Cómo funciona
eXch operaba como un swap cripto instantáneo y custodial. El usuario elegía un par, enviaba sus fondos a una dirección de depósito generada para ese swap concreto y recibía el activo de destino unos minutos después. Sin cuenta, sin correo, sin contraseña — solo un identificador de swap y una dirección de reembolso opcional. El sitio vivía en la clearnet en exch.cx y a través de un espejo .onion, y soportaba Bitcoin, Lightning, Ethereum (con sus ERC-20) y Monero. Los precios se formaban con liquidez interna y un pass-through hacia mesas asociadas sin KYC.
Internamente, la plataforma era un operador custodial. eXch tomaba posesión de los fondos entrantes durante la ventana de swap y firmaba ella misma la transacción saliente; entre la confirmación y el pago, el usuario no tenía control on-chain alguno sobre su depósito. La atención al cliente era solo por correo — lenta, según los propios usuarios, pero por lo general receptiva con los swaps atascados.
KYC y privacidad
Por diseño, eXch no recogía nada al registrarse, porque no había registro. El formulario pedía una dirección de entrada, una de salida y una opcional de reembolso. Sin KYC en ningún umbral. La política AML declarada por el operador rechazaba congelar o compartir fondos ante peticiones de terceros, y on-chain la plataforma sostuvo esa postura incluso ante atribuciones públicas de robos sonados.
Esa misma postura terminó matando al proyecto. Como eXch se negaba a filtrar los depósitos entrantes — incluso después de que Bybit señalara públicamente las direcciones vinculadas a su hackeo del 21 de febrero de 2025 — unos 200 millones de dólares de los 1.460 millones robados por el grupo Lazarus pasaron por la plataforma en pocas semanas. Investigadores de Elliptic y TRM Labs trazaron luego un volumen acumulado estimado en 1.900 millones de dólares a lo largo de la vida del servicio, con exposición notable al hackeo de FixedFloat de febrero de 2024, a billeteras sancionadas y a fondos vinculados a CSAM.
Fortalezas y límites
Para un maximalista de la privacidad, eXch marcaba las casillas que la rúbrica premia: sin registro, sin correo, acceso .onion, soporte nativo de XMR junto a BTC y LN, y un operador que no entregaba un grafo de transacciones al abogado de la contraparte. La velocidad en pares comunes se medía en minutos, no en horas. La gestión de reembolsos en swaps atascados era, para los estándares del segmento, inusualmente regular.
Los límites eran estructurales y resultaron fatales. eXch era custodial y de código cerrado, sin prueba de reservas publicada y sin auditoría externa. Sus operadores manejaban el proyecto desde una sociedad pantalla beliceña, Private Project Facilitators LTD, con contacto administrativo en Suiza, hospedaje en Francia y servidores en Alemania — una geometría que dio a la fiscalía de Fráncfort y a la BKA toda la jurisdicción necesaria. El 30 de abril de 2025, un día antes del cierre anunciado por la propia eXch para el 1 de mayo, las autoridades alemanas incautaron los servidores, alrededor de 34 millones de euros / 38 millones de dólares en tokens y 8 TB de datos operativos. TRM Labs comprobó después que los operadores mantenían un acceso API limitado para sus socios tras la incautación, incluido para flujos vinculados a CSAM.
Veredicto
eXch ofrecía la experiencia sin KYC más limpia que vio la comunidad privacy — y un carril de blanqueo para el programa armamentístico de Corea del Norte. El dominio clearnet está apagado, los operadores siguen sueltos y cualquier espejo sucesor es, por definición, el mismo grupo que se mantuvo en línea para clientes CSAM tras la incautación. Nota: D (4,2/10). Confianza: SCAM.
eXch servía bien a la comunidad privacy, y mejor aún al grupo Lazarus. El dominio clearnet está fuera de línea, los operadores están en libertad y los espejos sucesores cargan el mismo riesgo de contraparte custodial sumado a un historial criminal confirmado. Nota: D (4,2/10). Confianza: SCAM.
