Kraken bloqueó cuentas tras un dust attack con fondos de HTX

Kraken bloqueó cuentas de clientes que no hicieron nada. Entre el 17 y el 24 de agosto llegaron cerca de 12.000 transferencias diminutas a direcciones vinculadas al exchange, la mayoría por montos de centavos a pocos dólares, enviadas desde una billetera que Arkham Intelligence atribuye a HTX. El screening automático las marcó como fondos alcanzados por sanciones británicas y europeas, lo que disparó el bloqueo de las cuentas receptoras. Kraken describió el episodio como un dust attack, la técnica de enviar cantidades ínfimas de cripto a miles de direcciones para contaminar su historial.

La compañía restableció el acceso después de revisar cada caso, aunque mantiene retenidos los fondos sancionados. No dijo cuántas cuentas quedaron bloqueadas ni cuál es el monto total inmovilizado. Un vocero afirmó que la empresa no sabe quién está detrás del envío y agregó que quienes lo ejecutaron probablemente esperaban exactamente ese efecto, un bloqueo completo de cuenta cada vez que fondos sancionados aterrizan en el saldo de un cliente.

HTX negó haber originado las transferencias y sostiene que la actividad puede provenir de un tercero o de un error de etiquetado. La atribución de Arkham se apoya en direcciones que el propio HTX publicó en su prueba de reservas, algo que identifica a la billetera sin decir quién la controlaba en el momento de cada envío. Esa distinción pesa cuando un equipo de compliance cripto tiene que decidir en horas.

Las sanciones a HTX no son nuevas. El Reino Unido designó a Huobi Global S.A. el 26 de mayo bajo su régimen contra Rusia, la primera vez que una designación británica nombra directamente a un exchange de criptomonedas. La Unión Europea adoptó su vigésimo primer paquete el 23 de julio e incorporó a HTX a una lista de prohibición de transacciones que entró en vigor el 23 de agosto. El dust attack empezó seis días antes de esa fecha y siguió después.

El costo del dust attack es la parte incómoda. Con montos de centavos a pocos dólares por envío, el desembolso total de quien lo ejecutó se ubica en el orden de unos miles de dólares, comisiones de red incluidas. Del otro lado, cada depósito no solicitado abre una revisión manual, un ticket de soporte, un cliente que no puede operar y un registro que alguien tendrá que explicar ante un supervisor.

Los sistemas de screening de sanciones que usa la industria siguen construidos sobre la premisa que los bancos adoptaron hace veinte años, que la exposición a una contraparte sancionada indica intención del cliente. En una blockchain sin permisos esa premisa se cae, porque cualquiera puede enviar fondos a una dirección pública sin que el receptor lo autorice. TRM Labs ya había reportado que HTX rotó sus billeteras después de la designación británica, lo que deja obsoleta una lista estática en cuestión de horas. El sector sigue tratando la actualización de listas como un proceso por lotes mientras el adversario trabaja en tiempo real.

Para la región el asunto no es teórico. En el mismo paquete británico de mayo aparece ABCeX, registrada en San Salvador como Nueva Cryptologia S.A.S. de C.V., que la Unión Europea también sumó a su lista con vigencia desde el 23 de agosto. Una sociedad constituida en El Salvador terminó alcanzada por dos regímenes de sanciones occidentales por su papel en la infraestructura cripto rusa. La regulación cripto en Brasil avanza en paralelo, con las Resoluciones BCB 519, 520 y 521 vigentes desde el 2 de febrero y un plazo hasta el 30 de octubre para que las prestadoras que ya operaban presenten su pedido de autorización, con exigencias explícitas de prevención de lavado.

Quien opere una plataforma en la región va a enfrentar la misma decisión que enfrentó Kraken, con menos presupuesto de compliance y con un supervisor que recién estrena su marco. Bloquear todo depósito sancionado resulta defendible ante el regulador e insostenible ante el cliente. Dejar pasar montos ínfimos resulta razonable en términos de riesgo y difícil de escribir en una política sin que parezca una excepción hecha a medida. Ningún regulador publicó todavía un criterio de materialidad para exposición no solicitada. Mientras tanto, enviar centavos sigue costando centavos.