En 2016 desaparecieron casi 120.000 bitcoin del exchange Bitfinex en un solo asalto. Durante seis años el ladrón pareció ilocalizable — hasta que el FBI abrió un archivo en la nube y llevó a cabo la mayor incautación de dinero de la historia de Estados Unidos. El autor resultó ser un emprendedor tecnológico, y su mujer una rapera excéntrica que se hacía llamar “el Cocodrilo de Wall Street”. Esta es la historia del atraco a Bitfinex y de Razzlekhan: cómo la blockchain nunca olvidó.
El asalto
Agosto de 2016. Bitfinex, uno de los mayores exchanges de bitcoin del mundo, con sede en Hong Kong, es reventado desde dentro. Un atacante aprovecha una debilidad en la seguridad y en poco tiempo desvía unos 119.754 bitcoin a carteras que él controla. Valor en ese momento: alrededor de 72 millones de dólares.
La noticia cae como una bomba. La cotización del bitcoin se desploma ese mismo día alrededor de un 20%. Es uno de los mayores robos a un exchange desde Mt. Gox, y el mensaje vuelve a ser el mismo: tus monedas en un exchange están tan seguras como el eslabón más débil de su código. Pero lo que hace única esta historia no es el asalto. Es lo que no pasó durante seis años — y lo que pasó después, de golpe.
Quién pagó la factura
El primero en encajar el golpe no fue el ladrón sino el cliente. Bitfinex decidió repartir la pérdida entre todos los usuarios: todo el mundo — incluido quien no tenía nada que ver con las carteras hackeadas — entregó alrededor del 36% de su saldo. A cambio, los clientes recibieron los llamados tokens BFX, que la empresa recompró más tarde o convirtió en acciones.
Al final, esos clientes acabaron recuperándose — pero fíjate en el principio: en un exchange sin licencia, sin separación obligatoria del dinero de los clientes ni cobertura, un hackeo puede significar que tú pagues parte del robo de otro. No eres un ahorrador protegido; eres corresponsable del riesgo.
Seis años de silencio
Tras el asalto ocurrió algo extraño: casi nada. El bitcoin robado se quedó en gran parte quieto en las carteras del ladrón. Los analistas on-chain vigilaron esas direcciones durante años como si fueran una bomba de relojería — cualquiera podía ver que el dinero estaba allí, porque la blockchain es pública, pero nadie sabía quién tenía las claves.
Y mientras el dinero seguía ahí, no hacía más que revalorizarse. El botín que en 2016 valía unos 72 millones de dólares creció, con la subida del bitcoin, hasta miles de millones. El ladrón estaba sentado sobre una fortuna que no se atrevía a tocar. Porque cada vez que moviera una moneda, dejaría un rastro que ya no desaparecería nunca.
La pareja más improbable
El ladrón resultó ser Ilya Lichtenstein, apodado “Dutch”: un emprendedor tecnológico estadounidense nacido en Rusia, el tipo de hombre discreto al que ignorarías en una fiesta de start-ups. Pero la cara que el mundo recordaría fue la de su mujer.
Heather Morgan era de día empresaria y — esto no es una broma — una experta activa en LinkedIn y Forbes que escribía sobre cómo debían protegerse las empresas frente a los ciberdelincuentes y el fraude. De noche era “Razzlekhan”, una rapera autoproclamada que se llamaba a sí misma el “Cocodrilo de Wall Street” y grababa videoclips delirantes en plena calle de Nueva York, incluso plantada delante de la Bolsa de Nueva York.
Se hacía llamar el Cocodrilo de Wall Street — y mientras tanto escribía para Forbes un artículo sobre cómo combatir el fraude y el cibercrimen.La persona pública de Heather ‘Razzlekhan’ Morgan probado
La ironía era total: una mujer que se vendía como asesora en cibercrimen ayudaba en secreto al blanqueo de capitales procedentes de uno de los mayores robos digitales de la historia. Cuando estalló el caso, sus lamentables vídeos de rap se hicieron virales en un día — pero la historia de verdad estaba en la blockchain.
La lavadora
A partir de 2017 aproximadamente, la pareja empezó a mover el botín, y lo hizo con un arsenal de trucos que la acusación describiría después con todo detalle. Trocearon el flujo en miles de transacciones pequeñas (chain-hopping), pasaron monedas por mercados de la darknet como AlphaBay y Hydra, abrieron cuentas con identidades falsas, cambiaron bitcoin por otras monedas y de vuelta, y convirtieron una parte en oro físico.
Ese oro dio al caso un giro casi de cuento: una parte se convirtió en monedas de oro que Morgan enterró literalmente. Los investigadores las desenterrarían más tarde en un punto de California. Hasta había tarjetas regalo de Walmart. Era blanqueo convertido en juego — y precisamente esa diversión sería su perdición, porque cada movimiento quedaba grabado de forma indeleble en el libro de cuentas.
El archivo en la nube
El punto de inflexión no llegó con una redada, sino con una pantalla de inicio de sesión. A principios de 2022, los investigadores accedieron, con una orden judicial, a una cuenta de almacenamiento en la nube de Lichtenstein. Allí encontraron lo inimaginable: un archivo con la lista de más de 2.000 direcciones de cartera donde estaba el bitcoin robado — con sus claves privadas incluidas.
El ladrón guardaba las llaves de su propia caja fuerte en un archivo en la nube. Un solo inicio de sesión, y se acabó el juego.
Con esas claves, las autoridades pudieron hacer lo que el propio ladrón no se había atrevido a hacer: mover el dinero. Recuperaron de un solo golpe unos 94.000 bitcoin. Seis años de intocabilidad terminaron con un archivo de texto.
La mayor incautación de la historia
El 8 de febrero de 2022, Ilya Lichtenstein y Heather Morgan fueron detenidos en Nueva York. El Departamento de Justicia de Estados Unidos anunció que había incautado bitcoin por valor de unos 3.600 millones de dólares — en ese momento, la mayor incautación financiera de la historia del departamento. Después se le sumarían cientos de millones más.
El “Cocodrilo de Wall Street” y su marido, que creían haber cometido el crimen perfecto, acabaron ellos mismos en una celda — cazados justo por la tecnología a la que creían haber ganado.
La sentencia
En agosto de 2023, ambos se declararon culpables de conspiración para el blanqueo de capitales, y Lichtenstein admitió que él era el hacker original de Bitfinex. En noviembre de 2024 llegaron las sentencias: Ilya Lichtenstein recibió cinco años de cárcel, Heather Morgan dieciocho meses. Gracias a la subida del bitcoin, para entonces el Estado había recuperado en torno a diez mil millones de dólares de valor robado — con diferencia, la mayor recuperación jamás lograda.
La historia acabó, inevitablemente, convertida en documental de Netflix. Pero su significado duradero no está en los vídeos de rap ni en el oro enterrado. Está en los seis años en que el dinero pareció intocable, y en el único inicio de sesión que lo desenredó todo.
Lo que demostró el atraco
El atraco a Bitfinex desmonta el mayor mito sobre las criptomonedas: que son anónimas. Es justo al contrario. La blockchain es una memoria pública y permanente — cada moneda que la pareja movió dejó un rastro que los esperó pacientemente durante seis años. No los pillaron a pesar de la tecnología, sino gracias a la tecnología. Para quien crea que la cripto robada desaparece sin más: los ladrones estaban sentados sobre miles de millones que apenas podían gastar.
Y hay una segunda lección, para quien elige dónde guarda sus monedas. Cuando hackearon Bitfinex, fueron los clientes los que pagaron la factura — un recorte forzoso del 36% sobre el saldo de todos. Compáralo con cómo Bybit encajó en 2025 un hackeo aún mayor sin que ningún cliente perdiera nada. La diferencia está en las reservas, la transparencia y en si el dinero de los clientes está protegido. Precisamente por eso la normativa europea MiCAR exige que un exchange autorizado separe el dinero de los clientes de su propio patrimonio y lo custodie de forma demostrable — para que la factura de un asalto no acabe calladamente en tus manos.
El Cocodrilo de Wall Street creía ser más lista que el sistema. Pero el libro de cuentas no olvida nada, y la caja fuerte de un ladrón es tan vulnerable como un solo archivo mal guardado. La pregunta que deja este atraco es doble: ¿qué tan buena es la seguridad de tu exchange — y quién asume el daño si aun así sale mal?
Fuentes
Declaraciones de culpabilidad y métodos de blanqueo (chain-hopping, AlphaBay/Hydra, identidades falsas, oro): US DOJ. Detención e incautación de 3.600 millones de dólares (la mayor de la historia), feb. 2022: Washington Post. Sentencias (Ilya, 5 años; Heather, 18 meses) y unos 10.000 millones de dólares recuperados: TRM Labs, Bloomberg. La persona de Razzlekhan, las monedas de oro enterradas y el caso: TIME, NBC News.