Detectaron 16,8 millones de dólares en billeteras de hackers iraníes sancionados por Estados Unidos

Diez billeteras de criptomonedas controladas por Keyvan Fayyaz Ghareh Blagh, un pirata informático iraní que usó los alias Achilles, The Joker y bc.monster, concentraron el 92% de los 16,8 millones de dólares que la firma de análisis blockchain TRM Labs rastreó en la red cripto de un grupo de hackers sancionado esta semana por Estados Unidos. Fayaz recibió 15,5 millones de dólares entre enero de 2018 y agosto de este año a través de esas diez direcciones.

TRM Labs examinó en total 30 direcciones en Bitcoin, Ethereum y TRON que la Oficina de Control de Activos Extranjeros (OFAC) vinculó a integrantes del Instituto Mabna, una organización de piratería informática señalada por el régimen iraní y sancionada el lunes por el Tesoro dentro de la Operación Economic Outcast, su nueva ofensiva contra Teherán. Esas 30 direcciones recibieron en conjunto los 16,8 millones de dólares desde 2018.

Fayaz fue uno de los cinco integrantes del Instituto Mabna sancionados el lunes y figura, junto a otros 12 acusados, en la causa que el Departamento de Justicia amplió el 18 de agosto contra el grupo. El Tesoro lo vinculó, junto a otros tres sancionados —Saber Shahbazi Balujeh, Mohammad Reza Kadkhoda’i y Mojtaba Ghal’eh-Kuhi—, con una operación de piratería informática dirigida por el Ministerio de Inteligencia y Seguridad del régimen. El quinto, Behzad Mesri, había sido acusado por separado en 2017 de robar episodios inéditos de “Game of Thrones” a HBO.

Según los fiscales, el Instituto Mabna operó desde 2013 como una red de piratas a sueldo para el Cuerpo de la Guardia Revolucionaria Islámica y universidades iraníes, y violó los sistemas de 144 universidades de EEUU, 178 extranjeras y 42 empresas privadas estadounidenses, de donde robó más de 31 terabytes de datos académicos y propiedad intelectual.

Fuera de esta causa judicial, el Instituto Mabna es conocido en la industria de la ciberseguridad bajo los alias Silent Librarian, Cobalt Dickens y TA407. Desde 2013, el grupo despliega campañas de phishing estacionales —concentradas entre septiembre y octubre, al inicio del año académico— que imitan las páginas de acceso a bibliotecas universitarias para robar credenciales de estudiantes y profesores. Según la firma de ciberseguridad Secureworks, la operación llegó a apuntar a 380 universidades en más de 30 países y siguió activa, con métodos casi sin cambios, incluso después de que el Departamento de Justicia acusara a nueve de sus integrantes en 2018.

El Instituto Mabna no es el único brazo de piratería informática vinculado al régimen. El Comando Cibernético de la Guardia Revolucionaria fue señalado por Washington en 2024 por una serie de ataques a sistemas de agua en Estados Unidos: los hackers entraron a los equipos que controlan de forma remota las plantas de tratamiento —fabricados por una empresa israelí y conectados a internet sin que sus operadores hubieran cambiado la contraseña de fábrica— y los usaron para dejar mensajes de propaganda contra Israel. El mismo grupo fue vinculado también a una intrusión de 2021 contra el hospital pediátrico Boston Children’s. Otro grupo asociado al régimen, identificado por el FBI como Pioneer Kitten, vendió accesos robados a bandas de ransomware que extorsionaron a escuelas, hospitales y gobiernos municipales de Estados Unidos entre 2017 y 2024.

La sanción a Fayaz y sus compañeros es apenas una pieza de una ofensiva mayor. El mismo lunes, el Tesoro designó a cerca de 60 entidades, personas y buques vinculados al régimen y emitió cinco determinaciones sectoriales bajo la Orden Ejecutiva 13902, que por primera vez declara sancionable el sector de activos digitales de Irán, junto con tecnología, oro, aviación y transporte marítimo.

Con esta medida cambia la forma en que Washington sanciona las criptomonedas iraníes. Hasta ahora, el Tesoro debía identificar y sancionar cada plataforma una por una. Ahora alcanza con que una institución, en cualquier parte del mundo, procese una transacción significativa con un exchange o una empresa cripto iraní para arriesgar su propio acceso al sistema financiero de Estados Unidos, aunque esa contraparte no haya sido sancionada. Es la lógica de las sanciones secundarias: alcanzan a los terceros que sigan haciendo negocios con Teherán, no solo al régimen sancionado.

Para Ari Redbord, director global de política en TRM Labs, la ofensiva apunta más allá de Teherán. “Irán no es el único objetivo aquí. De hecho, el foco está puesto en las sanciones secundarias. Ese es el golpe de máxima presión del Tesoro. El Departamento del Tesoro está poniendo en alerta a todos los países y plataformas que todavía hacen negocios con Irán, y el sector de los activos digitales es uno de los focos de la Operación Economic Outcast. Por ejemplo, TRM rastreó más de 3.840 millones de dólares que fluyeron entre el exchange CoinEx y más de 60 entidades iraníes sancionadas. Ese es el tipo de exposición que las sanciones secundarias fueron creadas para castigar”, dijo. “La Operación Economic Outcast busca aislar verdaderamente al régimen iraní, tanto dentro como fuera del sistema cripto.”

El caso de CoinEx que menciona Redbord no forma parte de las sanciones del lunes: proviene de un informe que TRM Labs publicó en junio, cuando identificó a ese exchange con sede en Seychelles como principal canal externo de plataformas iraníes —entre ellas Nobitex, la mayor casa de cambio cripto del país— hacia el mercado global. CoinEx negó cualquier vínculo comercial con el régimen iraní.

El otro caso que documenta TRM es el de Mesri. Sus 15 direcciones recibieron 1,2 millones de dólares entre julio de 2019 y agosto de este año. Antes de retirar ese dinero, lo fue moviendo varias veces entre sus propias billeteras —un método habitual para dificultar el rastreo del origen de los fondos— hasta depositarlo finalmente en la cuenta de un exchange, la plataforma donde ese dinero podía convertirse en efectivo.

Entre Fayaz y Mesri concentran prácticamente todo el dinero identificado. Mesri había sido señalado por primera vez en 2018, cuando se abrió la causa original contra el Instituto Mabna, y sus billeteras siguieron recibiendo fondos en los años posteriores. Los nueve acusados de esa causa original permanecen en Irán, fuera del alcance de la Justicia estadounidense.