Ataque de dust a Kraken: por qué 12.000 importes minúsculos han bloqueado cuentas de clientes

Si tu cuenta en un exchange de criptomonedas se bloquea sin aviso, puede que no tenga nada que ver contigo. Entre el 17 y el 24 de agosto de 2026, Kraken recibió cerca de 12.000 depósitos minúsculos procedentes de carteras que las firmas de análisis atribuyen al exchange sancionado HTX. Los importes iban en su mayoría de unos pocos céntimos a unos pocos dólares. Al control automático de sanciones del exchange le bastó con eso: las cuentas afectadas quedaron bloqueadas de forma temporal hasta terminar la revisión. Kraken ha restablecido ya el acceso y solo retiene los fondos señalados. Lo que debes llevarte de aquí figura más abajo en tres pasos, y el principal es este: no toques los importes minúsculos de origen desconocido.

Ataque de dust a Kraken: qué ocurrió entre el 17 y el 24 de agosto

En ocho días, los clientes de Kraken recibieron cerca de 12.000 transferencias que nadie había solicitado. Varios medios especializados coinciden en señalar importes de entre unos céntimos y unos pocos dólares por transferencia. El servicio de análisis de blockchain Arkham Intelligence atribuye la cartera emisora al exchange HTX, que antes operaba con el nombre de Huobi.

Kraken ha calificado los hechos de ataque y no de descuido. Un portavoz del exchange declaró a Bloomberg que desconocían quién estaba detrás; los remitentes contaban probablemente con que unos fondos sancionados en la cuenta de un cliente activasen un bloqueo total de la cuenta y perturbasen así la operativa de muchos usuarios a la vez. HTX rechaza cualquier participación y afirma estar analizando si detrás hay una atribución de direcciones errónea, un fallo interno de procedimiento o la actuación de terceros. Ambas versiones conviven; lo acreditado hasta ahora es la atribución de la cartera por parte de un servicio de análisis, no la cuestión de quién ordenó las transferencias.

Qué es un ataque de dust y por qué bloquea cuentas ajenas

Un ataque de dust consiste en el envío masivo de importes minúsculos a direcciones ajenas, con el fin de contaminar su historial de transacciones o de activar las rutinas de control en los proveedores receptores. El nombre viene de la palabra inglesa para polvo: se trata de sumas que por sí solas carecen de valor. El daño no lo causa el importe, sino su procedencia.

En origen, el método servía para desanonimizar. Quien envía polvo a miles de direcciones y observa cuáles de esos importes se gastan después junto con otros saldos puede agrupar direcciones y extraer conclusiones sobre usuarios concretos. El caso de Kraken muestra una segunda aplicación: si el remitente figura en una lista de sanciones, el receptor se convierte en un expediente para el departamento de cumplimiento sin haber hecho nada.

Para ti como inversor la diferencia importa. En un hackeo pierdes saldo. En un ataque de dust pierdes de entrada solo el acceso, y lo pierdes porque tu proveedor está cumpliendo una obligación legal.

Control de sanciones en el exchange: por qué el bloqueo llega solo

Un exchange autorizado en la Unión Europea coteja de forma continua los pagos entrantes con las listas de sanciones. En cuanto aparece una coincidencia, el control se aplica de inmediato y sin decisión humana previa. No es una cuestión de buena voluntad, sino el núcleo del régimen de prevención del blanqueo. Precisamente contra ese automatismo va dirigido un ataque de dust.

En la práctica eso significa que la cuenta queda restringida mientras dura la revisión. Cuánto se prolonga depende del caso concreto. Kraken volvió a liberar el acceso tras concluir las comprobaciones, sin indicar el número de clientes afectados ni la duración de los bloqueos. Qué ocurre jurídicamente en ese tiempo, y por qué a menudo tu proveedor ni siquiera puede indicarte el motivo, lo hemos explicado en cuenta bloqueada en un exchange cripto.

Quien mantiene su saldo exclusivamente en proveedores con autorización europea recibe estos controles igualmente, pero los recibe en un marco en el que hay una autoridad de supervisión competente y existe una vía de reclamación. Cuáles son esos proveedores lo recoge el repaso a los exchanges cripto regulados.

HTX en la lista de sanciones de la UE: el contexto jurídico desde el 23 de agosto

La fecha del ataque coincide con un día señalado. Mediante el Reglamento (UE) 2026/1848, el Consejo de la Unión Europea incorporó la entrada «HTX (HUOBI GLOBAL SA)» al anexo XLV del reglamento de sanciones contra Rusia. El anexo fija como fecha de aplicación el 23 de agosto de 2026. A partir de esa fecha, las transacciones con la plataforma quedan prohibidas para personas y empresas de la UE.

El Reino Unido se adelantó. Allí, Huobi Global S.A. fue designada ya el 26 de mayo de 2026 al amparo de las Russia (Sanctions) (EU Exit) Regulations 2019, según informaciones coincidentes la primera designación nominal de un exchange de criptomonedas por parte del Gobierno británico. Estos dos actos jurídicos son la razón de que un pago de unos céntimos pueda llegar a provocar un bloqueo.

Sobre la prohibición en sí y sobre las plataformas afectadas ya hemos escrito: sobre HTX en la lista de sanciones de la UE y sobre el bloqueo de catorce plataformas a partir del 23 de agosto. Este artículo aborda la consecuencia que entonces aún no era previsible: que fondos sancionados acaben en manos de clientes de exchanges completamente distintos.

4,2 millones de dólares congelados: qué ocurre con los fondos señalados

Según informaciones de varios medios especializados, Kraken sigue reteniendo unos 4,2 millones de dólares procedentes del episodio, mientras que las cuentas en sí ya han sido liberadas. El exchange no ha confirmado públicamente ese importe, y al menos una de las redacciones que lo publican lo señala expresamente como no verificado de forma independiente. Trata la cifra, por tanto, como un orden de magnitud y no como una partida contable comprobada.

La separación es el punto realmente importante: el acceso a la cuenta y los fondos señalados se tratan por separado. El resto del saldo sigue siendo negociable; la parte marcada, no. Para ti eso significa que, llegado el caso, un bloqueo no afecta automáticamente a todo tu patrimonio, pero también que la parte marcada puede quedar inmovilizada por tiempo indefinido mientras la situación jurídica siga sin aclararse.

Dust en la cartera: por qué no deberías mover esos importes minúsculos

Si en tu propia cartera aparece un importe minúsculo inexplicable, rige una regla sencilla: déjalo donde está. El polvo no causa ningún daño mientras siga intacto. Se vuelve peligroso en el momento en que lo gastas junto con el resto de tu saldo, porque entonces la blockchain vincula de forma permanente la procedencia de ese polvo con tus demás fondos.

En bitcoin eso se debe a la arquitectura de la red. Cada pago en bitcoin se compone de piezas de saldo individuales y claramente delimitadas, los llamados UTXO. Un UTXO es una entrada de pago única, todavía no gastada, que tu cartera gestiona como una pieza autónoma. Si al pagar te llevas por descuido el UTXO de polvo, su historial pasa a la nueva transacción.

Hay dos cosas que conviene evitar en esta situación. No pulses ningún enlace que aparezca junto a un token inesperado en tu cartera y no intentes «devolver» el importe. Ambos reflejos son un patrón frecuente que convierte una contaminación inofensiva en una pérdida real.

Coin control y selección de UTXO: cómo aislar los importes contaminados

Un buen software de cartera te deja elegir qué piezas de saldo puede utilizar un pago. Esa función se llama coin control. El coin control es la selección manual de las entradas con las que se forma una transacción. Te permite mantener un importe marcado permanentemente apartado del resto de tus fondos sin tener que borrarlo. Borrarlo no es posible en ningún caso, porque lo que está en la blockchain ahí se queda.

En la práctica: marca la entrada de polvo en tu cartera como no gastable y déjala ahí. En una cuenta de un exchange no tienes esa posibilidad, porque el exchange gestiona las claves y hace la selección por su cuenta. Esa es una de las razones por las que los saldos grandes corresponden a la autocustodia; qué dispositivos entran en consideración lo recoge la comparativa de carteras hardware.

Importa poner el orden en su sitio: la autocustodia no te protege de recibir polvo. Cualquier dirección pública puede recibir algo en cualquier momento; eso no es una vulnerabilidad, sino el funcionamiento del sistema. La autocustodia solo te da el control sobre lo que ocurre después con lo recibido.

Cuenta bloqueada: qué documentación acorta la revisión

Si tu cuenta queda efectivamente restringida, la calidad de tu documentación decide cuánto dura esa situación. Conviene tener una prueba del origen de los fondos para los saldos afectados: justificantes de compra del exchange, extractos bancarios de la transferencia y, en transferencias desde una cartera propia, los identificadores de transacción.

Para la entrada no solicitada en sí, sobre todo ayuda una cosa: el identificador de la transacción en cuestión y la indicación de que no la pediste y no la has movido después. Quien ya haya movido el polvo debería declararlo también con franqueza: el revisor ve la cadena de todos modos, y una omisión cuesta más tiempo del que ahorra.

Ponte una expectativa realista. Una revisión de sanciones no es un trámite de atención al cliente que la insistencia acelere. La revisión termina cuando la valoración está cerrada.

Saldo en una plataforma sancionada: la vía de autorización del artículo 5ad

Un caso particular afecta a todos los que aún tienen saldos en HTX o en otra plataforma incluida en la lista. El reglamento prevé para ello una excepción de alcance estrecho. Conforme al apartado 4 añadido al artículo 5ad, las autoridades competentes de un Estado miembro pueden autorizar las transacciones estrictamente necesarias para retirar fondos o cerrar cuentas.

El texto somete esa autorización a condiciones, y conviene conocerlas antes de hacer planes:

• Tienen derecho los nacionales de un Estado miembro, de un Estado del EEE o de Suiza, así como las personas físicas con permiso de residencia temporal o permanente en ellos.
• La transacción debe ser necesaria para poner fin a la relación contractual con la entidad incluida en la lista.
• La solicitud debe presentarse a más tardar tres meses después de la fecha de aplicación indicada en el anexo. Para HTX esa fecha de aplicación es el 23 de agosto de 2026.
• Los fondos deben transferirse a una entidad financiera o de crédito constituida o registrada conforme al derecho de un Estado miembro.

Cada autorización se concede por un máximo de tres meses. La competencia corresponde a la autoridad de tu Estado miembro, no al exchange, y la decisión queda a su criterio; la norma no te da derecho a un resultado determinado.

Regulado o no: qué cambia en este riesgo la elección del exchange

El caso se presta a una lectura equivocada. Kraken hizo aquí lo que exige el derecho de sanciones. Un exchange que ni siquiera revisa los fondos entrantes procedentes de carteras incluidas en la lista es para ti el lugar más peligroso. Allí el problema crece en silencio hasta que una autoridad de supervisión lo detecta.

Lo que sí puedes gobernar es el reparto. Una cuenta en la que está todo tu patrimonio convierte cualquier revisión en una parálisis total. Dos proveedores y un almacenamiento propio la convierten en una molestia.

Análisis propio: el texto del reglamento revisado en su integridad

Para este artículo hemos leído nosotros mismos el acto jurídico de referencia en lugar de tomarlo de segunda mano. Este análisis lo elaboró cryptoticker.io por su cuenta el 27 de agosto de 2026.

Método: la versión alemana del Diario Oficial del Reglamento (UE) 2026/1848 se consultó ese mismo día en EUR-Lex en su texto HTML íntegro, se despojó de su marcado y se recorrió en busca de las entradas relativas a HTX y de las modificaciones del artículo 5ad. Se revisaron exactamente dos pasajes del acto, cada uno en su integridad: la entrada del anexo XLV y el apartado 4 añadido al artículo 5ad.

Resultado: el anexo recoge «HTX (HUOBI GLOBAL SA)» con fecha de aplicación de 23 de agosto de 2026. El apartado 4 del artículo 5ad contiene literalmente las cuatro condiciones citadas arriba, además de la duración máxima de tres meses por autorización y la obligación del Estado miembro de informar a los demás Estados miembros y a la Comisión en el plazo de dos semanas.

Lo que no pudimos comprobar forma parte también del cuadro: primero, cómo resuelve efectivamente una autoridad nacional concreta una solicitud de este tipo, porque la norma le concede expresamente margen de apreciación. Segundo, la designación británica, que solo pudimos acreditar a través de la prensa; el texto oficial íntegro no estaba a nuestra disposición. Y tercero, todos los datos sobre el desarrollo del propio ataque, es decir, el número de transferencias, el periodo y el importe retenido, que proceden de la prensa y que no hemos vuelto a contar.

Qué habrá que observar en las próximas semanas

Dos evoluciones decidirán si este episodio queda como un caso aislado. La primera es la cuestión de la autoría: mientras siga abierto quién ordenó las transferencias, seguirá abierto también si el patrón se repite. La segunda afecta a los demás proveedores europeos. Kraken es el exchange en el que el episodio se hizo público; con eso no queda dicho que otras plataformas no hayan recibido nada de la misma fuente.

Para ti de ahí no se sigue nada dramático, pero sí algo concreto: revisa en los próximos días la lista de entradas de tus cuentas y de tus carteras en busca de importes que no puedas ubicar, y déjalos intactos.

Ataque de dust y bloqueo de cuenta: qué te llevas de aquí

1. No muevas los importes minúsculos de origen desconocido. Repasa las entradas de tus carteras y cuentas, marca los flujos que no puedas explicar y no los gastes junto con el resto de tus fondos. Donde quieras hacer tú mismo la selección necesitas claves propias; los dispositivos para ello están en la comparativa de carteras hardware.
2. Comprueba dónde está tu saldo y quién responde de él. Un exchange con autorización europea bloquea igual, pero lo hace dentro de un marco con supervisión y vía de reclamación. El repaso a la autorización y la sede de los proveedores lo encuentras en los exchanges cripto regulados.
3. Reparte los saldos en lugar de dejarlo todo en una cuenta. Quien utiliza dos proveedores no se queda sin capacidad de actuar mientras corre una revisión. Qué plataformas se prestan a ello y cuánto cuestan lo muestra la comparativa de los mejores exchanges cripto.

Las dos fuentes de este artículo puedes consultarlas tú mismo: el texto del Reglamento (UE) 2026/1848 en EUR-Lex y el relato del episodio en crypto.news.

(27 de agosto de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)