La respuesta corta: la monitorización en tiempo real cierra el hueco de respuesta
Tras un robo, la pregunta que decide el desenlace es dónde están los fondos ahora, no qué se llevaron. Una revisión retrospectiva reconstruye la ruta después de que los fondos ya se hayan asentado en un mezclador, un puente o un exchange. La monitorización en tiempo real invierte esa secuencia: vigila la dirección robada en el momento en que se mueve, para que el equipo de respuesta actúe mientras los fondos siguen en movimiento.
La diferencia entre los dos enfoques es el hueco de respuesta. Cuando el seguimiento es retrospectivo, el hueco entre el robo y el primer cuadro accionable puede estirarse de horas a días. Para cuando la ruta está clara, los fondos ya no están. Cuando el seguimiento es continuo, el hueco se comprime al tiempo que tarda en aparecer el siguiente salto. El valor de la monitorización en tiempo real es que elimina por completo la espera a la siguiente transacción, no que haga más rápido a quien analiza.
Esto importa sobre todo a los dos grupos que heredan un robo. El equipo de un protocolo DeFi necesita pausar un contrato o contactar con un exchange. Quien investiga desde las fuerzas del orden necesita una dirección vigente que incluir en una petición de bloqueo. En Estados Unidos, el lado de la comunicación pasa por FinCEN. Los dos grupos actúan sobre la misma pregunta: ¿dónde están los fondos ahora? Un cuadro histórico responde a una pregunta que ya no importa.
Por qué los fondos robados se mueven deprisa
Los fondos robados se mueven deprisa porque el atacante corre para cambiar, puentear o mezclar el botín antes de que aterrice un bloqueo o una interceptación. Quien roba sabe que cada segundo que los fondos siguen en la dirección del robo es un segundo en el que un exchange, un protocolo o las fuerzas del orden pueden actuar. Así que el dinero no se queda quieto.
La secuencia de huida es mecánica. El atacante cambia el activo robado por un token base líquido y después lo puentea a otra cadena. A continuación lo divide entre una docena de direcciones nuevas. Por último mezcla los lotes o los mete en un exchange con comprobaciones de identidad débiles o inexistentes. Cada salto añade distancia entre los fondos y su origen. Y acorta el tiempo del que dispone quien sigue el rastro.
Algunos atacantes ni siquiera empiezan a moverse de inmediato. En el incidente del monedero Slope, el atacante retuvo los fondos robados durante meses antes de empezar a blanquearlos. Quien vigilaba desde el principio vio el primer movimiento en el momento en que empezó. Quien empezó solo después de que comenzara el movimiento ya llevaba meses de retraso.
El resultado es que quien solo actúa después de los hechos ve el final de la cadena: los fondos ya se han cambiado, puenteado y mezclado. Quien actúa en tiempo real ve formarse la cadena, un salto cada vez, mientras cada salto sigue siendo reversible. Esa es la diferencia entre una investigación y una intervención.
El flujo de trabajo de la monitorización en tiempo real
La monitorización en tiempo real es un flujo de trabajo, no una herramienta suelta. El flujo es: marcar la dirección robada, vigilar su actividad de forma continua, detectar la salida nueva, disparar una alerta y después bloquear o reportar. La mitad del reporte responde ante los estándares del GAFI que hay detrás de las normas nacionales. Cada paso tiene un responsable claro y un disparador claro, y la secuencia entera corre en bucle hasta que los fondos se recuperan o se dan por perdidos.
Primero, marca la dirección del robo y sus direcciones aguas abajo conocidas en el momento en que se confirme el incidente. Cuanto antes ocurra, menos saltos regala al atacante. Segundo, vigila ese conjunto de forma continua, para que cualquier salto saliente quede registrado según se liquida y no horas después. Tercero, detecta la salida nueva: el swap, el puente, el depósito en un mezclador o el depósito en un exchange que sacarían los fondos de tu alcance.
Cuarto, dispara una alerta hacia quien pueda actuar. Para el equipo de un protocolo, esa persona quizá pause un contrato o avise a un exchange socio. Para quien investiga, esa misma alerta significa una petición de bloqueo o una notificación legal. Quinto, bloquea o reporta por el canal que corresponda. El bucle se reinicia entonces desde la dirección nueva a la que acaban de moverse los fondos, porque el atacante sigue moviéndolos mientras la vigilancia sea lo único que los persigue.
El orden importa porque cada paso depende de que el anterior haya sido rápido. Un flujo que marca deprisa pero vigila despacio pierde igualmente los fondos. Cuando la vigilancia es rápida pero la alerta es lenta, los minutos que importan ya se han ido. La velocidad en un paso no compensa un paso lento más adelante en la cadena.
Cómo hace posible MetaSleuth el seguimiento en tiempo real
MetaSleuth incluye monitorización de transacciones en tiempo real que vigila de forma continua el movimiento de los fondos robados. Una vez que la dirección del robo se añade a un gráfico, quien investiga no tiene que volver a lanzar el rastreo a mano tras cada bloque. La plataforma sigue vigilando el movimiento y saca a la luz el siguiente salto según aparece.
Eso es lo que hace MetaSleuth. Convierte el flujo de trabajo de una serie de consultas manuales en una vigilancia continua, de modo que el equipo de respuesta persigue los fondos en lugar de reconstruirlos. En el incidente de Euler Finance, MetaSleuth permitió un seguimiento casi en tiempo real de los fondos robados. Ese «casi en tiempo real» es la descripción que el propio evento hizo de lo que entregó la herramienta: es un ritmo que el equipo de seguimiento pudo observar durante un incidente en vivo, no una cifra de velocidad garantizada.
Casi en tiempo real significa que el cuadro se actualiza cerca del momento en que se liquida una transacción, en lugar de solo después de que alguien vuelva a lanzar el rastreo. Es el término medio práctico entre un informe histórico y un flujo en vivo bloque a bloque. Para un equipo de respuesta, es la diferencia entre saber dónde estaban los fondos y saber dónde están ahora.
Esa misma vigilancia acompañó al equipo en el caso del puente Ronin, donde los fondos robados se vigilaron mientras se movían por una larga cadena de direcciones intermedias. Lo que entrega una vigilancia continua es la ausencia de un hueco entre el robo y el primer cuadro de adónde van los fondos, no una única alerta dramática.
El efecto práctico es que quien analiza pasa de preguntar dónde estaban los fondos a preguntar dónde están ahora. A la primera pregunta la responde una vista histórica. A la segunda, una vista en vivo. Y solo la vista en vivo le da a un equipo de respuesta la oportunidad de actuar antes de que los fondos abandonen la última dirección a la que todavía puede llegar.
Qué hacer a continuación
Si tu equipo todavía sigue los fondos robados reconstruyendo la ruta después de los hechos, el paso siguiente es mover la vigilancia al principio del incidente. Elige la dirección del robo en el momento en que confirmes la pérdida, añádela a una vigilancia en vivo y enruta las alertas hacia alguien que pueda bloquear, pausar o reportar.
Monitoriza fondos robados con MetaSleuth y convierte un robo activo en un caso bajo seguimiento continuo desde el primer minuto.
Este artículo forma parte de la guía de investigaciones y forense de MetaSleuth, donde el método de rastreo, el tratamiento de las evidencias y los niveles de herramienta se cubren de principio a fin.