Estafa Fun Coffee: rastreando un esquema Ponzi del 278% en TRON

El 20 de julio de 2026 la aplicación Fun Coffee dejó de funcionar, dejando a varios cientos de inversores en Hong Kong y Macao incapaces de recuperar tanto su capital como los rendimientos que la plataforma había prometido. La empresa detrás de ella, que se anunciaba como desarrolladora de equipos de café de alta tecnología con activos totales superiores a 1.000 millones de dólares estadounidenses, fue identificada posteriormente por la policía de Hong Kong y Macao como una operación fraudulenta. Hasta el 19 de agosto, la Policía de Hong Kong había recibido 286 denuncias que involucraban aproximadamente 118 millones de HK$.

Partiendo de los registros de pago de una víctima, rastreamos los fondos hacia adelante en TRON y recuperamos una red de 99 direcciones que recibieron 72.829.035 USDT desde el exterior y que, a fecha de corte de nuestros datos, habían movido todo ese dinero de vuelta hacia afuera. Lo que sigue expone la estructura de esa red, cómo separamos el dinero devuelto a los inversores del dinero que fue sustraído, y dónde el análisis on-chain llega a su límite.

Una nota sobre lo que sigue. Los hechos del capítulo uno proceden de reguladores, policía y medios de noticias, y cada página citada fue abierta y verificada. Todo lo demás es nuestro propio análisis de registros on-chain, cubriendo únicamente USDT en TRON. Cuando decimos qué hace una dirección, esto se basa en su comportamiento en cadena y en la atribución de entidades de la base de datos de etiquetas de BlockSec. No constituye un hallazgo sobre quién controla la dirección, el estado mental de esa persona o su responsabilidad legal. Para proteger la privacidad de la víctima cuyo material dio inicio a esto, no mostramos sus direcciones, hashes de transacciones ni capturas de pantalla de la plataforma, y no revelamos sus montos individuales.

Las advertencias llegaron antes de que la plataforma se detuviera

El registro público tiene una forma que merece ser señalada antes de cualquier dato de la cadena.

El 15 de mayo de 2026, la policía de la provincia de Khánh Hòa, Vietnam, publicó una advertencia. Describía rendimientos anunciados del 10% al 30% mensual y una estructura que impulsaba a los participantes a reclutar mediante "comisiones de sistema" y "bonos de rendimiento de equipo" multinivel. Decía claramente de dónde venía el dinero: no de la venta de café, sino de las personas que se unían más tarde.

El 13 de julio de 2026, la Comisión de Valores y Futuros de Hong Kong (SFC) añadió "Fun Coffee GCM 專案" a su lista de alertas de Productos de Inversión Sospechosos. La SFC registró al operador y al promotor como la misma entidad, con presencia en Hong Kong y Vietnam. Su listado nombra los productos que el esquema anunciaba, incluido un sistema de extracción de café frío de alta eficiencia y un módulo de pruebas y trazabilidad de seguridad alimentaria, y señala que el material llegaba a los inversores mediante eventos de marketing celebrados en Hong Kong.

El 20 de julio de 2026, la aplicación dejó de funcionar.

La Policía de Hong Kong comenzó a recibir denuncias durante julio, después del cierre, y llevó a cabo una operación conjunta con la Policía Judiciaria de Macao del 1 al 3 de agosto, arrestando a seis personas en Hong Kong y a dos en Macao. Los detenidos en Hong Kong eran directores de la empresa, accionistas y miembros clave responsables de la promoción y el reclutamiento. Se congelaron aproximadamente 610.000 HK$.

El orden, entonces, fue advertencia regulatoria, luego cierre, luego investigación penal. Esa secuencia se usa más adelante de nuevo para explicar una anomalía en los datos de pagos.

El discurso de venta en sí no era complicado. La plataforma afirmaba tener activos totales superiores a 1.000 millones de dólares estadounidenses y más de 5.000 empleados. La Policía de Hong Kong describió tres niveles, 啟航 (Lanzamiento), 成長 (Crecimiento) y 遠航 (Travesía), que anunciaban rendimientos anuales de aproximadamente 197% a 278%. En el nivel superior, 29.800 USDT mantenidos durante 570 días debían devolver alrededor de 1 millón de HK$ en ganancias. Los participantes ganaban bonos por traer amigos y familiares, y la policía vietnamita señaló que los eventos de venta enseñaban a los asistentes a reclutar.

El pago se realizaba en criptomonedas en cada paso. Una vez que un inversor se registraba en la aplicación, el servicio de atención al cliente le indicaba a qué billetera enviar los activos virtuales; solo después de esa recarga podía invertir. Macao funcionaba un poco distinto: las víctimas entregaban efectivo al personal de la tienda, que les ayudaba a recargar mediante una cuenta cripto, con el dinero terminando en una cuenta designada por el nivel superior (upline). Ese mismo upline también financiaba las operaciones de la tienda en criptomonedas.

La red: cuatro capas, un punto de estrangulamiento, tres salidas

Consultadas una por una, esas 99 direcciones tienen 1,52 USDT entre todas ellas, y las 91 direcciones de recolección están todas en cero. "Movió todo hacia afuera" es un resultado medido más que un resumen.

Las 99 direcciones se dividen en cuatro capas, y se comportan de manera muy distinta entre sí.

La Capa 1 es un conjunto de 91 direcciones de recolección, rotadas por lotes. La plataforma nunca publicó una dirección fija de depósito. Cada una de las 91 recibió entre 67 y 649 transferencias entrantes de 9 a 38 remitentes distintos. De las 15.272 entradas que llegaron desde fuera de la red, 13.903 (91%) fueron pagadas por una billetera caliente de un exchange, lo cual coincide con el método descrito por la policía: se indicaba a las víctimas que enviaran desde donde tuvieran sus criptomonedas hacia una billetera designada.

La Capa 2 es una única dirección. Todo lo que recolectó la Capa 1 converge en TRoCD8...yxJw, que recibió 68.409.908 USDT en 2.076 transferencias, el 99,99% de ellas provenientes de la Capa 1, y lo reenvió todo hacia adelante. No conserva nada. Este es el único punto de estrangulamiento de la red, y es la razón por la cual los pagos de una sola víctima fueron suficientes para revelar toda la estructura.

La Capa 3 son cuatro direcciones de relevo utilizadas una tras otra. Los períodos durante los cuales el nodo central las financia son consecutivos y no se superponen, con cada traspaso ocurriendo en un solo día. Esto se parece menos a cuatro roles funcionando en paralelo y más a un único rol cuya billetera fue reemplazada tres veces.

La Capa 4 son tres nodos de disposición, y aquí es donde el dinero se divide según su propósito. El 91,1% de lo que sale de la Capa 3 llega a estas tres direcciones. Dos de ellas funcionaron de manera consecutiva, y la segunda, TPuLUc...Mo7Z, estuvo activa solo entre el 15 y el 23 de julio de 2026, exactamente la ventana en la que la plataforma dejó de operar y la policía comenzó a recibir denuncias. Fue la última dirección que pagó a alguien.

Dos detalles no encajan en la ordenada imagen de capas y deben mencionarse. No todo bajó a la Capa 4: el 8,5% de las salidas de la Capa 3, 6.245.984 USDT en 563 transferencias, salió de la red directamente desde la Capa 3. Y no todo entró a través de la Capa 1: la Capa 3 recibió otros 3.355.420 USDT en 302 transferencias directamente desde fuera de la red, y los nodos de la Capa 4 recibieron 1.293.472 USDT más entre ellos, dinero que nunca tocó una dirección de recolección.

Quien haya dirigido esto no encaminó el dinero estrictamente por capas. La Capa 3 actuó como relevo y, al mismo tiempo, operó su propia salida.

Los números redondos separan los canales

La red tiene tres salidas. Para qué se usó cada una puede determinarse a partir de la forma de los montos individuales de sus transferencias.

La fila sobre múltiplos de 1.000 es la que más los separa. Las transferencias del Canal 1 casi nunca son redondas: el 1,1% son múltiplos de 1.000, y sus montos más comunes son cifras como 393, 448 y 324. Los Canales 2 y 3 son redondos el 86,2% y el 73,4% de las veces, en cantidades como 150.000 y 5.000.

Esa diferencia se deriva de cómo se produce cada número. Pagar a un usuario su retiro o su interés implica calcular capital por tasa, lo que normalmente deja un remanente no redondo. Mover dinero al por mayor implica que una persona escribe una cifra, y las personas escriben cifras redondas.

Esto es una tendencia, no una ley. Una plataforma puede redondear sus pagos de intereses; alguien que mueve fondos puede evitar deliberadamente los números redondos. Pero la correspondencia aquí es lo bastante estrecha para sustentar la clasificación, y se apoya en todo lo demás sobre los tres canales: el Canal 1 realizó 12.532 transferencias pequeñas a 1.428 destinos, mientras que el Canal 2 realizó 87 grandes a 19.

El Canal 1 es el canal de pagos, 45.574.708 USDT que regresan a inversores y reclutadores. 946 direcciones de depósito de Binance recibieron el 86,63%; 451 direcciones de autocustodia recibieron el 12,51%.

Los Canales 2 y 3 sacaron dinero. Los 19 destinos del Canal 2 son nodos que operan de forma independiente y que han recibido 174.114.070 USDT en total a lo largo de toda su actividad, de los cuales este caso representa el 12,8%. El Canal 3 tiene el mismo perfil un orden de magnitud más abajo, sobre todo hacia direcciones que no podemos atribuir y hacia tres direcciones de depósito de HTX.

El conjunto de direcciones dejó de crecer mientras el dinero no

Las entradas mensuales a la Capa 1 aumentaron todos los meses durante nueve meses. Sin caídas.

518.213 USDT en noviembre de 2025, que suben a 14.349.354 USDT en julio de 2026, un factor de 27,7. El mes más alto es julio, el mes en que la plataforma se detuvo, por lo que la recaudación de fondos estaba todavía en su punto máximo cuando se apagó.

El conjunto de direcciones no siguió el ritmo del dinero. No se activó ninguna dirección de recolección nueva en marzo ni en abril de 2026, y esos fueron los dos meses de crecimiento más rápido. Para julio, 11 direcciones activas manejaban 14.349.354 USDT, un promedio de 1.304.487 USDT cada una, 83 veces la cifra de noviembre. El conjunto se desplegó en lotes, 33 direcciones a la vez en noviembre de 2025 y 20 a la vez en mayo de 2026, y el crecimiento se absorbió empujando más dinero por cada una. El mes en que esas primeras 33 entraron en servicio es el mes en que abrió la tienda de Macao.

La transferencia promedio también creció, de 814 USDT a 6.882 USDT. Esto dice más que las cifras totales: no fue solo que más personas se unieran, sino que cada aporte se volvía mayor. Los participantes posteriores apostaban más por transacción que los anteriores.

Cuántas personas participaron

Dos rutas independientes llegan a un resultado similar, y ambas son cifras mínimas.

De las 15.272 entradas que la Capa 1 recibió desde fuera de la red, 13.903 provinieron de 15 direcciones etiquetadas como pertenecientes a exchanges, cada una de las cuales se sitúa frente a muchos remitentes minoristas que no podemos distinguir entre sí. Las 1.369 restantes provinieron de 175 direcciones de autocustodia, un promedio de 7,8 transferencias cada una. Extrapolando el lado de los exchanges a esa tasa se obtienen aproximadamente 1.777 personas; sumando las 175 se llega a alrededor de 1.950.

Desde el otro extremo: el Canal 1 pagó a 1.428 direcciones de destino, y el 86,3% de los contribuyentes de autocustodia recibieron un pago en algún momento. Aplicando esa tasa a la inversa se obtiene aproximadamente 1.655.

Así que entre 1.650 y 1.950, y probablemente más que eso. La mayoría de las direcciones de autocustodia aportaron una o dos veces, pero algunas pocas aportaron decenas de veces y una más de doscientas, lo cual se parece menos a una persona que a un reclutador recargando para su red descendente. Un promedio es la herramienta adecuada para convertir un total de transferencias en un número de personas, pero esas direcciones de alta frecuencia elevan el promedio y reducen el número de personas. Estimado a partir de la frecuencia que realmente muestra un participante ordinario, la cifra podría alcanzar el orden de 7.000. Otras tres cosas apuntan en la misma dirección: una persona puede tener varias direcciones; cualquiera que nunca retiró no aparece en ninguna parte del canal de pagos; y existe una ruta de financiamiento que se salta la Capa 1 por completo, pagando desde una billetera caliente de HTX directamente a la Capa 3 (110 transferencias, 240.824 USDT).

Un número de personas no es un número de víctimas. Las direcciones que reciben pagos contienen al menos tres tipos de partes mezcladas, y la cadena no las separa: inversores comunes que cobraron menos de lo que aportaron, reclutadores que ganaban comisiones multinivel, y posiblemente cuentas de retiro de efectivo de los propios operadores, algo que no puede descartarse precisamente porque esas direcciones de depósito de Binance no pueden atribuirse a nadie.

La mayoría de los participantes que podemos rastrear individualmente sí recuperaron su dinero

Los hallazgos de esta sección se aplican solo a los participantes que pueden identificarse individualmente en la cadena, por lo que ese grupo debe definirse primero. Hay un subconjunto que podemos medir: aquellos que pagaron desde una billetera que controlan, en lugar de a través de un exchange. Cuando alguien paga desde una cuenta de exchange, el remitente en la cadena es la billetera caliente del exchange, compartida por miles de clientes, y ningún pago individual puede vincularse a una persona. Cuando pagan desde su propia billetera, sí se puede.

Tras excluir las direcciones pertenecientes a la propia red y los aportes de nivel de polvo (menos de 100 USDT), quedan 175 direcciones. De estas, 151 (86,3%) recibieron dinero de vuelta; en conjunto aportaron 6.211.277 USDT y recibieron 7.830.067 USDT, una tasa de recuperación del 126,1%, con 110 recuperando el 100% o más. Como grupo, salieron ganando. Otras 24 no recibieron nada en absoluto tras aportar 466.630 USDT entre todas.

Agrupadas por mes de primer aporte, no hay tendencia a la baja. La recuperación mediana por mes oscila entre 75,0% y 183,2%, y la cohorte de noviembre de 2025, la más temprana, se ubica en 113,4%. La conocida historia de un esquema Ponzi, donde a los que se unen primero les va bien y a los que se unen tarde los liquidan, no aparece en esta muestra.

Esto vuelve a la cronología expuesta antes. El esquema no se quedó sin dinero: recaudó más en su último mes que en cualquier mes anterior. Lo que lo detuvo fue una advertencia policial extranjera en mayo y una inclusión regulatoria el 13 de julio, seguidas del cierre el 20 de julio, con la investigación penal comenzando solo después. Un esquema interrumpido mientras aún es solvente no ha llegado todavía a la etapa en la que deja de pagar a la gente.

Esto también explica cómo algo que anunciaba un 278% anual sobrevivió cerca de un año. Los primeros participantes realmente recibieron pagos, y su experiencia es lo que reclutó a la siguiente tanda. La Policía de Hong Kong describió el mismo mecanismo desde el lado de las víctimas: los participantes veían a otros tener éxito, recibían pequeños rendimientos ellos mismos, creían que el esquema era genuino, bajaban la guardia y aumentaban su inversión.

La tasa de recuperación del 126,1% no representa a los participantes en su conjunto

Las limitaciones son dos: cuánto del canal de pagos cubre esta muestra, y quién está en ella.

Primero, solo cubre el 12,51% del canal de pagos. El método requiere un aporte comparable en la cadena, algo que solo tienen las direcciones de autocustodia. Las 946 direcciones de depósito de Binance que recibieron el 86,63% del Canal 1 quedan completamente fuera. Por número de transferencias, el 91% de las entradas de la Capa 1 llegaron a través de un exchange.

Segundo, que este grupo sea neto positivo es precisamente lo que lo hace no representativo. Las personas que usan billeteras de autocustodia en un esquema como este tienden a ser más activas, a mover más dinero y a haberse unido antes. Una proporción sustancial de ellas son reclutadores, no inversores. Podemos ver el patrón directamente: una dirección aportó 581 USDT y recibió 100.434 USDT, un factor de 173, y hay otras en 100x y 75x. Cualquier estimación de pérdidas basada en esta muestra subestima sistemáticamente la cifra real.

Debemos ser cautelosos incluso al llamarlos reclutadores. Recibir mucho más de lo que se aportó se ve idéntico en la cadena tanto si se estaba ganando comisión por reclutamiento como si se era un inversor temprano que tomó ganancias y se retiró. Ese patrón por sí solo no puede separar ambos casos, por lo que no formulamos el hallazgo respecto a ninguna dirección específica.

La víctima cuyos registros dieron inicio a este análisis ofrece un contraste directo. Todos sus aportes pasaron por una cuenta de exchange, por lo que no se encuentra entre las 175, y sus pagos acumulados ascendieron a aproximadamente el 3,8% de lo que aportó, dos órdenes de magnitud por debajo del 126,1% de la muestra. Un solo caso no es evidencia estadística, pero apunta en la misma dirección que el sesgo: las personas que no podemos ver individualmente podrían haber salido mucho peor que las que sí podemos ver.

Cuánto perdieron realmente los participantes

Comúnmente se describen tres cifras distintas como "la pérdida". Solo una de ellas es adecuada para un reclamo de pérdidas por parte de los participantes.

Los libros propios de la plataforma son el "monto invertido" acumulado que mostraba la aplicación. Esa cifra incluye ganancias de papel reinvertidas y bonos de nivel, por lo que es materialmente mayor que lo que cualquiera aportó realmente. No debería usarse.

Los ingresos acumulados en la cadena son lo que las direcciones de recolección recibieron desde fuera de la red: 68.170.144 USDT. Esta cifra está fundamentada y es defendible, pero no es lo que los participantes perdieron. En un esquema Ponzi el mismo dinero circula entre aporte y pago más de una vez, por lo que la cifra acumulada queda por encima de la pérdida neta real. Y no puede saberse a partir de la cadena si parte de ella es dinero que los propios operadores inyectaron para fabricar un volumen aparente.

La pérdida neta es el monto que los participantes perdieron en conjunto, y es la única de las tres adecuada para un reclamo de pérdidas.

Dado que la red se ha vaciado por completo, existe una identidad disponible:

aportes totales = montos devueltos a los participantes + montos tomados por los operadores + fondos que permanecen en la red (≈ 0)

Lo cual significa que la pérdida neta agregada equivale a lo que se llevaron los operadores. Los Canales 2 y 3 califican: grandes transferencias redondas hacia nodos y direcciones de depósito de exchanges que simultáneamente concentran cantidades sustanciales de dinero provenientes de otras fuentes, sin ninguna de las características de pagar a los usuarios uno por uno.

(La cifra del Canal 2 es lo que realmente salió; 1.100.002 USDT del volumen de su nodo regresaron a la Capa 3 y nunca partieron.)

No hay un límite superior que podamos dar. Sería esta cifra más la parte de los 45.389.827 USDT que el Canal 1 envió fuera de la red que pudiera haber ido a las propias cuentas de retiro de efectivo de los operadores en lugar de a inversores reales, y eso depende de cuántas de esas 946 direcciones de depósito de Binance pertenecen a los operadores. Una dirección de depósito de un exchange corresponde a una sola cuenta del exchange, pero quién la posee, y si esa persona también aportó dinero a la plataforma, no está en la cadena. Solo los propios registros del exchange pueden resolverlo. Por lo tanto, este informe da un límite inferior, sin límite superior ni estimación puntual.

Incluso el límite inferior conlleva un supuesto, que es que los destinos del Canal 3 realmente se encuentran fuera de la red. De las 1.636 direcciones externas que transaccionaron con estas 99, 160 lo hicieron en ambas direcciones, aportando dinero y también sacándolo. Algunas de ellas podrían pertenecer funcionalmente a la misma operación y simplemente haber quedado fuera del límite que trazó este análisis. Si un trabajo posterior las incluye dentro de dicho límite, tanto el total de salidas del Canal 3 como este límite inferior disminuirán.

Lo que la cadena resolvió, y lo que no

Partiendo de los pagos de una víctima, la cadena reveló la forma de toda la operación: 91 direcciones de recolección rotativas, un único punto de estrangulamiento, cuatro relevos utilizados en secuencia, tres salidas con propósitos distinguibles, y 27,4 millones de USDT que puede demostrarse que fueron sustraídos en lugar de devueltos.

Lo que no pudo revelar son identidades. Las 946 direcciones de depósito de exchanges que sostienen el 86,63% de los pagos son el límite. Más allá de ese punto, la pregunta deja de ser analítica y se convierte en un asunto de los registros que poseen los exchanges, que es hacia donde este tipo de caso debe dirigirse a continuación.

Fuentes

Cada elemento en la sección de antecedentes fue verificado contra la página original. Los títulos están en su idioma original.

Dos notas sobre las fuentes. El número de denuncias de Hong Kong existe en tres momentos distintos (225 denuncias y unos 94 millones de HK$ el 3 al 4 de agosto; 255 y unos 104 millones de HK$ el 5 de agosto; 286 y unos 118 millones de HK$ el 19 de agosto); usamos la más reciente. Sobre la fecha del cierre, VietnamPlus informa el 20 de julio, mientras que la Policía Judiciaria de Macao describe que las víctimas notaron problemas el 22 de julio; estas corresponden al cierre y al descubrimiento, respectivamente, y no se contradicen.

Alcance: USDT en TRON. Datos de transacciones hasta el 24 de agosto de 2026; saldos consultados el 25 de agosto de 2026; fuentes públicas verificadas el 25 de agosto de 2026. Los porcentajes se refieren a montos, salvo que se indique como número de direcciones. Las direcciones sin atribución en la base de datos de etiquetas se describen como sin etiqueta de entidad, lo que solo registra que no pudimos identificarlas.