5». La empresa de seguridad Salus contó por su parte 19.600 ether, alrededor de 46,81 millones de dólares, repartidos en 196 transacciones individuales.

Para situar la magnitud: un ether cuesta cerca de 2.436 dólares, o 2.168 euros, el 20 de octubre de 2026. Los 25.700 ether del cálculo de Lookonchain equivalen por tanto a unos 55,7 millones de euros.

Tres observadores, tres importes: el método explica el rango de 32 a 61 millones de dólares

El rango no es una contradicción, sino consecuencia del método de medición. Cada servicio vigila sus propios grupos de direcciones, recorta el periodo de forma distinta y convierte a precios diferentes. Onchain Lens informó temprano; Lookonchain actualizó más tarde y recogió así más transacciones. Salus analizó un tercer corte. Solo el rango resulta sólido, por tanto, y no una cifra aislada. Citar el dato más pequeño minimiza el movimiento del día; quedarse solo con el mayor equivale a agarrarse a una instantánea.

Mezclador: un mezclador es un contrato en la blockchain que agrupa los depósitos de muchos usuarios y los devuelve más tarde en porciones de igual tamaño, de modo que depósito y retirada ya no pueden vincularse de forma inequívoca.

Qué hace técnicamente un mezclador cripto como Tornado Cash

Tornado Cash funciona con denominaciones fijas y una prueba criptográfica. Quien deposita recibe un comprobante secreto. Al retirar, acredita con él que depositó en algún momento, sin mostrar cuál de los depósitos era el suyo. Cuantos más participantes haya a la vez en el fondo común, mayor es la masa en la que desaparece un importe concreto. A eso apuntan precisamente las 196 transacciones individuales que contó Salus: muchos pasos pequeños son más difíciles de atribuir que una única transferencia grande.

La técnica no borra del todo el rastro, sin embargo. Las firmas de análisis trabajan con ventanas temporales, importes y el comportamiento posterior de las direcciones. Que tres servicios advirtieran el movimiento el mismo día, de forma independiente, muestra lo estrechamente vigiladas que están ya esas direcciones.

81.500 ether permanecen en manos del atacante: el resto del botín

El movimiento del 20 de octubre no ha agotado el botín. Arkham Intelligence cifró después el saldo restante en unos 81.454 ether, alrededor de 194 millones de dólares. Lookonchain llegó a unos 81.864 ether y, por tanto, cerca de 195 millones de dólares. Estimaciones anteriores iban de 82.000 a 94.000 ether y hasta 224 millones de dólares. El atacante dispone así todavía de un múltiplo de lo que ese día pasó por el mezclador.

Dos meses de quietud antes del movimiento

Llama la atención el ritmo. Las direcciones permanecieron inactivas unos dos meses antes de activarse a gran escala en un solo día. Ese patrón se conoce de otros casos: quien espera a que decaiga la atención pública encuentra menos observadores y servicios que ya no revisan una dirección a diario.

El ataque del 1 de abril de 2026: 295,4 millones de dólares en una plataforma de Solana

Drift Protocol era una plataforma de negociación de derivados en la blockchain de Solana. El 1 de abril de 2026 perdió en poco tiempo la mayor parte de los fondos depositados por sus clientes. La propia Drift Foundation habla en su informe de recuperación de unos 295,4 millones de dólares sustraídos a los usuarios. Algunos medios especializados citan 285 millones de dólares y un desarrollo de doce minutos; los primeros relatos de la semana del ataque superaban los 270 millones de dólares. El rango de 285 a 295,4 millones de dólares constituye por tanto el marco sólido.

Cómo continuó la plataforma lo describió la redacción en octubre: un sucesor arrancó con el nombre de Velocity. Los detalles figuran en el artículo Velocity sustituye a Drift tras el hackeo.

Mandiant y Chainalysis señalan ambos a Corea del Norte, pero nombran grupos distintos

Aquí los investigadores divergen, y eso forma parte del cuadro. En su informe del 3 de junio de 2026, la Drift Foundation recoge la investigación de Mandiant, que según su propia exposición atribuye el ataque de forma inequívoca al grupo UNC6862, un actor hostil norcoreano. TRM Labs y Chainalysis remiten en cambio a UNC4736, también conocido como Citrine Sleet, igualmente con vínculo estatal norcoreano. Ambas atribuciones coinciden en el origen y difieren en el grupo nombrado. No existe una constatación pública definitiva de una autoridad.

En el rastreo participan, según la fundación, Mandiant, zeroShadow y SEAL 911. Un caso comparable es de hace solo unas semanas: en el exchange Bitget, Chainalysis atribuyó un robo de 387 millones de dólares al mismo origen, como expone nuestro artículo sobre la atribución de Bitget.

9,2 millones de dólares congelados: qué dice la Drift Foundation sobre la recuperación

El balance de la recuperación es sobrio. De los cerca de 295,4 millones de dólares, alrededor de 9,2 millones de dólares estaban congelados según la fundación, es decir, en torno al 3 %. Congelado no significa recuperado: la fundación escribe que la liberación discurre por las autoridades judiciales y requiere tiempo. Ya en agosto había pasado botín por Tornado Cash, de modo que el movimiento del 20 de octubre no es el primero.

Los usuarios perjudicados pueden registrar reclamaciones a través de un fondo de compensación que opera bajo las siglas DFX. Los primeros pagos, a comienzos de octubre, supusieron algo más del 1 % de las pérdidas de los usuarios, y las reclamaciones se abrieron a un céntimo por token. A ello se añade una recompensa pública del 10 % sobre los fondos efectivamente recuperados, que la fundación ha lanzado junto con Bybit.

Tornado Cash ya no figura en la lista de sanciones de EE. UU. desde marzo de 2025

Un malentendido extendido afecta al estatus jurídico del mezclador. El Tesoro estadounidense retiró Tornado Cash de la lista de sanciones el 21 de marzo de 2025. La publicación lleva el título «Cyber-related Designation Removal; North Korea Designation Update and Removal» y recoge la entrada TORNADO CASH, junto con las direcciones de ether asociadas, entre las supresiones. Puede consultarse en el anuncio de la autoridad de sanciones estadounidense, la OFAC. Lo precedió la sentencia del Tribunal de Apelaciones del Quinto Circuito en el caso Van Loon contra el Tesoro, del 26 de noviembre de 2024.

La supresión afecta a la herramienta, no al hecho. Los fondos robados siguen siendo robados, sea cual sea el camino que tomen. Para uno de los fundadores, la designación bajo el programa de Corea del Norte se mantuvo incluso según el mismo anuncio, mientras desaparecía la designación cibernética. Deducir de ello que un depósito con historial de mezclador no plantea problemas confunde el derecho de sanciones con la supervisión antiblanqueo.

Ley antiblanqueo: un exchange en Alemania puede retener un depósito

Los proveedores que atienden a clientes en Alemania están sujetos a la ley de blanqueo de capitales. Esas casas deben comprobar el origen de los activos, comunicar las operaciones llamativas a la unidad de inteligencia financiera y pueden retener una transacción hasta su aclaración. En la práctica trabajan con los mismos servicios de análisis que siguen el botín de Drift. Si un importe entrante aparece a escasa distancia de un mezclador o de una dirección marcada, el sistema salta.

Para el cliente eso significa: el abono puede quedar en suspenso, una retirada se detiene y el proveedor pide justificantes del origen. Un caso así se resuelve con documentos, no con objeciones. Comprobantes de compra, extractos bancarios y un camino trazable desde la entrada hasta el depósito son entonces la única base sobre la que puede aclararse algo. Quien compra a través de casas con licencia dispone de esa prueba de todos modos. Un panorama de proveedores regulados lo mantiene la redacción en la comparativa de exchanges cripto.

Custodia y vías de depósito: dónde llama la atención el ether de segunda mano

El riesgo no surge al comprar en un exchange con licencia, sino en los márgenes. Las operaciones directas con contrapartes desconocidas, las ofertas de intercambio en grupos de chat y los pagos de terceros por servicios son los puntos de entrada habituales de fondos con historia. Quien acepta ether de esas fuentes y lo deposita después en un exchange carga con la prueba.

La custodia propia no cambia nada respecto al origen. Una cartera hardware excluye el acceso de terceros a las claves y es la medida más eficaz contra el phishing y los ataques a servicios, pero no convierte fondos marcados en fondos sin marcar. Los dispositivos y su manejo los contrapone la redacción en la comparativa de carteras hardware. La utilidad está en proteger tus propios saldos, no en limpiar un historial.

Ante una retirada detenida, los justificantes cuentan más que la objeción

Responde primero por completo a la consulta del proveedor, con fecha, contraparte e importe. Reúne después los identificadores de transacción que muestran el camino de los fondos hasta tu propia entrada. Si tú mismo no conoces el origen, dilo abiertamente, porque una explicación inventada pesa más ante el supervisor que una laguna.

En contexto: un depósito en un mezclador no prueba una venta

Una delimitación final, que se pierde en muchas noticias. Que 25.700 ether entren en un mezclador no dice nada sobre si se venderán ni cuándo. Los fondos reposan después en un contrato y el destino de la retirada queda abierto. De ahí no se deriva una presión inmediata sobre el precio del ether, sobre todo porque el importe es pequeño frente al volumen diario de negociación. Leer el movimiento como una señal de venta atribuye a los datos algo que no sostienen. La operación está acreditada; la intención que hay detrás, no.

Quedan abiertos tres puntos: qué grupo está realmente detrás del ataque, cuándo se liberarán los 9,2 millones de dólares congelados y a dónde irán los cerca de 81.500 ether restantes.

Botín de Drift: 81.500 ether siguen en manos del atacante

1. Comprueba por qué vías ha entrado ether en tus saldos y archiva comprobantes de compra de cada entrada. Para compras futuras, la vía segura pasa por los proveedores con licencia de la comparativa de exchanges.
2. Traslada los saldos mayores a custodia propia, para que un ataque contra un servicio no alcance tus claves. Los dispositivos de la comparativa de carteras hardware muestran las diferencias de manejo y de concepto de respaldo.
3. Evita las operaciones directas con contrapartes desconocidas. Si aun así un depósito se atasca, responde a las preguntas del proveedor con justificantes en lugar de objeciones.

(20 de octubre de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)