Un ciberataque divulgado la semana pasada por la Autoridad de Juegos de Curaçao (CGA) fue llevado a cabo por un hacker autoproclamado "white hat" que había vulnerado previamente los sistemas de la Autoridad de Juegos de Malta (MGA).
La hacker alemana e investigadora de ciberseguridad Lilith Wittmann dice que ella y sus colaboradores pasaron nueve meses dentro de los sistemas de la Autoridad de Juegos de Curaçao. (Imagen: Lilith Wittmann/X)
Lilith Wittmann, de 30 años y con sede en Berlín, declaró en redes sociales el martes (22 de septiembre) que ella y sus colaboradores ganaron acceso a los sistemas internos de la CGA durante nueve meses y "vieron [al regulador] trabajar en vivo".
"Sin que los empleados lo supieran, podría ver quiénes son dueños de casinos en línea ilegales, quiénes los financian, y qué sabía la autoridad sobre sus operaciones", escribió en X.
El hackeo de la CGA por Wittmann ya ha generado preguntas sobre las estructuras de propiedad de 1xBet y Stake, detalladas el martes en un informe del sitio web de investigación holandés Follow the Money (FTM)—y Wittmann está insinuando revelaciones adicionales.
Estas incluyen una presunta laguna fiscal de €250 millones conectada a Platin Casino, que Wittmann describe como "el casino ilegal más grande de Alemania", junto con afirmaciones de que los documentos filtrados muestran que el proveedor de software SoftSwiss está estrechamente conectado a empresas que operan cientos de casinos ilegales.
El Legado del "Light Touch" de Curaçao
La pequeña isla caribeña de Curaçao ha licenciado casinos en línea desde los albores de la industria, operando un enfoque notoriamente "light touch" de la regulación. El modelo atrajo a numerosos operadores que servían mercados donde no estaban licenciados localmente, mientras que la propiedad a menudo se ocultaba detrás de empresas de Curaçao y oficinas fiduciarias.
Bajo presión de los Países Bajos, Curaçao ostensiblemente ha abolido el antiguo sistema—un inusual modelo de sublicenciamiento que permitía a un pequeño número de empresas privadas extender sus licencias maestras a un gran número de operadores.
Pero los documentos filtrados generan preguntas sobre el rigor de esa transformación, mostrando que los funcionarios de la CGA aprobaron licencias incluso después de que sus propias evaluaciones identificaron preguntas sin resolver sobre la propiedad y otras banderas rojas potenciales, según FTM.
Los archivos incluyen solicitudes de licencia, evaluaciones regulatorias, pasaportes, declaraciones fiscales e información financiera. FTM dijo que la filtración ayudó a identificar alrededor de 800 dueños de casi 650 empresas de juego licenciadas que operan miles de sitios web de juego.
Wittmann obtuvo acceso al portal de la CGA registrándose bajo el nombre de un gerente de oficina fiduciaria ya conocido por el regulador mientras usaba su propia dirección de Gmail.
Ella afirmó representar a "DreamCatcher Private Foundation", una empresa ficticia que creó para la solicitud de licencia intentada. En cuestión de días, se le otorgó acceso al portal del regulador.
Wittmann luego cargó software que le permitió tomar el control del sistema de licencias y acceder a la información almacenada allí, reportó FTM.
Preguntas sobre la Propiedad de Stake
Las filtraciones iniciales se centran en la propiedad de Stake y 1xBet.
Los fundadores de Stake Ed Craven y Bijan Tehrani se encuentran entre las figuras más conocidas en los juegos de criptomonedas. Pero FTM reportó que la empresa de Curaçao de Stake, Medium Rare NV, es oficialmente propiedad del nacional serbio Mladen Vuckovic, quien es públicamente conocido como el CEO de la empresa.
Vuckovic declaró activos que excedían $1 billion en información presentada al regulador en 2024.
Sin embargo, los funcionarios de la CGA mismos cuestionaron si Vuckovic era realmente el único dueño, según FTM.
Identificaron préstamos y pagos por decenas o incluso cientos de millones de dólares de Medium Rare a empresas e individuos conectados a Craven y Tehrani, ninguno de los cuales fue nombrado en la solicitud de licencia.
Preguntas sobre la propiedad de 1xBet
Los documentos revelan una incertidumbre similar en torno a 1xBet.
El gigante del juego en el extranjero se ha asociado públicamente con los fundadores rusos Roman Semiokhin, Dmitry Kazorin y Sergey Karshkov, quien murió en 2023. Pero el nacional ucraniano Ihor Hniedash figura como propietario y CEO de Caecus NV, la empresa de Curazao detrás de 1xBet.
Los evaluadores de CGA sospechaban que 1xBet tenía "múltiples propietarios" y solicitaron información sobre la relación de Hniedash con los rusos asociados con la empresa, según FTM.
Sin embargo, el regulador otorgó una licencia a Caecus en 2024 sin recibir esas respuestas, FTM informó.
La CGA le dijo al medio que no rechazaba inmediatamente a las empresas cuando surgían preguntas o incertidumbres porque la industria de juegos de Curazao estaba en transición hacia un nuevo régimen regulatorio.
Wittmann dijo que publicó los documentos porque creía que había un interés público en revelar quién controla las empresas de juegos de Curazao.
La CGA reconoció el acceso no autorizado el 17 de septiembre, diciendo que había contenido la brecha e identificado su origen. El regulador dijo que una investigación forense seguía en curso y que aún no había establecido el alcance completo del incidente.
Hackeo del regulador de Malta
Wittmann está actualmente envuelta en litigio con la Autoridad de Juegos de Malta, que obtuvo una orden cautelar preliminar en su contra en Alemania después de que ella obtuviera acceso no autorizado a uno de sus sistemas a principios de este año.
La disputa también se refiere a declaraciones de Wittmann sobre presuntos vínculos entre el regulador y el crimen organizado, acusaciones que la MGA ha rechazado como infundadas.
El post Hacker Behind Massive Curaçao Leak Could Expose Who Really Owns Hundreds of Offshore Online Casinos apareció primero en Casino.org.