Un CEO de 30 años muere de repente durante su luna de miel en la India. Era el único que tenía las llaves — y 190 millones de dólares de dinero de los clientes quedan bloqueados para siempre. Un accidente trágico, parecía. Hasta que alguien abrió la caja fuerte y descubrió que llevaba mucho tiempo vacía. Esta es la historia de QuadrigaCX: el rey muerto, las llaves desaparecidas y el esquema Ponzi que había debajo.
Una muerte en Jaipur
Diciembre de 2018. En un hospital de Jaipur, India, muere Gerald Cotten, de 30 años, por complicaciones de la enfermedad de Crohn. Está de luna de miel con su recién estrenada esposa. Al otro lado del mundo, en Canadá, todavía nadie lo sabe — y nadie imagina que con este hombre ha muerto algo mucho más grande.
Porque Cotten era el jefe de QuadrigaCX, el mayor exchange de criptomonedas de Canadá. Y se llevó algo a la tumba: las contraseñas.
El Crypto King
QuadrigaCX era la historia de éxito del mundo cripto canadiense. En su mejor momento gestionaba los saldos de unos 76.000 clientes. Y Cotten era la cara visible: un informático amable, con cara de niño, que recorría el mundo con su portátil, evangelista del bitcoin, siempre localizable, siempre tranquilizador. Los clientes le confiaban sus ahorros como quien le da la llave de casa a un vecino simpático.
Esa confianza era, visto en retrospectiva, exactamente el problema. Porque Cotten no solo tenía la llave de la casa. Tenía la única llave de la caja fuerte — y nadie comprobó jamás qué había dentro.
El hombre con todas las llaves
En QuadrigaCX, Cotten lo era todo a la vez: único administrador, único custodio de las llaves, único punto de contacto. Las criptomonedas de los clientes estaban, según contaba la empresa, a salvo en cold wallets — sin conexión, inexpugnables. Y solo Cotten conocía las contraseñas.
Tras su muerte, el exchange quedó en jaque mate. Unos 190 millones de dólares en saldos de clientes estaban encerrados en carteras que nadie podía abrir. La viuda juró en una declaración jurada que no tenía las contraseñas. El portátil estaba cifrado. Parecía la peor mala suerte de la historia de las criptomonedas: muere un hombre y el dinero de 76.000 personas queda fuera de alcance para siempre.
Solo que no era verdad.
La caja fuerte vacía
Cuando los investigadores de Ernst & Young — designados para recoger los escombros — llegaron por fin a las célebres cold wallets, encontraron algo que nadie esperaba. Las cajas fuertes estaban prácticamente vacías. Y lo estaban desde hacía meses.
El dinero no estaba bloqueado detrás de una contraseña perdida. Sencillamente ya no estaba. Los investigadores rastrearon más de 67.000 transferencias no autorizadas con las que se habían desviado saldos de clientes a cuentas que el propio Cotten controlaba. El “CEO muerto con las llaves” no era la víctima de una tragedia. Era el autor de un delito.
El fraude que había debajo
En junio de 2020, la Ontario Securities Commission destapó todo el montaje tras diez meses de investigación. El veredicto fue demoledor y la frase de apertura se hizo legendaria al instante:
What happened at Quadriga was an old-fashioned fraud wrapped in modern technology.Ontario Securities Commission, informe de junio de 2020 probado
Los hechos, tal y como los reconstruyó el regulador: Cotten abría cuentas con nombres falsos, se asignaba en ellas saldos ficticios — dinero que no existía — y operaba con eso contra sus propios clientes reales. Cuando esa posición falsa perdía, se abría un agujero. Y ese agujero lo tapaba con el dinero de otros clientes: un Ponzi de manual. De los aproximadamente 169 millones de dólares en pérdidas de clientes, unos 115 millones fueron consecuencia de la operativa fraudulenta de Cotten — perdidos en otros exchanges, con dinero ajeno.
Y no estaba solo. QuadrigaCX fue cofundado por un tal “Michael Patryn” — un nombre que, según varias investigaciones, era un alias de Omar Dhanani, un hombre con una condena por fraude de identidad a sus espaldas. El exchange donde los canadienses guardaban sus ahorros estaba construido desde los cimientos por gente que se tomaba la verdad a la ligera.
La vida de un rey
¿Adónde fue el dinero? A una vida que ningún treintañero puede pagar honradamente. Cotten y su mujer compraron casas por toda Nueva Escocia y más allá, una avioneta, un velero, coches de lujo, y viajaban por el mundo en clase business. Todo pagado con los depósitos de clientes que creían que sus bitcoins estaban a buen recaudo en una caja fuerte fría.
La tumba que nadie abrió
Y entonces empezó la teoría de la conspiración que hizo inmortal la historia. Porque si la caja fuerte estaba vacía y la vida era una mentira, ¿hasta qué punto podíamos estar seguros de que Cotten estaba realmente muerto? Las circunstancias eran, cuando menos, extrañas: una muerte repentina, en un país lejano, durante la luna de miel, con un certificado de defunción en el que su nombre aparecía mal escrito.
A finales de 2019, los abogados de los clientes perjudicados pidieron formalmente a la policía canadiense que exhumara el cuerpo — para establecer con certeza que el hombre de la tumba era realmente Gerald Cotten. La viuda hizo saber que el aviso le había roto el corazón (“heartbroken”).
El cuerpo nunca fue exhumado. Y por eso la gran pregunta sigue sin respuesta: ¿de verdad está Gerald Cotten en esa tumba de Nueva Escocia — o se bajó en algún sitio con las llaves de una caja fuerte saqueada?
La factura
La viuda, Jennifer Robertson, acabó devolviendo buena parte de los bienes a la masa concursal — casas, vehículos, la avioneta, el velero, unos doce millones de dólares en propiedades. Pero para los 76.000 clientes eso era una gota: al final recuperaron solo una fracción de su dinero. La historia se convirtió en un documental de Netflix (Trust No One: The Hunt for the Crypto King) y en un montón de libros. ¿Y las monedas? Desaparecidas en su mayoría.
Lo que Quadriga demostró
Quadriga es la prueba más escalofriante de una verdad muy simple: en un exchange sin supervisión no hay nada — ni ley, ni control, ni copia de seguridad — que te proteja de un solo hombre con todas las llaves. No había separación del dinero de los clientes. No había un segundo administrador. No había ningún auditor que hubiera abierto nunca la caja fuerte. Todo el edificio se sostenía sobre la confianza en una sonrisa de niño bueno.
Y eso es exactamente lo que una normativa como la MiCAR europea debe hacer imposible. Un exchange con licencia tiene que separar el dinero de los clientes, tiene que custodiarlo de forma demostrable, tiene que contar con un gobierno corporativo y controles sólidos — ningún “Gerald Cotten” debería volver a ser jamás el único que sabe si la caja fuerte está llena o vacía.
El rey ha muerto, decía el mensaje. Pero la verdadera pregunta que dejó Quadriga es una que deberías hacerte con cualquier exchange: ¿ha mirado alguien alguna vez dentro de esa caja fuerte de forma independiente?
Fuentes
Informe de la OSC (“old-fashioned fraud wrapped in modern technology”, Ponzi, cuentas falsas, ~169 M de dólares en pérdidas): CBC, OSC (informe completo, PDF). Muerte en la India y ~190 M bloqueados: Fox. Solicitud de exhumación y reacción de la viuda: CBC, Global News. Cold wallets prácticamente vacías / 67.000 transferencias (investigación de Ernst & Young): CryptoPotato.