Veinte euros al día

Este hilo arranca donde acabó el capítulo del destripe: el minero llevaba dentro, tapada con un cifrado de juguete, la cartera de Monero a la que manda lo que gana. Tenerla es bonito y no dice nada — noventa y cinco caracteres no le cuentan a nadie si esto es un chaval probando o un negocio. La pregunta que importa es cuánto lleva ganado, y ésa el binario no la contesta.

Monero, además, está construido precisamente para que no se pueda contestar: no hay saldo que mirar ni movimientos que seguir. Así que la respuesta no iba a salir de la cadena. Estaba en otra parte, y llegar hasta ella no me obligó a tocar una sola máquina del atacante.

01Una cartera no tiene saldo, pero el pool sí tiene libros

El minero prefiere minar contra un intermediario propio, pero lleva de reserva siete servidores públicos de supportxmr por si el suyo falla. Y un pool público hace algo que la moneda no hace: lleva la cuenta de lo que le paga a cada cartera y la publica. No hay que pedir permiso, ni registrarse, ni tocar nada de nadie: es una página abierta, como el tablón de anuncios de un portal.

Así que pregunté. Tres consultas de lectura, y esto es lo que había:

pagado             21,27 XMR          pendiente   0,18 XMR
hashrate           917,7 kH/s
acumulado          26,99 billones de hashes
participaciones    85.131.478 válidas · 676 rechazadas
última actividad   hace segundos

Cuatro cosas se leen ahí, y ninguna era la que yo esperaba. visto

La campaña está viva. No «estuvo»: el pool registró un hash suyo en el mismo momento en que pregunté. Yo venía contando una infección de hace unos días como si fuera pasado, y aquello sigue minando mientras escribo. visto

Mi cebo era uno de muchos. Ese ritmo no sale de una máquina: hacen falta entre cuatrocientos y novecientos núcleos trabajando a la vez, según lo que rinda cada uno. Decenas o centenares de equipos infectados al mismo tiempo. El mío estuvo dentro unas horas. deducido

No es de esta semana. El contador acumulado, a ese ritmo, da para cerca de un año de minado continuo — que es, redondeando, todo lo que esa cartera lleva existiendo. deducido

Y no es un aficionado. De ochenta y cinco millones de participaciones enviadas, solo 676 salieron rechazadas: un 0,0008 % de error. Eso es una configuración correcta y estable sostenida durante meses, no alguien probando cosas. visto

De esos veinticinco últimos, diecisiete caen en la misma franja, alrededor de las 21:00 UTC. Cobran con horario de oficina. visto

02Y pregunté también por la vieja

Las muestras de julio no llevaban esta cartera: llevaban otra, y en claro. Ya que estaba en el tablón, pregunté por ella. Lo que salió reordena la historia que yo traía, y es bastante más grande:

                   la vieja              la nueva
cobros             1.183                 308
primer cobro       14 de enero de 2021   20 de diciembre de 2025
último cobro       3 de agosto de 2026   14 de septiembre de 2026
¿minando ahora?    no                    sí
total cobrado      144,77 XMR            21,27 XMR

La primera: la cartera vieja lleva cobrando desde enero de 2021 — cinco años y medio, mil ciento ochenta y tres cobros. visto Y esa fecha no es cualquier fecha: es cuando Bitdefender publicó el primer informe sobre esta familia. leído La misma caja, abierta desde que se supo de ellos y sin cambiar en todo ese tiempo. deducido

La segunda: la nueva no la estrenaron en septiembre. Lleva cobrando desde diciembre, siete meses antes de la muestra de julio que todavía llevaba configurada la vieja. Las dos estuvieron cobrando a la vez más de medio año. Y la vieja no se fue apagando poco a poco: se paró en seco el 3 de agosto y no ha vuelto a mover un hash. visto

La tercera: la vieja movió casi siete veces más dinero. La que yo venía presentando como «la operación» resulta ser, en volumen, la pequeña de las dos. visto

Así que lo que yo había llamado un relevo no lo fue. Cuando el binario cambió de cartera, la nueva llevaba más de medio año cobrando y la vieja llevaba un mes muerta: no hubo traspaso, hubo una caja que se apaga y otra que ya estaba encendida. deducido

03Cuánto es esto en dinero

Aquí está la única cifra que un lector puede juzgar de verdad. Los hashes y las participaciones no le dicen nada a nadie; los euros, sí. Entre las dos carteras suman 166 XMR, y convertirlo no es multiplicar por el precio de hoy: ahí dentro hay monedas minadas en 2021, cuando el Monero valía la cuarta parte. Hay que valorar cada cobro al precio que tenía la moneda el día en que se cobró.

166,04 XMR entre las dos carteras

a precio de hoy, sin más       74.800 €   # cifra mala: valora a 450 € monedas de 2021

valorando cada cobro al precio de su día:
  último año, medido           14.063 €
  lo anterior a sep-2025       122,69 XMR  # estimado: sin serie de precios
  total, cinco años y medio    ~30.000 - 35.000 €
  ritmo de hoy                 ~20 € al día

Unos treinta mil euros en cinco años y medio, y unos veinte al día ahora mismo. deducido Y por año apenas se mueve: 32,6 XMR en 2021, 20,5 en 2022, 23,5 en 2023, 28,7 en 2024, 22,3 en 2025 y 38,4 en lo que va de 2026. visto

Eso cambia la conclusión, y no hacia donde yo iba. Venía a decir «no es un aficionado», que es cierto y se queda corto. Lo que hay es un negocio pequeño, viejo y estable, y eso explica de golpe todo lo que llevo dos capítulos describiendo sin saber por qué: por qué no queman la infraestructura, por qué cobran con horario de oficina, por qué vuelven cuatro veces a la misma máquina en lugar de inundar internet. No es gente con prisa. Es gente con un sueldo. deducido

04Quién paga la luz

Falta la cuenta que cambia de quién es el problema, porque lo que ellos ganan no es lo que esto cuesta. Esos cuatrocientos a novecientos núcleos consumen electricidad, y la paga el dueño de cada máquina sin saberlo. Con supuestos prudentes —de diez a veinte vatios por núcleo a pleno rendimiento, y la luz entre quince y veinticinco céntimos el kilovatio-hora—:

núcleos   W/núcleo   kWh/día    luz que pagan las víctimas
  400        10         96          14 - 24 €/día
  600        15        216          32 - 54 €/día
  900        20        432         65 - 108 €/día

En el caso de en medio, las víctimas pagan de luz cerca del doble de lo que el atacante ingresa: unos cuarenta y tres euros al día contra los veinte que se lleva él. Al año, alrededor de quince mil ochocientos euros de electricidad ajena para producir ocho mil cuatrocientos de beneficio propio. deducido

Ahí está lo que de verdad define a esto. No es un robo de dinero: es un traslado de coste. El negocio solo sale a cuenta porque la parte cara la pone otro, en facturas de veinte o treinta euros repartidas entre cientos de máquinas donde nadie las va a notar.

05Lo que no puedo demostrar

Cuatro reservas, y ninguna es menor.

Es lo cobrado, no lo ganado. Son los pagos que el pool ha hecho a esas carteras. Para que eso sea dinero de verdad tendrían que vender, y qué han hecho con ello no se ve desde ningún sitio.

El dinero es de la cartera, no del bicho. Ésta es la que más pesa. Una cartera puede recibir de varias campañas a la vez, así que lo que he medido es el bolsillo, no la operación concreta que entró en mi máquina. Que el trabajador se llame como el proceso que esconden ata mucho, pero no demuestra exclusividad.

Y es el suelo, no el techo. El minero prefiere su intermediario propio y deja el pool público de reserva, así que todo lo anterior es lo que ha caído por el paracaídas. Lo que cobran por su propio proxy no se ve desde fuera y no hay forma pasiva de averiguarlo. La cifra que puedo dar es el mínimo.

La mitad vieja de la conversión va estimada. Del último año tengo el precio de cada día; de lo anterior a septiembre pasado, no, y he usado una media razonable para ese tramo. Por eso doy una horquilla y no un número redondo.

06El nombre en la nómina

Y queda el remate, que no es una cifra. El mismo tablón deja preguntar con qué nombre se identifica el minero que cobra en esa cartera — lo que en un pool se llama el trabajador, una etiqueta que pone el propio operador para saber qué máquina le rinde. La respuesta es de una palabra:

$ curl -sL ".../identifiers"
["16"]

16. El mismo nombre que el minero se pone al arrancar para no llamar la atención, y el mismo que el backdoor del primer capítulo borra de la pantalla para que el administrador no lo vea. visto

Lo que usan para esconderse de la víctima es lo que usan para identificarse ante quien les paga. Y tiene su lógica: delante del pool no hay nada que ocultar, es su propia contabilidad. Pero deja una simetría incómoda — el dato que un administrador no puede ver en su propia máquina está escrito, a la vista de cualquiera, en una página pública que no hay ni que buscar.

07Indicadores (IOCs)

La entrada quedó fichada en el capítulo 23 y las tripas en el 24. Lo que sigue sale de tirar del hilo, y tiene una virtud que lo demás no: no caduca a la siguiente recompilación.

La cartera es lo más duradero que tiene este caso. Los hashes cambian a cada compilación, las direcciones mueren y el servidor de reparto acabará vacío; una cartera que lleva cobrando desde 2021 no se puede rotar sin renunciar a lo cobrado, y está escrita en un sitio que no se puede borrar.