EigenWallet: cómo los swaps atómicos BTC–XMR ayudan a grupos norcoreanos a blanquear criptomonedas robadas

Los grupos de hackers profesionales utilizan cada vez más no solo mezcladores tradicionales, sino también mecanismos descentralizados para cambiar Bitcoin por Monero y ocultar activos robados. Varias investigaciones han vinculado esta actividad con grupos atribuidos habitualmente al clúster norcoreano, entre ellos Lazarus Group y operadores afiliados.

EigenWallet, antes conocido como UnstoppableSwap, aparece de forma recurrente en esta infraestructura. La plataforma permite realizar swaps atómicos de BTC a XMR sin una bolsa centralizada ni los procedimientos habituales de identificación del cliente. Los especialistas de Match Systems analizaron su funcionamiento e identificaron los principales modelos de provisión de liquidez que sostienen estos intercambios.

Cómo funciona EigenWallet

EigenWallet es una plataforma no custodial para swaps atómicos entre Bitcoin y Monero. También se puede acceder a su infraestructura mediante la red Tor, lo que dificulta determinar la ubicación y la identidad de los usuarios.

En un intercambio convencional, el usuario entrega sus activos a un servicio centralizado que recibe una criptomoneda y envía otra. En un swap atómico, el intercambio se realiza directamente entre las partes mediante un protocolo criptográfico específico. La operación se ejecuta por completo o se cancela: ninguna parte puede recibir los activos sin cumplir su parte del acuerdo.

Esta arquitectura reduce la dependencia de un intermediario centralizado, pero crea importantes dificultades para las investigaciones. EigenWallet no custodia los fondos de los usuarios en el sentido habitual ni actúa como contraparte única de todas las operaciones. La liquidez procede de participantes independientes, cada uno con su propia infraestructura y método para reponer reservas.

Para un actor ilícito, el proceso es el siguiente: los BTC llegan a una dirección de depósito de un solo uso para el swap atómico y, a continuación, el actor recibe XMR. No existe un vínculo transaccional directo entre Bitcoin y Monero, y los movimientos posteriores de XMR quedan ocultos por los mecanismos de privacidad de la propia red Monero.

Principales modelos de provisión de liquidez

El análisis de Match Systems mostró que detrás de intercambios BTC a XMR aparentemente idénticos puede haber distintos proveedores de liquidez. Hasta ahora se han identificado al menos seis modelos principales para procesar los BTC recibidos y reponer posteriormente las reservas de XMR.

El primer modelo utiliza Lightning Network y grandes bolsas centralizadas. Los BTC recibidos mediante swaps atómicos se dividen en lotes pequeños y se envían a Lightning Network. Para ello se abren canales de pago por los que los fondos continúan procesándose, principalmente a través de nodos Lightning vinculados con OKX y Kraken. Presumiblemente, estas bolsas convierten los BTC recibidos mediante Lightning Network y restauran las reservas de XMR necesarias para nuevos swaps. En uno de los conjuntos analizados, este modelo concentraba la mayoría de la actividad de EigenWallet.

El segundo modelo emplea infraestructura descentralizada especializada para adquirir XMR. El proveedor de liquidez dirige los BTC recibidos por el protocolo entre cadenas MayaChain y la infraestructura de LiFi, y después mueve los activos al ecosistema Hyperliquid. Allí se utiliza un servicio especializado para adquirir Monero sin interactuar directamente con una bolsa centralizada convencional. La atribución se complica porque el flujo se reparte entre varios protocolos, cadenas de bloques y direcciones técnicas.

El tercer modelo incluye Wasabi Wallet, Hyperliquid y KuCoin. Los BTC recibidos entran primero en Wasabi Wallet, donde se rompe el vínculo directo entre las transacciones de entrada y salida. El desmezclado realizado por analistas de Match Systems permite concluir con alta probabilidad que, al salir del mezclador, los fondos llegan a Hyperliquid en lotes de 0,1–0,25 BTC y se cambian por USDT en Arbitrum One. Después, los activos se transfieren a KuCoin en lotes de unos 10.000–15.000 USDT. Presumiblemente, allí se adquiere XMR para reponer liquidez y realizar los siguientes swaps atómicos.

El cuarto modelo utiliza THORChain, Litecoin y un conocido servicio de intercambio instantáneo. Los BTC se dividen en importes pequeños equivalentes a unos 2.000–3.000 dólares y se cambian por LTC mediante THORChain. Después se crean cadenas de más de 20 transacciones consecutivas de Litecoin, cuyos fondos se envían al servicio instantáneo para comprar XMR. La confirmación se acelera mediante CPFP, o Child Pays for Parent. La última transacción paga una comisión mayor e incentiva a los mineros a incluir en un bloque todo el paquete de transacciones vinculadas aún sin confirmar. Como resultado, la transacción relevante se hace visible para los analistas casi al mismo tiempo que se confirma, cuando la orden correspondiente ya está siendo procesada. El operador también usa sesiones independientes, direcciones IP proxy y direcciones XMR de un solo uso para cada intercambio.

El quinto modelo utiliza la bolsa Remitano y la infraestructura de NEAR Intents. Ambos servicios cumplen la misma función: convertir los BTC procedentes del swap atómico en activos de BNB Smart Chain, principalmente BTCB y también ETH y USDT. Una parte pasa por Remitano y otra por NEAR Intents, antes de converger en una única dirección de depósito de MEXC. Presumiblemente, la bolsa se usa para adquirir XMR y restablecer la liquidez necesaria para nuevos swaps atómicos.

El sexto modelo sigue una ruta más sencilla mediante THORChain y una retirada posterior a KuCoin. Probablemente, la bolsa también se usa para adquirir XMR y reponer liquidez.

Estos modelos corresponden a los principales proveedores de liquidez capaces de procesar swaps atómicos individuales de 1 BTC o más. El ecosistema de EigenWallet también incluye proveedores más pequeños que trabajan con importes reducidos.

Por qué es difícil detener estos esquemas

El principal problema es el carácter distribuido de la infraestructura. EigenWallet proporciona el mecanismo técnico del swap atómico, pero la liquidez real procede de participantes independientes. Un proveedor usa Lightning Network, otro un mezclador y Hyperliquid, y un tercero THORChain y cadenas de transacciones LTC.

Por ello, bloquear una ruta no detiene todo el sistema. Un proveedor puede cambiar la secuencia de servicios, elegir otra cadena de bloques o repartir la liquidez entre varias plataformas. Las direcciones de un solo uso, Tor, los servidores proxy y el reducido tamaño de las operaciones individuales acortan aún más el tiempo disponible para responder.

Un nuevo reto para el análisis blockchain

EigenWallet muestra cómo está cambiando la infraestructura del blanqueo de criptomonedas. En lugar de un único intercambiador centralizado, surge una red de proveedores de liquidez independientes, cada uno con su propia combinación de mezcladores, puentes, protocolos DEX y bolsas.

En estas condiciones, no basta con detectar la dirección de depósito del swap atómico. Es necesario identificar al proveedor de liquidez concreto, establecer sus direcciones operativas y determinar cómo adquiere XMR para las siguientes operaciones.

Match Systems señala que los puntos de reposición de liquidez —bolsas centralizadas, servicios de intercambio instantáneo y determinados protocolos entre cadenas— siguen siendo elementos potencialmente vulnerables. Sin embargo, congelar fondos con éxito exige una detección casi inmediata y una coordinación rápida entre empresas de análisis, servicios de intercambio y organismos policiales.

A medida que aumente la popularidad de los swaps atómicos, es probable que los grupos profesionales de ciberdelincuentes utilicen estas plataformas con mayor frecuencia. Esto exige pasar del análisis de transacciones aisladas al estudio de toda la economía de liquidez que permite cambiar BTC robados por activos privados.