Hackeo de Bitfinex: 120.000 BTC y la rapera que los ocultó

¿Qué pasó en el hackeo de Bitfinex? El 2 de agosto de 2016, un hacker robó unos 120.000 BTC (unos 72 millones de dólares de entonces) del exchange Bitfinex, con sede en Hong Kong. En febrero de 2022, agentes de Estados Unidos arrestaron en Nueva York a Ilya Lichtenstein y a su esposa Heather Morgan y recuperaron unos 94.000 de los bitcoins robados, que valían unos 3.600 millones de dólares en ese momento. Ambos se declararon culpables; Lichtenstein admitió que él era el hacker y en noviembre de 2024 recibió cinco años de prisión, y Morgan 18 meses.

La mayoría de los hackeos terminan con el dinero perdido para siempre en internet. Este terminó con un fundador de startup, una autoproclamada rapera llamada "Razzlekhan", un video sobre ser el "cocodrilo de Wall Street" y una carpeta en la nube con un archivo muy desafortunado. Netflix hizo un documental. Cómo no.

Cronología#

¿Cómo repartió Bitfinex la pérdida?#

Bitfinex no quebró. En cambio hizo algo inusual: recortó cerca de un 36 % el saldo de todos los clientes, incluso de aquellos cuyas monedas no estaban en las billeteras hackeadas. Por cada dólar perdido, los clientes recibieron un token BFX, un pagaré que el exchange prometió recomprar. Según Bitfinex, los recompró todos antes de abril de 2017.

Fue un rescate creativo, pero míralo desde el lado del cliente: una mañana te faltaba un tercio de tu dinero por el hackeo de otro, y nadie te preguntó nada. Eso significa en la práctica "mis monedas en el exchange": decide el exchange.

¿Por qué es tan difícil gastar bitcoins robados?#

La blockchain es pública. Cada movimiento de las monedas robadas queda a la vista para siempre, así que el ladrón no puede simplemente enviar 120.000 BTC a un exchange y cobrarlos. Según la fiscalía, Lichtenstein pasó años intentando borrar el rastro:

1. moviendo las monedas por miles de direcciones nuevas en montos pequeños,
2. abriendo cuentas en exchanges con identidades falsas,
3. pasando monedas por el mercado de la darknet AlphaBay y por servicios de mezcla, que juntan monedas de muchos usuarios para ocultar su origen,
4. cambiando bitcoin por otras criptomonedas ("chain hopping"),
5. y convirtiendo una parte en monedas de oro, que según la fiscalía Morgan enterró.

No funcionó. Los investigadores siguieron el dinero en la blockchain durante años, y en 2022 encontraron en la cuenta de almacenamiento en la nube de Lichtenstein un archivo con las claves privadas de la billetera que guardaba la mayor parte del botín. Seis años de lavado, deshechos por un archivo en la nube.

¿Qué pasó después?#

Ambos se declararon culpables en agosto de 2023: Lichtenstein de conspiración para lavar dinero, y Morgan de lavado de dinero y de conspiración para defraudar a Estados Unidos. En noviembre de 2024, el tribunal de Washington condenó a Lichtenstein a cinco años y a Morgan a 18 meses.

A octubre de 2026, los dos están libres. Morgan salió en 2025. Lichtenstein dejó la prisión entre finales de 2025 e inicios de 2026 gracias a la First Step Act, una ley estadounidense de 2018 que permite acortar la condena con programas de rehabilitación, y cumple el resto de la condena bajo supervisión. Salir antes no es un indulto: las condenas siguen en pie.

Los 94.000 bitcoins recuperados valían unos 3.600 millones de dólares al ser incautados, cincuenta veces más que en el momento del hackeo. En enero de 2025, el gobierno de EE. UU. le dio la razón a Bitfinex en que las monedas debían volver al exchange, y siguió el proceso judicial para devolverlas.

Señales de alerta que se podían ver#

• Una hot wallet con una fortuna. Bitfinex guardaba las monedas de los clientes en billeteras conectadas a internet. Cuanto más tiene un exchange en línea, mayor es el premio para un atacante.
• El exchange puede recortar "tus" monedas. El recorte del 36 % afectó también a clientes a quienes ni siquiera hackearon. Lee las condiciones: en la mayoría de los exchanges eres un acreedor sin garantía.
• Grande no significa seguro. Bitfinex era uno de los mayores exchanges del mundo en 2016.
• Para inversionistas: una vida de influencer no es un plan de negocio. La empresa y los videos de rap de Morgan parecían una inocente vida de startup. Visto después, nadie preguntó de dónde venía el dinero.

Cómo hacerlo con seguridad lo explica el curso de custodia segura, por ejemplo en cómo funciona una billetera de hardware.

Mitos comunes#

• "Los bitcoins robados no se pueden rastrear." Es al revés: cada transferencia queda para siempre en la blockchain, y los investigadores pueden esperar años.
• "Un mezclador deja las monedas limpias." Dificulta el rastreo, no lo impide, y usarlo para ocultar dinero robado es un delito en sí mismo.
• "Atraparon a los hackers, así que los clientes recuperaron su dinero." Bitfinex ya había cubierto la pérdida en 2016–2017 con los tokens BFX; las monedas recuperadas vuelven al exchange, que decidió cómo tratar a los tenedores de sus tokens.

Fuentes#

• Departamento de Justicia de EE. UU. – dos arrestos y 3.600 millones de dólares en cripto incautados (2022) (se abre en una pestaña nueva)
• CyberScoop – Lichtenstein sale antes gracias a la First Step Act (2026) (se abre en una pestaña nueva)
• CoinDesk – Lichtenstein atribuye su salida anticipada a la First Step Act (2026) (se abre en una pestaña nueva)