Análisis: 170 millones de dólares en activos robados por un usuario de Gate

引 言**：aún sin conclusiones claras, la controversia por robo de cripto en un exchange**

Recientemente, un usuario del exchange Gate publicó en internet que, dentro de su cuenta, unas 1,7 millones de dólares en activos habrían sido transferidos en “vacío” por otra persona. Según su versión, la cuenta ya tenía activadas la verificación por teléfono móvil, Google Authenticator y la verificación por correo electrónico. Durante todo el proceso, no recibió ningún código de verificación por SMS y nunca le proporcionó a nadie un video facial ni fotos de su documento de identidad en mano.

Gate, por su parte, publicó una línea de tiempo, afirmando que en operaciones clave como desvincular la cuenta, cambiar la contraseña y retirar fondos, la cuenta superó el reconocimiento facial “vivo” y la verificación multifactor. Con base en ello, la plataforma sostiene que no se trata de un riesgo sistémico ni de un problema de seguridad del sitio web, sino que lo más probable es que esté relacionado con la filtración de información de registro del cliente, la cuenta de Alipay y permisos del dispositivo, fuera del control de la plataforma.

(El tuit del afectado por el robo de activos)

(El tuit de la respuesta oficial de Gate)

Lo interesante es que, posteriormente, el cliente también compartió un video en el que afirma que, en el momento en que Gate dice que se completó el reconocimiento facial, él estaba sosteniendo a un bebé y no estaba operando el teléfono. Con ello, cuestiona: si el titular no realizó ninguna acción, ¿cómo logró pasar la plataforma los controles de riesgo facial?

¿Al final fue eludir el sistema de control mediante tecnologías como el “deepfake” con IA, o bien alguien controló la información del propio cliente, su dispositivo o los permisos de la cuenta? Por el momento, ambas partes mantienen posiciones distintas y todavía no hay una conclusión final.

Pero este caso, sin duda, recuerda a muchos usuarios que guardan activos en exchanges: si las monedas se transfieren, ¿qué más se puede hacer además de denunciar ante las autoridades?

El abogado Liu maneja desde hace mucho tiempo asesoría legal y casos relacionados con criptoactivos y Web3. A partir de las rutas habituales de tratamiento en este tipo de incidentes, comenta algunas recomendaciones prácticas.

一、primero, determinar en dónde podría estar el problema

Cuando se roban activos de una cuenta en un exchange, en general se puede analizar desde dos direcciones.

La primera es un problema de seguridad o de gestión de riesgos del propio exchange.

Por ejemplo, si el sistema de la plataforma tiene vulnerabilidades, los mecanismos de gestión de riesgos se pueden eludir, o un hacker ataca directamente los sistemas del exchange. En robos de gran envergadura contra exchanges en el pasado a nivel internacional, ha habido organizaciones de hackers que, mediante ataques a la plataforma, billeteras calientes o sistemas de permisos internos, lograron transferir grandes cantidades de activos. El caso más típico es el del grupo de hackers norcoreanos Lazarus Group (Lazarus Group), con un historial “abrumador”: ha vulnerado en múltiples ocasiones plataformas conocidas y se ha llevado cantidades enormes de activos. Si las pérdidas provienen principalmente de que fallaron los mecanismos de seguridad de la plataforma, el exchange podría tener que asumir responsabilidades correspondientes.

La segunda es que la información o los permisos del usuario hayan sido obtenidos por otra persona.

Por ejemplo, que se filtren llaves privadas o frases mnemónicas, que controlen el correo electrónico o el teléfono, que el dispositivo sea infectado con malware, o que se robe información KYC. En este caso, lo que Gate alega es que terceros obtuvieron ilegalmente y aprovecharon información de identidad del cliente, la cuenta de Alipay y los permisos del dispositivo, entre otros.

En los últimos años también han aparecido nuevos riesgos: delincuentes consiguen primero documentos de identidad de los usuarios, fotos y videos faciales, y luego usan tecnología de falsificación profunda con IA para sintetizar rostros dinámicos y tratar de eludir la detección de “rostro vivo” de la plataforma.

Por eso, lo más difícil en este tipo de casos no suele ser confirmar si las monedas fueron transferidas, sino averiguar además: si falló la gestión de riesgos de la plataforma, si se filtró información del usuario, o si ambas partes tienen algún grado de responsabilidad.

Esa es también la parte más central y más difícil de probar en futuras reclamaciones.

二、denunciar es necesario, pero no basta con esperar el resultado

Tras descubrir que te robaron los activos, denunciar de inmediato y fijar las evidencias es imprescindible. Porque, posteriormente, para exigir de manera oportuna al exchange y a las entidades emisoras de stablecoins (por ejemplo, Tether, Circle) que congelen los activos involucrados, el proceso debe estar sustentado en el inicio de un caso por parte de autoridades judiciales o policiales.

Entre los materiales que se deben conservar están: registros de inicio de sesión de la cuenta, registros de retiros, notificaciones de la plataforma, correos y SMS, conversaciones por chat, anomalías del dispositivo, hashes de transacciones on-chain y registros de comunicación con el servicio de atención al cliente de la plataforma, entre otros. Cuanto antes y con más amplitud se fijen las evidencias, normalmente mayor será el espacio para el manejo posterior.

Pero también hay que tener una expectativa realista: en casos penales relacionados con criptoactivos, recuperar la totalidad de las pérdidas confiando solo en una denuncia penal suele ser bastante difícil.

Las razones principales son varias: puede haber controversia sobre la calificación del caso; las autoridades competentes no siempre están claras; la determinación del monto involucrado y del precio de las monedas es relativamente compleja; además, el dinero puede haber circulado a través de fronteras, entrar en servicios de mezclado, o haberse convertido en otras criptomonedas. Incluso si el caso penal avanza, el periodo de recuperación de activos suele ser largo.

Así que, denunciar es el punto de partida, pero por lo general no es la única ruta de solución.

三、además de denunciar, ¿qué otras acciones se pueden hacer en paralelo?

（一）hacer rastreo on-chain cuanto antes, para intentar congelar

Cuando se roban criptoactivos, el tiempo es crucial.

Se debe rastrear lo robado cuanto antes mediante empresas profesionales de seguridad blockchain o equipos técnicos, para confirmar desde qué dirección se transfirieron los fondos, por qué direcciones pasaron, si entraron en exchanges centralizados, o si se convirtieron en stablecoins centralizadas como USDT, USDC, etc.

Si los fondos siguen siendo USDT o USDC (stablecoins centralizadas), o si ya fluyeron hacia algún exchange centralizado, existe la oportunidad de intentar impulsar al emisor de la stablecoin o plataformas relacionadas para que congelen las direcciones, cuentas o activos involucrados.

En este caso, Gate también mencionó que está buscando la ayuda de Tether para congelar los activos relacionados.

Pero estas acciones, en general, mientras más pronto se realicen, mejor. Si los fondos se fragmentan varias veces, se reenvían a través de distintas cadenas o se mezclan, o si se cambian por monedas con mayor nivel de anonimato, la dificultad de congelar y rastrear posteriormente aumentará de forma evidente.

（二）considerar reclamaciones civiles o arbitraje, pero primero revisar el contrato

Si el usuario considera que el exchange no cumplió adecuadamente con sus obligaciones de seguridad, que falló la gestión de riesgos o que el proceso de revisión fue deficiente, puede considerar reclamar indemnización al exchange.

Pero antes de operar en la práctica, es indispensable revisar primero los términos del contrato del usuario en la plataforma.

Por ejemplo, en Gate, su acuerdo de usuario establece compromisos sobre la seguridad de los activos, las responsabilidades del usuario, la ley aplicable y los mecanismos de resolución de disputas. Si el contrato indica que las disputas se someten a arbitraje en el extranjero, por ejemplo, en Panamá, para un usuario común los costos, el idioma, los procedimientos y el umbral geográfico serían relativamente altos.

Además, el contrato del exchange normalmente también establece que si las pérdidas se deben a que el propio usuario filtró información de cuenta, contraseñas, dispositivos o datos de identidad, la plataforma podría no asumir responsabilidad, o limitarla.

Esto no significa que el usuario necesariamente no pueda reclamar. Pero antes de actuar, hay que evaluar algunos puntos: si la plataforma cometió algún error, si el usuario también tiene responsabilidad; si la evidencia disponible puede demostrar que la gestión de riesgos de la plataforma tiene fallas; y si el costo de resolver la disputa vale la pena.

(La parte del acuerdo oficial de Gate sobre el robo de activos, la ley aplicable y la resolución de disputas)

（三）dar voz pública basada en hechos y presentar quejas para que se regule

Dar voz pública, contactar a medios y presentar quejas ante las autoridades reguladoras en el lugar de registro del exchange o en el lugar donde tenga licencia, a veces sí puede impulsar que la plataforma preste más atención al problema y, en algunos casos, facilitar más comunicación o negociaciones.

Pero aquí hay que marcar límites.

La defensa debe basarse en hechos y evidencias. Puedes describir tu experiencia, publicar respuestas de la plataforma y plantear dudas razonables. Pero no inventes hechos, no exageres las pérdidas, no ataques maliciosamente a la plataforma, y no exijas con presión mediática que la otra parte tenga que pagar aunque no exista una base de responsabilidad.

De lo contrario, el asunto podría pasar de ser una defensa de derechos a convertirse en un nuevo riesgo legal, como una posible infracción por daño a la reputación. Si el caso es grave, la otra parte incluso podría reclamar a la inversa cuestiones como extorsión o coacción.

Una intervención pública realmente efectiva no es un desahogo emocional, sino explicar con claridad las evidencias, la línea de tiempo y el foco de la controversia, para que el público, los medios y las autoridades reguladoras puedan juzgar.

（四）cuando las evidencias no están claras, negociar y llegar a un acuerdo también es una opción realista

Muchos conflictos de robo de cripto en exchanges no pueden distinguir todas las responsabilidades desde el principio.

El usuario cree que falló la gestión de riesgos de la plataforma; la plataforma opina que se filtró la información del usuario. Ambas partes tienen parte de las evidencias, pero ninguna puede probar completamente su postura. En ese contexto, si se sigue hasta el final, el tiempo, los costos y la incertidumbre son muy altos.

Por lo tanto, bajo el supuesto de que ambas partes quieran cortar pérdidas lo antes posible, la negociación para un acuerdo, el pago parcial, y el impulso conjunto para congelar y recuperar los fondos, también podría ser una forma más realista de resolver.

Por supuesto, antes de llegar a un acuerdo hay que conservar las evidencias, dejar claro el carácter del pago, las cláusulas de confidencialidad, los planes para futuras reclamaciones de recuperación y si se afecta la continuidad del reporte a las autoridades o el rastreo de activos.

四、algunas advertencias para usuarios comunes

Primero, no pongas toda la esperanza en una sola ruta.

Tras un robo de monedas, el reporte penal, el rastreo on-chain, la comunicación con la plataforma, la queja ante reguladores, y la evaluación de reclamaciones civiles o arbitraje pueden llevarse a cabo en paralelo según el caso real. Cada ruta tiene sus limitaciones, pero combinarlas es lo que aumenta la probabilidad de generar presión y oportunidades.

Segundo, la prevención previa es mucho más importante que la defensa posterior.

No guardes activos grandes durante mucho tiempo en un exchange. Si puedes auto- custodiarlos, gestiona cuidadosamente llaves privadas y frases mnemónicas; si los guardas en la plataforma, también utiliza contraseñas robustas e independientes, llaves de seguridad de hardware o passkey, con cautela al habilitar la función de sincronización **de **2FA **** en la nube.

Tercero, **el **KYC **** y los permisos del dispositivo deben manejarse con especial cuidado.

Información del DNI, videos faciales, fotos del documento en mano, información de Alipay o tarjetas bancarias: una vez que los delincuentes la obtienen, podría usarse para eludir revisiones de la plataforma o para llevar a cabo ataques de “deepfake” con IA. No envíes estos materiales a desconocidos al azar, y tampoco los subas en sitios web, Apps o enlaces de soporte cuyo origen no sea claro.

Cuarto, si detectas anomalías, no lo dejes para después.

Si aparece que no puedes iniciar sesión en la cuenta, si el correo o el teléfono se vinculan de forma anormal, si la cuenta del exchange es restringida, si recibes de repente notificaciones de retiros, o si el dispositivo parece estar infectado, debes detener de inmediato cualquier operación, conservar evidencias, contactar a la plataforma para congelar la cuenta y consultar cuanto antes a profesionales.

Escrito al final

Volviendo al caso de Gate, hasta ahora los hechos aún deben verificarse con más detalle, por lo que no conviene presumir conclusiones sin suficiente evidencia.

Pero, al menos, sirve como recordatorio para todos los usuarios de cripto: una cuenta en un exchange no es una caja fuerte asegurada, y el reconocimiento facial y la verificación multifactor tampoco son una seguridad absoluta. El “deepfake” con IA, el control del dispositivo, la filtración de información de identidad y fallas de la gestión de riesgos de la plataforma pueden convertirse en puntos de quiebre para el robo de activos.

Si ocurre un robo de monedas, hay que fijar las evidencias cuanto antes, rastrear los fondos, contactar a la plataforma, evaluar responsabilidades y elegir una ruta adecuada para la defensa de derechos. Para usuarios comunes, la conciencia de seguridad siempre debe ir primero. Dónde se guardan los activos, a quién se le entregan los permisos y cómo se conservan los datos de identidad: aunque parezcan asuntos pequeños y triviales, suelen ser precisamente lo que determina el nivel de margen de rescate que tendrás cuando el riesgo se materializa.