Tornado Cash: 40 meses de guerra judicial que acabaron con el giro del Tesoro

El día que el código entró en la lista de sanciones

El 8 de agosto de 2022, la Oficina de Control de Activos Extranjeros del Departamento del Tesoro de Estados Unidos hizo algo sin precedentes. Incluyó un conjunto de direcciones de contratos inteligentes de Ethereum en la lista de Nacionales Especialmente Designados. No se trataba de una persona, ni de una empresa, ni de una fundación, ni de una billetera bajo control de un operador identificado, sino de un software desplegado e inmutable llamado Tornado Cash. A partir de aquella mañana, cualquier ciudadano estadounidense que interactuara con esos contratos quedaba, en teoría, expuesto al mismo régimen de sanciones secundarias que se aplica a traficantes de armas y patrocinadores estatales del terrorismo. El argumento del Tesoro era que Tornado Cash había blanqueado, según sus propios cálculos, más de 7.000 millones de dólares desde 2019, incluidos aproximadamente 455 millones robados por el grupo Lazarus de Corea del Norte. La solución adoptada fue tratar el propio código como una entidad sancionable.

Lo que vino después fue un debate de cuarenta meses que se desarrolló simultáneamente en dos tribunales federales estadounidenses, en un tribunal penal neerlandés y en los comentarios de todos los blogs de política cripto con algo de audiencia. El debate giraba en torno a una pregunta que nunca antes había exigido una respuesta clara: ¿puede un gobierno sancionar un software del mismo modo que sanciona a una persona?

Lo que la OFAC hizo en realidad

La designación original incluía decenas de direcciones de contratos y tres dominios asociados. En cuestión de horas, la principal infraestructura de cumplimiento estadounidense reaccionó. Circle congeló ese mismo día unos 75.000 USDC almacenados en direcciones sancionadas. GitHub desactivó los repositorios de los mantenedores de Tornado Cash, incluida la cuenta personal de Roman Semenov. Infura y Alchemy bloquearon el acceso RPC a las direcciones de los contratos. Coinbase, que había financiado en silencio parte de la demanda de Coin Center que posteriormente impugnaría la medida, adoptó una postura más cautelosa, y varios de sus usuarios se convirtieron en demandantes en la acción que acabaría derivando en Van Loon v. Treasury.

El efecto práctico sobre los usuarios ordinarios fue extraño y de amplio alcance. Quienes hubieran depositado fondos en Tornado Cash, incluso años antes de cualquier hackeo atribuido a actores norcoreanos, se despertaron el 9 de agosto con sus billeteras potencialmente expuestas. Unos pocos bromistas enviaron pequeñas cantidades de ETH mezclado a direcciones de celebridades para comprobar si las sanciones podían convertirse en un arma automática mediante transferencias no solicitadas. No era posible, en ningún sentido procesable, pero el efecto disuasorio fue inmediato. La privacidad en Ethereum, para quien había usado el protocolo con fines legítimos, pasó a ser algo de lo que había que salir acompañado de abogado.

El caso Pertsev

Dos días después de la designación SDN, el 10 de agosto de 2022, el Servicio de Información e Investigación Fiscal de los Países Bajos arrestó a Alexey Pertsev en su domicilio, cerca de Ámsterdam. Pertsev era uno de los desarrolladores nombrados del protocolo y había participado en él desde su despliegue en 2019. Pasó la mayor parte de los veinte meses siguientes en prisión preventiva.

El 27 de abril de 2024, el Tribunal de Distrito de Brabante Oriental, con sede en 's-Hertogenbosch, lo condenó por blanqueo de dinero y le impuso una pena de cinco años y cuatro meses de prisión. La teoría del tribunal neerlandés resulta especialmente relevante y merece una lectura atenta, porque no depende en absoluto de la legislación de sanciones estadounidense. El tribunal consideró probado que Pertsev había seguido manteniendo, actualizando y promoviendo el protocolo una vez que era evidente que una parte sustancial del volumen provenía de fondos robados, y que esta actividad de mantenimiento activo equivalía a una operación de blanqueo de dinero a los efectos del Código Penal neerlandés. La sentencia no declaró ilegal escribir el protocolo. Declaró ilegal ejecutarlo una vez que sabías lo que estaba ocurriendo.

La vía estadounidense

El caso en Estados Unidos tomó un rumbo distinto. Seis usuarios de Tornado Cash, organizados y parcialmente financiados por Coin Center y la Blockchain Association, demandaron al Departamento del Tesoro en Texas. Perdieron en el tribunal de distrito. Recurrieron al Quinto Circuito. El 26 de agosto de 2024, un tribunal de tres jueces revocó la decisión.

El fallo, redactado por el juez Don Willett, no abordó la cuestión de la Primera Enmienda que los amicus curiae de EFF, a16z, Coin Center y la Blockchain Association habían venido presionando durante años. Se limitó a resolver sobre un fundamento estatutario más estrecho y, al mismo tiempo, más contundente: la Ley de Poderes Económicos de Emergencia Internacional (IEEPA) no autoriza lo que la OFAC había hecho. La razón fue de índole definitoria. La IEEPA permite al presidente bloquear "propiedad" en la que tenga interés un nacional extranjero. Los contratos inteligentes inmutables de Tornado Cash, concluyó el tribunal, no son propiedad. No pueden ser poseídos, transferidos ni controlados por nadie, incluidos quienes los desplegaron originalmente. Como señaló el tribunal, la OFAC había extendido su alcance más allá del texto de la ley e intentado sancionar software directamente, "en lugar de a las personas y entidades malintencionadas que lo utilizan indebidamente".

Lo que el tribunal decidió explícitamente no abordar resulta tan importante como lo que sí resolvió. No se pronunció sobre si el código constituye expresión protegida por la Primera Enmienda. No se pronunció sobre si el Tesoro podría sancionar un contrato inteligente actualizable, un protocolo controlado por multisig o una DAO con un token de gobernanza operativo. No se pronunció sobre si Roman Storm, que entonces aguardaba juicio en el Distrito Sur de Nueva York por cargos de conspiración, era penalmente responsable por haber escrito el mismo código. La decisión fue una victoria limpia de carácter estrictamente estatutario sobre una cuestión muy concreta, exactamente el tipo de fallo que resiste una revisión en banc y el escrutinio de la Corte Suprema.

La exclusión de la lista y la guía de noviembre de 2025

La OFAC tardó siete meses en reaccionar ante la sentencia. El 21 de marzo de 2025, el Departamento del Tesoro eliminó a Tornado Cash de la lista SDN y se limitó a señalar, sin mayor alharaca, que seguiría monitorizando transacciones que pudieran beneficiar a actores cibernéticos maliciosos. La exclusión no fue una confesión de error. Fue una corrección administrativa.

La verdadera reversión llegó ocho meses después. El 18 de noviembre de 2025, el Departamento del Tesoro emitió una guía interpretativa formal en la que establecía que los contratos inteligentes inmutables, definidos como aquellos cuyo código no puede ser alterado por ninguna parte, no son "propiedad" a los efectos de la IEEPA y, por tanto, no pueden sancionarse como tales. La guía aplica el razonamiento de Van Loon de manera prospectiva a todos los programas de la OFAC, no solo al expediente de Tornado Cash. Deja intacta la autoridad de la agencia sobre contratos actualizables, claves de firma, interfaces de usuario, direcciones de despliegue y cualquier actor humano vinculado a un protocolo.

Para quienes escriben código de software de privacidad, el cambio es significativo. Para los usuarios de cualquier mezclador concreto, la diferencia es mucho menor. La condena de Pertsev sigue firme en los Países Bajos. El enjuiciamiento de Roman Storm, que concluyó con un jurado sin consenso y un juicio nulo el 7 de agosto de 2025, puede ser reabierto, y el Departamento de Justicia ha manifestado su intención de hacerlo. Quien utilice Tornado Cash hoy sigue sujeto a las obligaciones de informe del secreto bancario, a las alertas de actividad sospechosa de cada exchange importante y a la presunción social persistente de que el ETH mezclado es ETH sucio.

Fechas clave

• 8 de agosto de 2022: la OFAC incluye direcciones de contratos de Tornado Cash en la lista SDN
• 10 de agosto de 2022: arresto de Alexey Pertsev en los Países Bajos
• 27 de abril de 2024: el Tribunal de Distrito de Brabante Oriental condena a Pertsev por blanqueo de dinero
• 26 de agosto de 2024: el Quinto Circuito resuelve Van Loon v. Treasury
• 21 de marzo de 2025: la OFAC excluye a Tornado Cash de la lista SDN
• 7 de agosto de 2025: el juicio de Roman Storm termina con juicio nulo en el Distrito Sur de Nueva York
• 18 de noviembre de 2025: el Departamento del Tesoro emite guía formal sobre la no sancionabilidad de los contratos inteligentes inmutables

Lo que esto cambia para el Directorio

Tornado Cash como tal no figura en nuestro directorio, y la guía de noviembre de 2025 no altera esa situación. Listamos servicios que podemos revisar, contactar y someter a un estándar operativo documentado. Un protocolo sin operador ni servicio de atención al cliente no es algo que podamos evaluar, independientemente de su estatus jurídico. Lo que cambia es el marco editorial.

Durante cuatro años, la suposición dominante en el ámbito de las herramientas de privacidad era que cualquier proyecto que desagradara lo suficiente a un regulador podía ser borrado de internet con un simple trazo de pluma de la OFAC, y que esta eliminación era un hecho arquitectónico permanente alrededor del cual había que diseñar. Van Loon y la guía de noviembre convierten esa suposición en algo menos definitivo. Las sanciones al código pueden impugnarse, reducirse y revertirse mediante litigio estatutario ordinario, en un plazo de aproximadamente tres años, sin necesidad de ganar un argumento basado en la Primera Enmienda. Ese es un modelo de amenaza diferente. Se asemeja más a la postura de cumplimiento comercial que los exportadores de software ordinarios han mantenido durante treinta años, y se aleja del enfoque existencial que la comunidad de la privacidad ha venido empleando desde 2022. Escribiremos en consecuencia. El caso Pertsev, por su parte, sigue siendo la advertencia operativa. Mantener un protocolo después de que ha sido capturado de manera relevante por actores sancionados constituye un riesgo penal personal en jurisdicciones que no necesitan ganar el argumento de la propiedad para ganar el del mantenimiento.

Fuentes

• Comunicado de prensa JY0916 del Departamento del Tesoro de EE. UU., sanciones a Tornado Cash (8 de agosto de 2022)
• Van Loon v. Department of the Treasury, Quinto Circuito (26 de agosto de 2024)
• Coin Center, litigio y política de Tornado Cash
• Electronic Frontier Foundation, cobertura sobre código como expresión
• Chainalysis, análisis de las sanciones a Tornado Cash

Registro de ediciones

• 2025-11-25 : Primer borrador tras la publicación de la guía del Tesoro del 18 de noviembre. Extraje el lenguaje del fallo de Willett directamente de la sentencia judicial, en lugar de recurrir a cobertura secundaria, para evitar la deriva habitual de la paráfrasis. Eliminé una sección prevista sobre Samourai Wallet porque merece un artículo propio.
• 2025-12-02 : Añadí el detalle de la congelación de USDC por parte de Circle después de que un lector señalara que habíamos omitido la respuesta de cumplimiento on-chain de agosto de 2022. Reelaboré la sección de Pertsev para dejar claro que la teoría neerlandesa era la del mantenimiento, no la de la autoría, que es la parte que la mayoría de lectores estadounidenses interpreta erróneamente.
• 2025-12-09 : Recorté unos 180 términos de la sección de Van Loon después de que revisión jurídica señalara que estábamos derivando hacia terreno de la Primera Enmienda que el tribunal había evitado explícitamente. Lo sustituí por la cita textual "personas y entidades malintencionadas que lo utilizan indebidamente".
• 2025-12-14 : Añadí la señal de nuevo juicio de Roman Storm tras la presentación de la conferencia de estado del DOJ del 11 de diciembre. Me abstuve de citar a los fiscales porque el expediente sigue abierto.
• 2025-12-18 : Pase final en la sección del Directorio. Afilé el párrafo del modelo de amenaza tras una discrepancia interna sobre si denominar "cumplimiento comercial" o "riesgo de sanciones" a la nueva postura. Mantuve "cumplimiento comercial" porque es más preciso y menos alarmista, que es la posición editorial que queremos sostener de aquí en adelante.