Derecho cripto/Nivel VI · Conducta de mercado/6.2 Información privilegiada y rug pulls/Lección 6

Trucos y exploits como robo

Por qué el hecho de que “el código lo permitiera” no ha impedido a los fiscales estadounidenses acusar a quienes explotan contratos inteligentes por fraude informático, fraude telefónico y lavado de dinero, y en qué casos los tribunales han puesto reparos.

Esto es educación, no asesoramiento legal, fiscal ni de inversión. El derecho cripto varía entre países y estados, y cambia con frecuencia. Antes de actuar, verifica las normas vigentes donde vives con un abogado o asesor fiscal calificado.

La vía ligera

La ruta más barata, con menos impuestos, más sencilla y más privada que permite la ley, de mejor a peor. Cada paso indica la norma en que se apoya y la condición que la mantiene dentro de la ley.

Desarrolladores: la protección legal más económica es un plan de incidentes redactado antes del lanzamiento, que especifique quién preserva los registros y los hashes, documenta las direcciones de los atacantes y contacta a IC3, a los emisores de stablecoins y a las plataformas de intercambio. Informar no tiene costo; la demora hace perder oportunidades.
Un protocolo para víctimas puede presentar una demanda civil bajo 18 U.S.C. §1030(g) por daños compensatorios e inhibición, en paralelo con cualquier caso penal. Ojo: debe presentarse dentro de los 2 años desde el acto o desde que se descubrió el daño.
No existe una vía legal económica para retener fondos obtenidos mediante un exploit: 'el código lo permitía' no impidió la condena de tres años y la confiscación de aproximadamente $12.3 millones a Ahmed en 2024. La alternativa legal es reportar la vulnerabilidad bajo un programa público de recompensas por errores (bug bounty).
Nunca reciba ni mueva fondos trazables a un exploit o a actores sancionados, como los que el FBI vinculó al robo de Bybit en febrero de 2025. La verificación contra la lista gratuita de sanciones de OFAC no tiene costo; las multas civiles por sanciones son generalmente de responsabilidad estricta.

Materiales18 U.S.C. §1030, la Ley de Fraude y Abuso Informático (en law.cornell.edu)El comunicado del fiscal de los EE. UU. de abril de 2024 sobre la sentencia de Shakeeb Ahmed y el comunicado de febrero de 2025 sobre la acusación contra MedjedovicEl anuncio de servicio público del FBI del 26 de febrero de 2025 sobre el robo en BybitLecciones 6.1.4 (front-running y MEV) y 6.1.5 (el caso de Mango Markets)

Curiosidad

Si un contrato inteligente me permite retirar los fondos, ¿cómo puede considerarse robo tomarlos?
¿Qué leyes federales utilizan los fiscales contra quienes explotan el sector DeFi?
¿Qué pueden hacer un protocolo o sus usuarios después de una explotación además de llamar a la policía?

Explorar

Algunos explotadores sostienen que un contrato inteligente constituye el acuerdo completo, por lo que todo lo que su código permite está permitido. Los fiscales estadounidenses han rechazado esa visión. Acusan de tales actos en virtud de la Ley de Fraude y Abuso Informático, 18 U.S.C. §1030, que, entre otras cosas, castiga el acceso intencionado a un ordenador protegido sin autorización o el exceso del acceso autorizado con intención de defraudar; en virtud de la ley contra el fraude por medios electrónicos, 18 U.S.C. §1343, cuando el acto de explotación se basa en engaños como precios falsos o datos manipulados; y en virtud de las leyes contra el blanqueo de dinero cuando los ingresos obtenidos se transfieren, mezclan o intercambian para ocultarlos. Los tribunales aún están determinando dónde se sitúan estos límites.
La primera condena por hackear un contrato inteligente se produjo en el Distrito Sur de Nueva York. Shakeeb Ahmed, ingeniero senior de seguridad cuyo currículum incluía experiencia en ingeniería inversa de contratos inteligentes y auditorías de blockchain, utilizó datos de precios falsos en julio de 2022 para generar unos 9 millones de dólares en comisiones infladas en una bolsa descentralizada. semanas después, explotó Nirvana Finance, sustrayendo aproximadamente 3,6 millones de dólares, prácticamente todos sus fondos; Nirvana cerró poco después. Lavó el dinero a través de “bridges”, Monero y servicios de mezcla de fondos. En diciembre de 2023 se declaró culpable de un cargo de fraude informático.
El 12 de abril de 2024, el juez Victor Marrero condenó a Ahmed a tres años de prisión y tres años de libertad supervisada, ordenó la incautación de aproximadamente 12,3 millones de dólares y una cantidad significativa de criptomonedas, además de exigir la restitución de más de 5 millones de dólares a las dos víctimas. En febrero de 2025, los fiscales del Distrito Oriental de Nueva York presentaron cargos contra Andean Medjedovic, un canadiense, por fraude telefónico, hacking informático, intento de extorsión y lavado de dinero. Aseguran que utilizó fondos prestados para crear precios artificiales y sustrajo alrededor de 65 millones de dólares de los pools KyberSwap e Indexed Finance. Estaba en libertad cuando se le formularon los cargos.
No todas las acusaciones han tenido éxito. Las condenas por fraude y manipulación de Avraham Eisenberg en relación con Mango Markets fueron anuladas por el juez del caso en mayo de 2025, en parte porque las pruebas no demostraban la existencia de una declaración falsa; el recurso presentado por el gobierno se aborda en la lección 6.1.5. El caso de Anton y James Peraire-Bueno, acusados de obtener unos 25 millones de dólares en 12 segundos a través del proceso de creación de bloques de Ethereum, terminó con un juicio nulo en noviembre de 2025 (lección 6.1.4). Para quienes se dedican a la creación de blockchains, el mensaje es ambiguo: los exploits suelen ser sancionados, pero aún no está claro hasta qué punto la ley contra el fraude se aplica a las operaciones “manipuladoras” realizadas contra el código.
El derecho penal es solo una vía posible. La Ley de Fraude y Abuso Informático permite a quien sufra daños o pérdidas relevantes interponer una acción civil por daños compensatorios y una orden judicial, 18 U.S.C. §1030(g). Los emisores y exchanges de stablecoins pueden congelar los activos que controlan. Los actores estatales plantean cuestiones relacionadas con sanciones: el 26 de febrero de 2025, el FBI atribuyó el robo de aproximadamente 1.5 mil millones de dólares del exchange Bybit, ocurrido alrededor del 21 de febrero de 2025, a Corea del Norte, a la que denomina “TraderTraitor”, e instó a los servicios a bloquear las direcciones relacionadas. Cualquiera que maneje tales fondos corre el riesgo de enfrentar sanciones (lección 5.2.5).
Vale la pena redactar un plan de respuesta práctico para los desarrolladores antes del lanzamiento. En él se debe indicar quién conserva los registros y los hashes de las transacciones, quién registra las direcciones de los atacantes y quién se comunica con IC3 del FBI, los emisores de stablecoins afectados y las principales bolsas. También debería establecer quién puede hablar con el atacante y qué se puede ofrecerle (lección 6.2.7). No prometa a nadie inmunidad judicial; un protocolo privado no puede otorgarla. Los usuarios deben saber que recibir o transferir intencionadamente fondos robados puede considerarse lavado de dinero, independientemente de lo que diga el explotador sobre el código.

Datos clave

El 18 U.S.C. §1030(a)(4) castiga el acceso intencional a una computadora protegida sin autorización, o el exceso del acceso autorizado, con la intención de cometer fraude y obtener así algo de valor.
Shakeeb Ahmed se declaró culpable de un cargo de fraude informático en diciembre de 2023, en lo que los fiscales calificaron como la primera condena por hackear un contrato inteligente.
El 12 de abril de 2024, Ahmed fue condenado a tres años de prisión y se le ordenó entregar unos 12,3 millones de dólares y pagar más de 5 millones en reparaciones.
En febrero de 2025, los fiscales del Distrito Oriental de Nueva York acusaron a Andean Medjedovic de fraude telefónico, piratería informática, intento de extorsión y lavado de dinero por unos 65 millones de dólares sustraídos de KyberSwap e Indexed Finance.
El 18 U.S.C. §1030(g) permite a una persona que sufra daños o pérdidas admisibles como consecuencia de una violación demandar por daños compensatorios y medidas cautelares.
El 26 de febrero de 2025, el FBI atribuyó el robo de aproximadamente 1.500 millones de dólares de la bolsa Bybit a actores norcoreanos a los que denomina ‘TraderTraitor’.

Ejercicio nueve, seis, tres, uno

9ReunirEnumere hasta 9 cosas que una persona podría decir para justificar la obtención de fondos mediante un error en un contrato inteligente (algunas listas son más cortas), como “el código lo permitía”, “fue arbitraje” o “planeaba devolverlo”.

6AgruparClásifícalos en 6 categorías: argumentos sobre la autorización, sobre el engaño, sobre la intención de devolverlo, sobre la equidad del mercado, sobre quién era la víctima y argumentos que son solo excusas.

3DestilarReduzca las 6 categorías a 3 grupos: argumentos que los tribunales han tomado en serio, argumentos rechazados por los fiscales y argumentos que aún se están evaluando.

1CristalizarUn contrato inteligente que permite una transacción no determina si dicha transacción fue lícita.

Verificación de hechos

Fechas, cifras y afirmaciones verificadas con las fuentes publicadas que se enumeran a continuación.

Abrir en la academia interactiva →

EN PT ZH JA KO RU DE FR MS