La atribución en la práctica: ransomware, estafas y robos atribuidos a la RPDC

Tres tipos de casos predominan en el trabajo de atribución: el ransomware, las estafas a escala industrial y los grandes robos que las autoridades atribuyen a grupos vinculados a Estados, como los de la República Popular Democrática de Corea (RPDC). Cada uno tiene un patrón reconocible en la cadena, una infraestructura típica de conversión a dinero fiduciario y una forma habitual en que la atribución se hace pública. Conocer estos patrones agiliza una investigación; apoyarse demasiado en ellos produce una atribución excesiva, el error de atribución más común en la práctica. Esta lección aplica las capas, las fuentes y las pruebas de vinculación de las lecciones anteriores a estas tres tipologías y termina con un ejemplo resuelto ficticio.

Tres tipologías de un vistazo

La última fila es la más importante. En los casos de ransomware y estafas, a menudo es posible determinar la identidad mediante los registros de los puntos de conversión a dinero fiduciario. En los robos atribuidos a la RPDC, el trabajo del investigador suele consistir en el rastreo, la congelación y la recuperación, tomando de las autoridades la atribución del actor.

Ransomware

La mayor parte del ransomware opera como servicio: los desarrolladores proporcionan el malware y la infraestructura de pago, los afiliados irrumpen en los sistemas de las víctimas y lo despliegan, y cada pago se reparte. En el caso del grupo DarkSide, los analistas informaron en 2021 de que los afiliados se quedaban con entre el 75% y el 90%, según el importe del rescate, y de que el reparto era visible en la cadena como dos salidas de proporción predecible. Tras el ataque a Colonial Pipeline (mayo de 2021), los investigadores rastrearon el rescate de aproximadamente 75 BTC e incautaron 63,7 BTC de una dirección (véase la lección Rastreo conforme a un estándar probatorio). Los análisis públicos señalaron que el importe incautado era aproximadamente el 85% del pago, lo que concordaba con la parte de un afiliado; el anuncio oficial no lo indicó, y un informe riguroso describiría esa interpretación como una inferencia.

Características útiles para la atribución:

• Las direcciones de pago suelen ser únicas para cada víctima, por lo que el registro de pago de la víctima y la transcripción de la negociación establecen con certeza el punto de partida.
• Las billeteras de los desarrolladores reciben partes de los pagos de muchas víctimas. Cuando uno de esos pagos se menciona en un comunicado de una autoridad, la billetera del desarrollador puede vincularse al grupo como una inferencia propia a partir del comunicado.
• Los sitios de filtraciones donde los grupos publican datos robados son fuentes abiertas que permiten fechar los incidentes e identificar a las víctimas. Contienen datos personales de las víctimas: recopile solo lo que el caso necesite, con las precauciones de la lección OSINT y vinculación de identificadores dentro y fuera de la cadena.

Estafas y redes de mulas de dinero

Las estafas de inversión y románticas, a veces denominadas "pig butchering" o "matanza del cerdo", atraen a las víctimas a plataformas de negociación falsas. En la cadena, muestran numerosos depósitos de víctimas procedentes de exchanges regulados que convergen en direcciones recolectoras, seguidos de movimientos hacia monedas estables y, después, hacia puntos de conversión a dinero fiduciario. Las tipologías se tratan en la lección de IDFE-CC Señales de alerta y tipologías; aquí, el interés forense se centra en la capa de conversión a dinero fiduciario.

La conversión a dinero fiduciario suele realizarse a través de mulas de dinero: personas que abren cuentas en exchanges o bancos a su propio nombre, o venden sus identidades, y transfieren fondos a cambio de una comisión. Por tanto, el titular de la cuenta que figura en los registros a menudo no es quien la controla (véase la lección De la dirección a la entidad y a la persona: atribución y etiquetado). Los indicios de una red de mulas aparecen en los registros del servicio, más que en la cadena:

• Muchas cuentas abiertas en un período breve, con nombres distintos, pero con los mismos identificadores de dispositivo, rangos de IP o números de teléfono.
• Depósitos retirados rápidamente hacia las mismas pocas direcciones o cuentas bancarias.
• Inicios de sesión desde ubicaciones que no coinciden con los domicilios declarados por los titulares de las cuentas.

Por tanto, las solicitudes a los servicios deben pedir datos de dispositivos e inicios de sesión, cuentas vinculadas y destinos de retiro, no solo datos de KYC (véase la lección Trabajo con proveedores de servicios). Los emisores de monedas estables pueden congelar direcciones a nivel de contrato, por lo que la rapidez es decisiva (véase la lección Opciones de congelación e incautación).

Robos atribuidos a la RPDC

Los grandes robos que las autoridades atribuyen a grupos vinculados a la RPDC siguen un patrón reconocible: dispersión rápida, intercambio de tokens que pueden congelarse por otros activos, movimientos entre cadenas (a menudo con bitcoin como destino final), mezcladores e intermediarios extrabursátiles. Dos casos públicos muestran cómo se publicó la atribución:

• Puente Ronin (marzo de 2022): se sustrajeron unos 620 millones de USD en ETH y USDC. En abril de 2022, la dirección del atacante se añadió a una lista de sanciones y el robo se atribuyó públicamente a un grupo vinculado a la RPDC.
• Bybit (21 de febrero de 2025): se robaron unos 1.500 millones de USD en activos virtuales. Cinco días después, un organismo nacional encargado de hacer cumplir la ley emitió un aviso de servicio público que atribuía el robo a un actor de la RPDC al que denomina TraderTraitor, enumeraba 51 direcciones de Ethereum, describía la conversión a bitcoin y la dispersión entre miles de direcciones en múltiples cadenas de bloques, y pedía a los operadores de nodos, exchanges y puentes que bloquearan las transacciones relacionadas.

Los organismos multilaterales también publican informes. El Grupo de Expertos del Consejo de Seguridad de la ONU sobre la RPDC informó sobre robos cibernéticos hasta que su mandato terminó en abril de 2024; un Equipo Multilateral de Monitoreo de Sanciones formado por once Estados publicó un informe en octubre de 2025 que estimaba en unos 2.840 millones de USD los criptoactivos robados entre enero de 2024 y septiembre de 2025 y describía la conversión a dinero fiduciario a través de intermediarios y redes en el extranjero (cifras correspondientes a esas fechas, a modo ilustrativo).

La atribución del actor en estos casos se basa en inteligencia, análisis de malware y pruebas de infraestructura que quedan fuera del trabajo en la cadena. El examinador la cita como atribución de la autoridad y añade el rastreo.

Cómo se publican las atribuciones del sector público y cómo citarlas

Cite cada fuente con su título, emisor, fecha y, cuando sea posible, una copia archivada y su hash. Indique qué direcciones mencionó la autoridad y marque cada ampliación (miembros del clúster, direcciones posteriores en el flujo) como una inferencia propia con su grado.

Cómo evitar la atribución excesiva

• Actor frente a dirección: "la autoridad competente atribuyó el robo al Grupo X" es una cita; "la dirección Y pertenece al Grupo X" es una atribución que necesita su propio fundamento.
• El destino posterior no es el actor: una billetera caliente de un exchange, un contrato de puente o un fondo común de un mezclador que recibió fondos robados no forma parte de la infraestructura del actor. Detenga la propagación de etiquetas en los servicios.
• El patrón no es la identidad: una secuencia de lavado de dinero que se asemeja al estilo de un grupo conocido es un motivo para investigar, no una atribución. Los imitadores y los servicios compartidos producen patrones similares.
• Un grupo, muchas etiquetas: la misma actividad aparece con nombres distintos en diferentes informes. Registre los nombres utilizados por cada fuente en lugar de fusionarlos.
• Corrija con prontitud: si se revisa una atribución pública, actualice el expediente del caso y las alertas compartidas.

Ejemplo resuelto (ficticio)

Una empresa pagó 12,00000000 BTC a bc1q…r4n5, la dirección indicada en su portal de negociación. El examinador registra:

El informe indica que los fondos llegaron al Exchange K (grado B), que los registros del Exchange K muestran tres cuentas con datos de dispositivo compartidos (grado B como registros) y que la billetera del desarrollador está vinculada al Grupo R mediante el gasto conjunto con una dirección mencionada por la autoridad (grado C). No afirma que los titulares de las cuentas sean los afiliados. Los siguientes pasos se derivan de los vínculos más débiles: registros bancarios de la cuenta común, pruebas de los dispositivos y una solicitud al Exchange K del historial de IP de inicio de sesión.

Enfoque del examen: el patrón típico en la cadena, la conversión a dinero fiduciario y la fuente de atribución para el ransomware, las estafas y los robos atribuidos a la RPDC; el reparto del ransomware como servicio y por qué interpretar un reparto como funciones es una inferencia; las direcciones de rescate únicas como puntos de partida ciertos; los indicios de mulas de dinero en los registros de los servicios y qué solicitar; cómo se publicaron las atribuciones de Ronin (2022) y Bybit (2025); los formatos de atribución del sector público y cómo citarlos, separando las direcciones mencionadas de las ampliaciones propias; los principales errores de atribución excesiva (actor frente a dirección, servicios posteriores en el flujo, patrón frente a identidad); la asignación de grados a una cadena mixta en un ejemplo resuelto.