Un ciudadano canadiense fue extraditado a Estados Unidos para enfrentar cargos federales por presuntamente haber hackeado, junto con un cómplice, computadoras de universidades, robado credenciales de acceso y utilizado las máquinas en secreto para minar criptomonedas, informó el martes el Departamento de Justicia de EE. UU. en un comunicado de prensa.

Un gran jurado federal del Distrito Oeste de Nueva York acusó a Ryan James Roach, de 35 años y originario de Saskatchewan, y a Mathiew James Stubbings, de 41 años y originario de Ontario, por cargos de conspiración para obtener información de una computadora protegida y dañarla, obtener información de una computadora protegida y dañar intencionalmente una computadora protegida. El término "computadora protegida" proviene de la Computer Fraud and Abuse Act, la ley federal contra la piratería informática que cubre las computadoras utilizadas en el comercio interestatal o internacional; en la práctica, prácticamente cualquier máquina conectada a internet. Los cargos conllevan una pena máxima de 10 años de prisión y una multa de 250.000 dólares.

La Fiscalía Federal del Distrito Oeste de Nueva York anunció la extradición en una publicación en X:

Canadian man extradited to the U.S. for his role in computer hacking scheme targeting universities... @FBIBuffalo @USDOJ_Intl
— WDNYnews (@WDNYnews) November 4, 2026

Según la acusación, entre junio de 2016 y diciembre de 2019 los dos hombres atacaron instituciones educativas de EE. UU. que operaban supercomputadoras, investigando debilidades de seguridad en las redes de las instituciones antes de irrumpir en ellas. Una vez dentro, presuntamente desplegaron malware, robaron credenciales de acceso y obligaron a las computadoras de las víctimas a minar criptomonedas en beneficio propio. Las supercomputadoras concentran una gran cantidad de capacidad de procesamiento en un solo sistema, capacidad que puede ser reutilizada para tareas intensivas en cómputo, como la minería de criptomonedas.

Entre las víctimas se encontraban instituciones de Nueva York, Tennessee, Carolina del Norte y Massachusetts, incluida una universidad ubicada en el Distrito Oeste de Nueva York, señalaron los fiscales. Ambos presuntamente utilizaron servidores privados virtuales en varios países, registrados con nombres falsos, para enviar malware y software de minería a las computadoras de las víctimas y almacenar credenciales robadas. También se les acusa de enrutar los ataques a través de computadoras comprometidas de otras víctimas para ocultar sus identidades.

Roach, quien fue extraditado de Canadá el 28 de octubre, fue procesado en Rochester, Nueva York, donde permanece detenido a la espera de una audiencia de detención. El proceso de extradición contra Stubbings continúa en Canadá.

El caso llega en un contexto de tácticas cambiantes en la economía subterránea de recursos de cómputo robados.

Del cryptojacking al LLMjacking

El presunto esquema es una forma de cryptojacking, en la que los atacantes utilizan las computadoras de otras personas para minar criptomonedas mientras las víctimas asumen los costos de electricidad y una reducción en el rendimiento de sus máquinas. El Departamento de Justicia no precisó qué criptomoneda habrían minado los acusados. La moneda de privacidad Monero ha sido durante mucho tiempo una favorita para este tipo de esquemas, ya que puede minarse en hardware común. En agosto, la agencia nacional de ciberseguridad de los Países Bajos advirtió que los atacantes estaban explotando una falla en la función Compartir Pantalla de macOS de Apple para instalar mineros de Monero en Mac.

Pero los hackers que buscan lucrarse con poder de cómputo robado podrían estar girando su atención hacia otro lado. En un informe publicado el lunes, el Grupo de Inteligencia de Amenazas de Google dijo que espera que los atacantes "den cada vez más prioridad al LLMjacking sobre el robo tradicional de recursos como el cryptojacking", secuestrando el acceso de las empresas a modelos de IA y trasladando las facturas resultantes a las víctimas.

A diferencia del drenaje gradual del cryptojacking, el LLMjacking puede generar enormes cargos en la nube en cuestión de horas, según Google. En incidentes investigados por su unidad Mandiant este año, los cargos fraudulentos superaron los 100.000 dólares en un solo día, y algunas organizaciones acumularon hasta 1 millón de dólares antes de que se cortara el acceso. Los atacantes están revendiendo el acceso robado a través de servicios clandestinos que Google denomina "LLM Mixers".

El caso de Roach está pendiente en el Distrito Oeste de Nueva York.