El rastreo de Tornado Cash es posible, y dos investigaciones documentadas muestran exactamente cómo. En el ataque a Li.Fi de 2024, más del 99 por ciento de los 11.6 millones de dólares robados se movieron hacia Tornado Cash a través de 114 transacciones durante tres meses, y los investigadores mapearon toda la ruta. En el incidente de Nomad Bridge, 190 millones de dólares se dispersaron a través del mixer en un exploit sin control, y el rastreo aun así se sostuvo. Esto es lo que la evidencia de esos casos enseña sobre cómo funciona realmente la ciencia forense de mixers.
Qué es Tornado Cash y por qué importa
Tornado Cash es un mixer no custodial en Ethereum: los usuarios depositan desde una dirección y retiran a una dirección diferente. El diseño del pool hace que la vinculación directa entre un depósito específico y un retiro específico sea computacionalmente difícil. Se convirtió en el caso de referencia para el lavado asistido por mixers, tanto que en 2022 la OFAC del Departamento del Tesoro de EE. UU. sancionó al propio protocolo, una primicia para un contrato inteligente, según el comunicado de prensa del Tesoro sobre la designación de Tornado Cash. Un tribunal federal de apelaciones anuló esa designación a finales de 2024, la OFAC eliminó formalmente al protocolo de la lista en marzo de 2025, y las sanciones contra el cofundador Roman Semenov y sus direcciones asociadas permanecen vigentes, ahora bajo el programa de la OFAC relativo a Corea del Norte. La historia regulatoria importa para los equipos de cumplimiento, pero la historia del rastreo es la operativa. Los estándares del GAFI para activos virtuales y VASP enmarcan la obligación de detección que la exposición a mixers afecta, independientemente de cómo cambie el estado de designación de un protocolo específico.
La razón por la que Tornado Cash importa para el trabajo forense es su volumen. Cuando la mayoría de los fondos robados en incidentes importantes se enrutan a través de un mixer, el límite del mixer es donde se concentran las investigaciones. Y como muestran los dos casos a continuación, ese límite es difícil de traspasar, pero no impenetrable.
Caso uno: Li.Fi, $11.6M en 114 transacciones
El ataque a Li.Fi de julio de 2024 ofrece una imagen inusualmente completa de la disciplina en el uso de mixers. Los atacantes robaron aproximadamente 11.6 millones de dólares en criptomonedas e intercambiaron las stablecoins robadas por ETH a través de exchanges descentralizados. Las ganancias luego entraron a Tornado Cash en una campaña sostenida, una serie de depósitos que se extendió durante meses y que llevó casi todo el botín hacia el mixer.
El rastreo, documentado por BlockSec usando MetaSleuth en el estudio de caso sobre flujo de fondos ilícitos de Li.Fi, mapeó la estructura alrededor del mixer incluso donde el interior seguía siendo opaco. Río abajo de las direcciones iniciales del ataque, 32 direcciones receptoras dividieron los fondos: 15 de ellas tomaron cantidades de tokens de aproximadamente 0.1 ETH cada una, mientras que 17 direcciones manejaron casi todo el valor. La ruta más larga observada tuvo 20 saltos. El patrón dentro de la disciplina del mixer fue consistente: los atacantes usaron direcciones nuevas y más profundas para cada operación de Tornado Cash. Grandes cantidades se movieron a través de hasta 12 saltos antes de entrar al mixer; solo el pequeño remanente fue al exchange eXch para un retiro directo a efectivo. Ese registro del límite es evidencia, y en el caso de Li.Fi las cifras del lado de entrada, 114 transacciones, tres meses, 99 por ciento, son la columna vertebral del análisis público.
La lección tiene que ver con la forma, no con el interior. El mixer oculta los pares depósito-retiro, pero todo lo que ocurre antes de la entrada y después de la salida sigue siendo público, y la disciplina del operador es la verdadera variable.
Caso dos: Nomad Bridge, $190M en un exploit sin control
El incidente de Nomad Bridge de agosto de 2022 fue una anatomía diferente: un error de configuración permitió que cientos de imitadores independientes drenaran aproximadamente 190 millones de dólares en un exploit sin control, sin un único grupo profesional de lavado de dinero. Tornado Cash volvió a aparecer como destino, esta vez a través de decenas de actores independientes con niveles de habilidad variables. La falla de configuración detrás del incidente está documentada en el análisis de causa raíz de Nomad Bridge.
Para el trabajo forense, el caso demuestra el mixer a escala de población. Actores sin entrenamiento cometieron errores operativos que los grupos entrenados evitan: reutilización de direcciones, prisa en los tiempos, salidas hacia servicios rastreables. El rastreo a través de las secuelas explotó la capa humana alrededor de la criptografía, no la criptografía en sí. La investigación de Li.Fi está documentada con un lienzo de análisis público, de modo que las rutas, saltos y puntos de salida pueden inspeccionarse en lugar de tomarse como un acto de fe.
Los dos casos, uno junto al otro, muestran lo que cambia con la disciplina del operador y lo que no:
| Dimensión | Li.Fi 2024 | Nomad Bridge 2022 | Conclusión de cumplimiento |
|---|---|---|---|
| Tamaño de la pérdida | $11.6M | $190M | La relevancia del mixer se mantiene en todas las escalas |
| Actores | Un grupo disciplinado | Cientos de imitadores independientes | La disciplina, no la habilidad, determina la rastreabilidad |
| Uso del mixer | 114 transacciones en 3 meses, 99%+ de los fondos | Decenas de actores, patrones variables | Los registros de límite escalan con el volumen |
| Ruta más larga | 20 saltos | Varía según el actor | El rastreo de múltiples saltos es el requisito predeterminado |
| Qué preservó el rastreo | Estructura completa desde la entrada hasta el límite del mixer | Errores del lado de salida, reutilización de direcciones | La entrada y la salida se mantienen como evidencia pública |
Cómo funciona realmente el rastreo de mixers
El método en ambos casos es consistente, y se generaliza. Rastrear hasta el límite del mixer y documentarlo con precisión: qué direcciones depositaron, cuánto, cuándo, en cuántas transacciones. Luego trabajar las salidas: las direcciones del lado del retiro se agrupan, se comparan en el tiempo con los depósitos, y se cruzan con listados de exchanges y movimientos posteriores. El emparejamiento directo depósito-retiro sigue siendo difícil dentro del pool, pero las salidas heredan comportamientos, las direcciones nuevas aún tocan servicios, y los servicios son etiquetables.
Finalmente, observar en lugar de adivinar. Los fondos robados permanecen inactivos y se mueven en líneas de tiempo; el retiro a efectivo de Li.Fi ocurrió meses después del robo. El monitoreo continuo de las direcciones del límite, con alertas ante movimientos, es lo que convierte un caso latente en uno rastreado. Según BlockSec, MetaSleuth proporciona exactamente este ciclo: rastreo de múltiples saltos con lienzos de análisis guardados, y monitoreo en tiempo real del movimiento de fondos robados a través de cadenas. Para la metodología más amplia de trabajar los límites de mixers, ver How to Trace Stolen Crypto Through a Mixer. Reserve una demostración de Phalcon Compliance para detectar la exposición vinculada a mixers en direcciones de contraparte, o abra MetaSleuth y rastree un caso usted mismo.
Preguntas frecuentes: Rastreo de Tornado Cash
¿Se pueden rastrear los fondos enviados a través de Tornado Cash? El mixer oculta los pares directos de depósito-retiro. Todo lo que ocurre antes de la entrada y después de la salida sigue siendo público, y la agrupación más la inteligencia del lado de salida reconstruye rutas de manera rutinaria, como muestran ambos casos documentados.
¿Sigue sancionado Tornado Cash? Un tribunal federal de apelaciones anuló la designación a nivel de protocolo en noviembre de 2024, y la OFAC eliminó formalmente a Tornado Cash de la lista en marzo de 2025. Las sanciones vinculadas al cofundador Roman Semenov y sus direcciones asociadas permanecen, ahora bajo el programa de la OFAC relativo a Corea del Norte; la detección contra las listas actuales es la práctica operativa.
¿Por qué los atacantes siguen usando mixers si el rastreo funciona? Los mixers aumentan el costo y el retraso en lugar de proporcionar invisibilidad. El grupo de Li.Fi mantuvo tres meses de disciplina y aun así fue mapeado desde la entrada hasta el límite del mixer.
¿Qué debería hacer un equipo de cumplimiento ante la exposición a mixers? Detectar el riesgo de interacción con mixers, tratar la exposición vinculada a mixers como elevada, y documentar los hechos del límite. Los motores de riesgo que marcan etiquetas de mixers en las contrapartes hacen que esto sea sistemático.
