Estafa "Fun Coffee": Rastreando un esquema Ponzi del 278% en TRON

El 20 de julio de 2026, la aplicación Fun Coffee dejó de funcionar, dejando a varios cientos de inversores en Hong Kong y Macao sin poder recuperar ni su capital ni los rendimientos que la plataforma había prometido. La empresa detrás de ella, que se anunciaba como desarrolladora de equipos de café de alta tecnología con activos totales superiores a 1.000 millones de dólares estadounidenses, fue posteriormente identificada por la policía de Hong Kong y Macao como una operación fraudulenta. Al 19 de agosto, la Policía de Hong Kong había recibido 286 denuncias que involucraban aproximadamente 118 millones de HK$.

A partir de los registros de pago de una víctima, rastreamos los fondos hacia adelante en TRON y recuperamos una red de 99 direcciones que recibieron 72.829.035 USDT desde el exterior y, hasta la fecha de corte de nuestros datos, habían movido todo ese monto de vuelta hacia afuera. Lo que sigue establece la estructura de esa red, cómo separamos el dinero devuelto a los inversores del dinero que fue retirado, y dónde el análisis en cadena llega a su límite.

Una nota sobre lo que sigue. Los hechos del capítulo uno provienen de reguladores, policía y medios de noticias, y cada página citada fue abierta y verificada. Todo lo demás es nuestro propio análisis de registros en cadena, que cubre únicamente USDT en TRON. Cuando decimos qué hace una dirección, eso se basa en su comportamiento en cadena y en la atribución de entidades en la base de datos de etiquetas de BlockSec. No es un hallazgo sobre quién controla la dirección, el estado mental de esa persona, o responsabilidad legal. Para proteger la privacidad de la víctima cuyo material dio inicio a esto, no mostramos sus direcciones, hashes de transacciones ni capturas de pantalla de la plataforma, y no damos sus montos individuales.

Las advertencias llegaron antes de que la plataforma se detuviera

El registro público tiene una forma que merece atención antes de cualquier dato de la cadena.

El 15 de mayo de 2026, la policía de la provincia de Khánh Hòa, Vietnam, publicó una advertencia. Describía rendimientos anunciados del 10% al 30% mensual y una estructura que empujaba a los participantes a reclutar mediante "comisiones del sistema" multinivel y "bonos por desempeño de equipo". Decía claramente de dónde venía el dinero: no de la venta de café, sino de las personas que se unían más tarde.

El 13 de julio de 2026, la Comisión de Valores y Futuros de Hong Kong (SFC) añadió "Fun Coffee GCM 專案" a su lista de alertas de Productos de Inversión Sospechosos. La SFC registró al operador y al promotor como la misma entidad, abarcando Hong Kong y Vietnam. Su listado nombra los productos que el esquema anunciaba, incluyendo un sistema de extracción de café frío de alta eficiencia y un módulo de pruebas y trazabilidad de seguridad alimentaria, y señala que el material llegó a los inversores mediante eventos de marketing celebrados en Hong Kong.

El 20 de julio de 2026, la aplicación dejó de funcionar.

La Policía de Hong Kong comenzó a recibir denuncias durante julio, después del cierre, y realizó una operación conjunta con la Policía Judiciaria de Macao del 1 al 3 de agosto, arrestando a seis personas en Hong Kong y dos en Macao. Los arrestados en Hong Kong eran directores de la empresa, accionistas y miembros clave responsables de la promoción y el reclutamiento. Se congelaron aproximadamente 610.000 HK$.

El orden, entonces, fue advertencia regulatoria, luego cierre, luego investigación penal. Esa secuencia se utiliza más adelante para explicar una anomalía en los datos de pagos.

La propuesta en sí no era complicada. La plataforma afirmaba tener activos totales superiores a 1.000 millones de dólares estadounidenses y más de 5.000 empleados. La Policía de Hong Kong describió tres niveles, 啟航 (Lanzamiento), 成長 (Crecimiento) y 遠航 (Viaje), que anunciaban rendimientos anuales de aproximadamente 197% a 278%. En el nivel más alto, 29.800 USDT mantenidos durante 570 días supuestamente devolverían alrededor de 1 millón de HK$ en ganancias. Los participantes ganaban bonos por traer amigos y familiares, y la policía vietnamita señaló que los eventos de venta enseñaban a los asistentes cómo reclutar.

Los pagos se realizaban mediante criptomonedas en cada paso. Una vez que un inversor se registraba en la aplicación, el servicio al cliente le indicaba a qué billetera enviar los activos virtuales; solo después de esa recarga podía invertir. Macao funcionaba de forma algo diferente: las víctimas entregaban efectivo al personal de la tienda, quien les ayudaba a recargar mediante una cuenta de criptomonedas, y el dinero terminaba en una cuenta designada por el nivel superior (upline). Ese mismo nivel superior también financiaba las operaciones de la tienda en criptomonedas.

La red: cuatro capas, un cuello de botella, tres salidas

Consultadas una por una, esas 99 direcciones mantienen 1,52 USDT entre todas, y las 91 direcciones de recolección están todas en cero. "Movió todo hacia afuera" es un resultado medido más que un resumen.

Las 99 direcciones se dividen en cuatro capas, y se comportan de manera muy diferente entre sí.

La capa 1 es un conjunto de 91 direcciones de recolección, rotadas en lotes. La plataforma nunca publicó una dirección de depósito fija. Cada una de las 91 recibió entre 67 y 649 transferencias entrantes de 9 a 38 remitentes distintos. De los 15.272 ingresos que llegaron desde el exterior de la red, 13.903 (91%) fueron pagados por una billetera activa de un exchange, lo cual coincide con el método descrito por la policía: se indicaba a las víctimas que enviaran dinero desde donde tuvieran sus criptomonedas a una billetera designada.

La capa 2 es una sola dirección. Todo lo que recolectó la capa 1 converge en TRoCD8...yxJw, que recibió 68.409.908 USDT en 2.076 transferencias, el 99,99% de la capa 1, y lo reenvió todo hacia adelante. No conserva nada. Este es el único cuello de botella de la red, y es la razón por la que los pagos de una sola víctima fueron suficientes para revelar toda la estructura.

La capa 3 son cuatro direcciones de relevo utilizadas una tras otra. Los períodos durante los cuales el nodo central las financia son consecutivos y no se superponen, con cada relevo cayendo en un solo día. Eso parece menos cuatro roles funcionando en paralelo y más un solo rol cuya billetera fue reemplazada tres veces.

La capa 4 son tres nodos centrales de disposición, y aquí es donde el dinero se divide según su propósito. El 91,1% de lo que sale de la capa 3 llega a estas tres direcciones. Dos de ellas funcionaron de manera consecutiva, y la segunda, TPuLUc...Mo7Z, estuvo activa solo entre el 15 y el 23 de julio de 2026, exactamente la ventana en la que la plataforma se apagó y la policía comenzó a recibir denuncias. Fue la última dirección que pagó a alguien.

Hay dos detalles que no se ajustan al esquema ordenado de capas y deben mencionarse. No todo bajó hasta la capa 4: el 8,5% de las salidas de la capa 3, 6.245.984 USDT en 563 transferencias, salió de la red directamente desde la capa 3. Y no todo entró a través de la capa 1: la capa 3 recibió 3.355.420 USDT adicionales en 302 transferencias directamente desde el exterior de la red, y los nodos centrales de la capa 4 recibieron 1.293.472 USDT más entre ellos, dinero que nunca pasó por una dirección de recolección.

Quien manejó esto no dirigió el dinero estrictamente por capas. La capa 3 actuó como relevo y, simultáneamente, operó su propia salida.

Los números redondos separan los canales

La red tiene tres salidas. Para qué se usó cada una puede determinarse a partir de la forma de sus montos de transferencia individuales.

La fila sobre múltiplos de 1.000 los separa de forma más clara. Las transferencias del canal 1 casi nunca son redondas: el 1,1% son múltiplos de 1.000, y sus montos más comunes son cifras como 393, 448 y 324. Los canales 2 y 3 son redondos el 86,2% y el 73,4% de las veces, en montos como 150.000 y 5.000.

Esa diferencia se deriva de cómo se produce cada número. Pagar a un usuario su retiro o su interés implica calcular el capital multiplicado por una tasa, lo cual normalmente deja un residuo impar. Mover dinero a granel implica que una persona escriba una cifra, y la gente escribe cifras redondas.

Esto es una tendencia, no una ley. Una plataforma puede redondear sus pagos de intereses; alguien que mueve fondos puede evitar deliberadamente los números redondos. Pero el ajuste aquí es lo suficientemente cercano como para sustentar la clasificación, y está respaldado por todo lo demás sobre los tres canales: el canal 1 realizó 12.532 transferencias pequeñas a 1.428 destinos, mientras que el canal 2 realizó 87 grandes a 19.

El canal 1 es el canal de pagos, con 45.574.708 USDT devueltos a inversores y reclutadores. 946 direcciones de depósito de Binance recibieron el 86,63%; 451 direcciones de autocustodia recibieron el 12,51%.

Los canales 2 y 3 movieron dinero hacia afuera. Los 19 destinos del canal 2 son nodos centrales que operan de forma independiente y que han recibido 174.114.070 USDT en total en toda su actividad, de los cuales este caso representa el 12,8%. El canal 3 tiene el mismo perfil un orden de magnitud menor, principalmente hacia direcciones que no podemos atribuir y hacia tres direcciones de depósito de HTX.

El conjunto de direcciones dejó de crecer mientras el dinero no lo hizo

Los ingresos mensuales hacia la capa 1 aumentaron cada mes durante nueve meses. Sin caídas.

518.213 USDT en noviembre de 2025, subiendo a 14.349.354 USDT en julio de 2026, un factor de 27,7. El mes más alto es julio, el mes en que la plataforma se detuvo, así que la recaudación de fondos estaba todavía en su punto máximo cuando se apagó.

El conjunto de direcciones no siguió el ritmo del dinero. No se activaron nuevas direcciones de recolección en absoluto en marzo o abril de 2026, y esos fueron los dos meses de crecimiento más rápido. Para julio, 11 direcciones activas manejaban 14.349.354 USDT, un promedio de 1.304.487 USDT cada una, 83 veces la cifra de noviembre. El conjunto se distribuyó en lotes, 33 direcciones a la vez en noviembre de 2025 y 20 a la vez en mayo de 2026, y el crecimiento se absorbió empujando más a través de cada una. El mes en que esas primeras 33 entraron en servicio es el mismo mes en que abrió la tienda de Macao.

La transferencia promedio también creció, de 814 USDT a 6.882 USDT. Esto dice más que los totales: no solo se unieron más personas, sino que cada aporte se hacía más grande. Los participantes posteriores estaban depositando más por transacción que los anteriores.

Cuántas personas participaron

Dos rutas independientes llegan aproximadamente al mismo lugar, y ambas son cotas mínimas.

De los 15.272 ingresos que la capa 1 recibió desde el exterior de la red, 13.903 provinieron de 15 direcciones etiquetadas como pertenecientes a exchanges, cada una de las cuales representa a muchos remitentes minoristas que no podemos distinguir entre sí. Las restantes 1.369 provinieron de 175 direcciones de autocustodia, un promedio de 7,8 transferencias cada una. Extrapolando el lado de los exchanges a esa tasa se obtienen aproximadamente 1.777 personas; sumando las 175 se llega a aproximadamente 1.950.

Desde el otro extremo: el canal 1 pagó a 1.428 direcciones de destino, y el 86,3% de los contribuyentes de autocustodia recibieron un pago en algún momento. Aplicando esa tasa a la inversa se obtiene aproximadamente 1.655.

Entonces, entre 1.650 y 1.950, y probablemente más que eso. La mayoría de las direcciones de autocustodia pagaron una o dos veces, pero unas pocas pagaron docenas de veces y una más de doscientas, lo cual se parece menos a una persona y más a un reclutador recargando para su red descendente (downline). Un promedio es la herramienta correcta para convertir un total de transferencias en un número de personas, pero esas direcciones de alta frecuencia elevan el promedio y reducen el número de personas. Estimado a partir de la frecuencia con la que se muestra realmente un participante ordinario, la cifra podría llegar al orden de 7.000. Otras tres cosas apuntan en la misma dirección: una persona puede tener varias direcciones; cualquiera que nunca retiró no aparece en ninguna parte del canal de pagos; y existe una ruta de financiamiento que se salta la capa 1 por completo, pagando desde una billetera activa de HTX directamente a la capa 3 (110 transferencias, 240.824 USDT).

Un número de personas no es un número de víctimas. Las direcciones que reciben pagos contienen al menos tres tipos de partes mezcladas y la cadena no las separa: inversores ordinarios que cobraron menos de lo que aportaron, reclutadores que ganaban comisiones multinivel, y posiblemente cuentas propias de retiro de los operadores, lo cual no se puede descartar precisamente porque esas direcciones de depósito de Binance no pueden atribuirse a nadie.

La mayoría de los participantes que podemos rastrear individualmente sí recuperaron su dinero

Los hallazgos de esta sección se aplican solo a los participantes que pueden identificarse individualmente en la cadena, por lo que ese grupo debe definirse primero. Hay un subconjunto que podemos medir: aquellos que pagaron desde una billetera que controlan, en lugar de a través de un exchange. Cuando alguien paga desde una cuenta de exchange, el remitente en la cadena es la billetera activa del exchange, compartida por miles de clientes, y ningún pago individual puede vincularse a una persona. Cuando pagan desde su propia billetera, sí puede hacerse.

Después de excluir direcciones pertenecientes a la propia red y contribuciones mínimas por debajo de 100 USDT, quedan 175 direcciones. De estas, 151 (86,3%) recibieron dinero de vuelta; en conjunto contribuyeron con 6.211.277 USDT y recibieron 7.830.067 USDT, una tasa de recuperación del 126,1%, con 110 recuperando el 100% o más. Como grupo, salieron beneficiados. Otras 24 no recibieron nada después de contribuir con 466.630 USDT entre ellas.

Agrupados por mes de primera contribución, no hay una tendencia descendente. La recuperación mediana por mes oscila entre 75,0% y 183,2%, y el grupo de noviembre de 2025, el más temprano, se ubica en 113,4%. La historia habitual de un esquema Ponzi, en la que los que se unen primero les va bien y los que se unen tarde quedan arruinados, no aparece en esta muestra.

Esto vuelve a la cronología expuesta anteriormente. El esquema no se quedó sin dinero: recaudó más en su último mes que en cualquier mes anterior. Lo que lo detuvo fue una advertencia de la policía extranjera en mayo y una inclusión regulatoria el 13 de julio, seguida del cierre el 20 de julio, con la investigación penal comenzando solo después. Un esquema interrumpido mientras aún es solvente no ha llegado todavía a la etapa en la que deja de pagar a la gente.

Esto también explica cómo algo que anunciaba un 278% anual sobrevivió durante casi un año. Los primeros participantes realmente recibieron sus pagos, y su experiencia es lo que reclutó a la siguiente ronda. La Policía de Hong Kong describió el mismo mecanismo desde el lado de las víctimas: los participantes veían a otros tener éxito, recibían pequeños rendimientos ellos mismos, creían que el esquema era genuino, bajaban la guardia y aumentaban su inversión.

La tasa de recuperación del 126,1% no representa a los participantes en su conjunto

Las limitaciones son dos: cuánto del canal de pagos cubre esta muestra, y quién está en ella.

Primero, solo cubre el 12,51% del canal de pagos. El método necesita una contribución comparable en la cadena, algo que solo tienen las direcciones de autocustodia. Las 946 direcciones de depósito de Binance que recibieron el 86,63% del canal 1 quedan completamente fuera. Por número de transferencias, el 91% de los ingresos de la capa 1 llegaron a través de un exchange.

Segundo, que este grupo sea neto positivo es exactamente lo que lo hace no representativo. Las personas que usan billeteras de autocustodia en un esquema como este tienden a ser más activas, a mover más, y a haberse unido antes. Una proporción sustancial de ellas son reclutadores, no inversores. Podemos ver el patrón directamente: una dirección aportó 581 USDT y recibió 100.434 USDT, un factor de 173, y hay otras en factores de 100x y 75x. Cualquier estimación de pérdidas construida sobre esta muestra subestima sistemáticamente la cifra real.

Debemos ser cautelosos incluso al llamarlos "reclutadores". Recibir mucho más de lo que se aportó se ve idéntico en la cadena tanto si se estaba ganando una comisión de reclutamiento como si se era un inversor temprano que tomó ganancias y se retiró. Ese patrón por sí solo no puede separar los dos casos, por lo que no formulamos el hallazgo sobre ninguna dirección específica.

La víctima cuyos registros dieron inicio a este análisis proporciona un contraste directo. Todas sus contribuciones pasaron por una cuenta de exchange, por lo que no está entre las 175, y sus pagos acumulados ascendieron a aproximadamente el 3,8% de lo que contribuyó, dos órdenes de magnitud por debajo del 126,1% de la muestra. Un solo caso no es evidencia estadística, pero apunta en la misma dirección que el sesgo: las personas que no podemos ver individualmente pueden haberlo pasado mucho peor que las personas que sí podemos ver.

Cuánto perdieron realmente los participantes

Comúnmente se describen tres cifras distintas como "la pérdida". Solo una de ellas es adecuada para una reclamación de pérdidas por parte de los participantes.

Los propios registros de la plataforma son el "monto invertido" acumulado que mostraba la aplicación. Esa cifra incluye ganancias en papel reinvertidas y bonos por nivel, por lo que es sustancialmente mayor que lo que cualquiera pagó realmente. No debe utilizarse.

Los ingresos acumulados en la cadena son lo que las direcciones de recolección recibieron desde el exterior de la red: 68.170.144 USDT. Esta cifra está evidenciada y es defendible, pero no es lo que perdieron los participantes. En un esquema Ponzi el mismo dinero circula entre contribución y pago más de una vez, por lo que la cifra acumulada se sitúa por encima de la pérdida neta real. Y no puede determinarse a partir de la cadena si parte de ello es dinero que los propios operadores inyectaron para fabricar un volumen aparente.

La pérdida neta es el monto que los participantes perdieron en conjunto, y es la única de las tres adecuada para una reclamación de pérdidas.

Dado que la red se ha vaciado por completo, existe una identidad disponible:

contribuciones totales = montos devueltos a los participantes + montos apropiados por los operadores + fondos que quedan en la red (≈ 0)

Lo cual significa que la pérdida neta agregada equivale a lo que se apropiaron los operadores. Los canales 2 y 3 califican: transferencias grandes y redondas hacia nodos centrales y direcciones de depósito de exchanges que simultáneamente concentran cantidades sustanciales de dinero de otras fuentes, sin ninguna de las características de pagar a los usuarios uno por uno.

(La cifra del canal 2 es lo que realmente salió; 1.100.002 USDT de su volumen en los nodos centrales regresó a la capa 3 y nunca se retiró.)

No podemos dar una cota máxima. Sería esta cifra más la parte que se desconoce de los 45.389.827 USDT que el canal 1 envió fuera de la red, en cuanto a cuánto fue a las propias cuentas de retiro de los operadores en lugar de a inversores reales, y eso depende de cuántas de esas 946 direcciones de depósito de Binance pertenezcan a los operadores. Una dirección de depósito de un exchange corresponde a una cuenta del exchange, pero quién la posee, y si esa persona también pagó dinero en la plataforma, no está en la cadena. Solo los propios registros del exchange pueden resolverlo. Este informe, por lo tanto, presenta una cota mínima, sin cota máxima ni estimación puntual.

Incluso la cota mínima conlleva una suposición, que es que los destinos del canal 3 realmente se encuentran fuera de la red. De las 1.636 direcciones externas que transaccionaron con estas 99, 160 lo hicieron en ambas direcciones, tanto pagando dinero hacia adentro como retirándolo hacia afuera. Algunas de ellas pueden pertenecer funcionalmente a la misma operación y simplemente quedaron fuera del límite que trazó este análisis. Si un trabajo posterior las incluye dentro de él, tanto el total de salida del canal 3 como esta cota mínima disminuirán.

Lo que la cadena resolvió, y lo que no

Partiendo de los pagos de una sola víctima, la cadena reveló la forma de toda la operación: 91 direcciones de recolección rotatorias, un único cuello de botella, cuatro relevos utilizados en secuencia, tres salidas con propósitos distinguibles, y 27,4 millones de USDT que puede demostrarse que fueron retirados en lugar de devueltos.

Lo que no pudo revelar son identidades. Las 946 direcciones de depósito de exchanges que retienen el 86,63% de los pagos son el límite. Más allá de ese punto, la cuestión deja de ser analítica y se convierte en un asunto de registros en manos de los exchanges, que es hacia donde este tipo de caso tiene que dirigirse a continuación.

Fuentes

Cada elemento en la sección de antecedentes fue verificado contra la página original. Los títulos están en su idioma original.

Dos notas sobre las fuentes. El número de denuncias en Hong Kong existe en tres momentos en el tiempo (225 denuncias y aproximadamente 94 millones de HK$ el 3 al 4 de agosto; 255 y aproximadamente 104 millones de HK$ el 5 de agosto; 286 y aproximadamente 118 millones de HK$ el 19 de agosto); usamos la más reciente. Sobre la fecha del cierre, VietnamPlus reporta el 20 de julio mientras que la Policía Judiciaria de Macao describe que las víctimas notaron problemas el 22 de julio; estos son el cierre y el descubrimiento, y no se contradicen.

Alcance: USDT en TRON. Datos de transacciones hasta el 24 de agosto de 2026; saldos consultados el 25 de agosto de 2026; fuentes públicas verificadas el 25 de agosto de 2026. Los porcentajes son sobre montos a menos que se indique como número de direcciones. Las direcciones sin atribución en la base de datos de etiquetas se describen como sin etiqueta de entidad, lo cual solo registra que no pudimos identificarlas.