Operativo en 11 países cierra mixer AudiA6 y foro Dark2Web
Eurojust alega 336 millones de euros en flujos ilícitos y dice que los investigadores encontraron más de 6,000 registros KYC vinculados a mulas.
Una operación coordinada que abarcó 11 países desmanteló el AudiA6 "mixer-as-a-service" y el foro del mercado asociado Dark2Web, apuntando a la infraestructura utilizada para lavar los fondos vinculados al ransomware. Las autoridades alegan que AudiA6 procesó más de 336 millones de euros en fondos ilícitos desde 2022 hasta 2025 y se incautaron de dominios, servidores, vehículos y aproximadamente $900,000 en criptomonedas.
Puntos Clave
- Una operación conjunta de 11 países coordinada a través de Eurojust y Europol cerró AudiA6 y el foro del mercado relacionado Dark2Web.
- Los investigadores alegan que AudiA6 procesó más de 336 millones de euros (alrededor de $390 millones) en fondos ilícitos entre 2022 y 2025.
- Dos presuntos administradores fueron arrestados en Georgia, junto con la incautación de 25 dominios, más de 30 servidores y 80 vehículos, además de un congelamiento de aproximadamente $900,000 en criptomonedas.
- Se identificaron más de 6,000 registros KYC vinculados a "cuentas de mulas de dinero", relacionadas con identidades robadas o compradas.
11 Países Actúan contra AudiA6 y Dark2Web
Una operación internacional de aplicación de la ley que involucró a Estados Unidos, Australia, Francia, Polonia, Georgia, Islandia, Canadá, Alemania, Japón, Suiza y el Reino Unido cerró AudiA6 y un foro conectado llamado Dark2Web. La coordinación se realizó a través de Eurojust y Europol, apuntando a un caso transfronterizo construido alrededor de infraestructura, no de un intercambio o sistema de pago de una sola jurisdicción.
Las autoridades arrestaron a dos presuntos administradores en Georgia descritos como un nacional ruso y un nacional ucraniano. Los investigadores también incautaron 25 dominios y más de 30 servidores, tomaron 80 vehículos y congelaron aproximadamente $900,000 encriptomonedas. Tanto las versiones de clearnet como las de dark web de AudiA6 y Dark2Web fueron reemplazadas por banners de confiscación.
El alcance es importante para la estructura del mercado porque apunta a la plomería compartida. Derribar un 'mixer-as-a-service' y el foro utilizado para publicitar servicios ilícitos es un intento de degradar la pila de cash-out que múltiples grupos criminales pueden reutilizar, en lugar de perseguir a una sola banda de ransomware a la vez.
Lo que vendió AudiA6: 'Limpieza' de una hora por un corte del 3% al 10%
Eurojust describió a AudiA6 como un 'mixer-as-a-service' que ofrecía 'limpiar' cripto en aproximadamente una hora por una comisión del 3% al 10%. En la práctica, ese producto se trata de velocidad y fiabilidad.
Los operadores de ransomware y los corredores necesitan un volumen que sea lo suficientemente rápido para reducir el riesgo de confiscación y lo suficientemente flexible para enrutar hacia el siguiente paso, ya sea otro servicio, un intermediario OTC o cuentas vinculadas a un intercambio.
Eurojust también vinculó al mismo sindicato con Dark2Web, un foro de mercado utilizado para publicitar servicios ilícitos y conectar a cibercriminales en todo el mundo. Combinar un servicio de lavado con un foro de distribución es un multiplicador de fuerza. Acorta el camino de 'necesito un cash-out' a 'aquí está el vendedor', que es exactamente lo que la aplicación de la ley está tratando de romper.
La Escala en la Cadena: 10,333 BTC Ruteados a Través de las Carteras de AudiA6
Las autoridades alegan que AudiA6 procesó más de 336 millones de euros (alrededor de 390 millones de dólares) en fondos ilícitos entre 2022 y 2025. Por separado, Chainalysis estimó que las carteras de AudiA6 recibieron aproximadamente 10,333BTCdesde 2021, valorados en alrededor de 389 millones de dólares en el momento de las transacciones.
Ese volumen en tránsito enmarca a AudiA6 como un lugar de lavado significativo, incluso si la congelación inmediata de cripto divulgada hasta ahora, aproximadamente 900,000 dólares, es pequeña en relación con el volumen total alegado. Para los comerciantes y los equipos de cumplimiento, la discrepancia es familiar.
Las desmantelaciones de infraestructura a menudo comienzan con la interrupción del acceso y la captura de evidencia, mientras que los más grandesactivola recuperación puede retrasarse o nunca materializarse por completo.
Eurojust dijo que el lavado de dinero se basaba en miles de cuentas fraudulentas utilizando identidades robadas o compradas, con más de 6,000 registros KYC vinculados a “cuentas de mulas de dinero”. Muchas estaban conectadas a intermediarios de habla rusa reclutados para mover los ingresos a través de intercambios de criptomonedas.
Ese detalle es el puente entre la ofuscación en cadena y la liquidez fuera de la cadena, y es donde el riesgo de intercambio tiende a surgir.
Señales que los traders deben seguir después de un desmantelamiento de un mezclador
La primera señal es si hay avisos de cumplimiento posteriores o designaciones de sanciones vinculadas a la infraestructura de AudiA6 y Dark2Web, incluidos clústeres de billeteras adicionales, dominios o cambios de marca de servicios. Las incautaciones iniciales sugieren que los investigadores tuvieron suficiente acceso para mapear dependencias, lo que puede expandir el radio de explosión más allá de las dos marcas incautadas.
En segundo lugar, esté atento a los avisos de cumplimiento de intercambio que hagan referencia a patrones de KYC de mulas o indicadores específicos vinculados a los más de 6,000 registros identificados. Si los principales lugares operacionalizan esos indicadores, la fricción se manifiesta como un menor rendimiento para flujos sospechosos y mayor presión de falsos positivos para contrapartes en la frontera.
En tercer lugar, el monitoreo en cadena debe centrarse en si los depósitos aumentan en otros servicios de mezcla o clústeres recién creados que imitan la promesa de “limpieza rápida” de AudiA6. La interrupción tiende a redirigir el volumen antes de reducirlo.
Finalmente, las actualizaciones de Eurojust y Europol sobre cargos, sospechosos nombrados o totales de congelación de activos ampliados aclararán si esto es una interrupción aislada o el comienzo de una campaña más amplia contra las vías de lavado.
Lo que este patrón de cumplimiento significa para las rutas de liquidez y el riesgo de cumplimiento
Trato esto como un ataque a la infraestructura, no como una victoria llamativa contra una marca de ransomware. La combinación de un cierre de mezclador, un desmantelamiento de foro y más de 6,000 registros KYC vinculados a mulas apunta a que la aplicación se inclina hacia vías de salida de efectivo compartidas de las que dependen múltiples grupos.
El umbral que importa es si la eliminación produce efectos duraderos de segundo orden: un endurecimiento de las reglas de intercambio en torno a los patrones de mulas y un enrutamiento visible en la cadena hacia un pequeño conjunto de servicios de reemplazo.
Si la interrupción del acceso y las respuestas de cumplimiento persisten, la configuración comienza a parecer estructural en lugar de impulsada por narrativas, y es entonces cuando las rutas de liquidez yel riesgo de contraparterealmente se revalúan.
