La plataforma de análisis de blockchain AMLBot rastreó aproximadamente 4 BTC vinculados al hackeo de Bitget hasta un CoinJoin de Wasabi, identificando una ruta de lavado en la capa de privacidad que complica la atribución on-chain y crea riesgo de exposición directa para cualquier exchange o custodio que reciba outputs downstream de la ronda de mezcla afectada.

Lo que establece el rastreo de AMLBot

AMLBot, que opera como plataforma de cumplimiento cripto y análisis de blockchain, identificó el movimiento de aproximadamente 4 BTC provenientes de billeteras asociadas al exploit de Bitget y enrutados hacia un CoinJoin de Wasabi. El hallazgo es un conteo parcial del movimiento de fondos —no una recuperación o incautación total— y la empresa atribuyó el rastreo al monitoreo on-chain de la actividad de las billeteras posterior al ataque.

La cifra de 4 BTC es significativa, menos por su tamaño absoluto que por lo que confirma: los productos de la brecha de Bitget se están procesando activamente a través de infraestructura de capa de privacidad. Los equipos de cumplimiento de exchanges y custodios deben tratar cualquier output de CoinJoin de este período como un vector de exposición potencial, a la espera de un análisis adicional de contagio.

Contexto entre cadenas

El incidente de Bitget ya ha llamado considerablemente la atención entre cadenas. Como se informó anteriormente, THORChain se negó a bloquear los fondos del hackeo de Bitget cuando estos movieron 387,5 millones de dólares a Bitcoin, lo que ilustra cómo la infraestructura de puentes sin permisos agrava el desafío de rastreo posterior al exploit. Para cuando los fondos llegan a un CoinJoin, los investigadores ya están trabajando varios saltos downstream desde la dirección original del exploit.

Por qué la ruta de CoinJoin de Wasabi eleva el riesgo de cumplimiento

Wasabi Wallet implementa CoinJoin como un protocolo de transacción asistido por un coordinador: múltiples participantes combinan sus inputs y reciben outputs de denominación igual, rompiendo el vínculo directo on-chain entre remitente y receptor. Esa estructura de outputs iguales está diseñada para frustrar el análisis de clústeres, la herramienta principal que usan las plataformas de análisis de blockchain para rastrear fondos entre direcciones.

Bajo los marcos estándar de puntuación de riesgo AML, cuando fondos con contagio conocido ingresan a una ronda de CoinJoin contaminan todo el conjunto de outputs de esa ronda. Por lo tanto, los exchanges que reciban cualquier output de una ronda de mezcla que incluyera productos del hackeo de Bitget enfrentan un riesgo de procedencia incluso si su depositante específico no tuvo participación directa en el exploit. Esta es la exposición central de cumplimiento: CoinJoin distribuye el contagio de manera probabilística entre todos los participantes. Para los usuarios comunes, el efecto práctico es que depósitos sin conexión con el hackeo aún pueden generar diligencia debida reforzada, solicitudes de origen de fondos o retrasos en el procesamiento si tocan un output afectado.

Existe una distinción entre indicadores de riesgo y prueba de intención de lavado. CoinJoin es un mecanismo de privacidad legítimo, y la mayoría de los participantes en cualquier ronda no están asociados con fondos ilícitos. Sin embargo, bajo marcos informados por las reglas propuestas de FinCEN sobre la mezcla de monedas virtuales convertibles, recibir outputs de un servicio de mezcla usado para procesar productos de un hackeo conocido constituye un indicador de riesgo material que justifica diligencia debida reforzada, revisión del origen de fondos y un posible reporte de Actividad Sospechosa (SAR).

Implicaciones operativas para exchanges y equipos de cumplimiento

La acción inmediata para exchanges y custodios es ejecutar el cribado de outputs de CoinJoin contra el clúster de direcciones conocido del hackeo de Bitget. Las plataformas de análisis que admiten el rastreo de contagio a través de rondas de mezcla, incluida AMLBot, pueden asignar puntuaciones de exposición probabilísticas a los outputs de las rondas de mezcla relevantes. Los depósitos que superen el umbral requieren documentación del caso y revisión manual antes de su procesamiento.

Mientras Bitget avanza en su proceso de recuperación —con la reapertura de retiros en BTC y la reanudación de ETH programada para el 29 de septiembre— la ventana práctica de riesgo para los equipos de cumplimiento se extiende más allá del exchange. Cualquier plataforma en el flujo downstream, incluidos escritorios OTC, agregadores DEX y puentes, debe tratar los outputs de CoinJoin vinculados a esta ventana de tiempo con precaución elevada hasta que AMLBot u otros proveedores de análisis publiquen un clúster de direcciones más completo. Los indicadores a monitorear de aquí en adelante incluyen si se publican datos de clústeres ampliados que cubran rondas de mezcla adicionales, cómo evoluciona la regulación informada por la propuesta de mezcla de FinCEN y si la reanudación escalonada de retiros de Bitget se mantiene según el cronograma anunciado.

lección más amplia a nivel de protocolo es que la combinación de enrutamiento entre cadenas sin permisos y capas de privacidad de CoinJoin crea una ruta de estratificación que extiende significativamente el horizonte de rastreo. Los programas de cumplimiento que dependen únicamente del cribado de depósitos directos sin análisis de saltos están estructuralmente desprevenidos ante este patrón de amenaza. Una puntuación de riesgo calibrada, la propagación de contagio multsalto y la escalada oportuna de alertas al personal sénior de cumplimiento son los controles mínimos justificados cuando un hackeo importante de un exchange se cruza con el uso activo de CoinJoin.