Lo que reveló el hackeo del juego de azar en Curazao
Una intrusión de nueve meses en la Autoridad de Juego de Curazao (CGA) ha expuesto quién es el propietario real de cientos de casinos en línea extraterritoriales. Resulta que la mayoría de esos propietarios son europeos.
Los archivos filtrados vinculan a alrededor de 800 beneficiarios reales con las 646 empresas que tenían una licencia de juego en Curazao en diciembre de 2025. Juntas, esas empresas administran miles de sitios web, incluidas marcas que los reguladores de toda Europa han multado o incluido en la lista negra.
Los documentos también sugieren que el regulador aprobaba licencias de forma rutinaria, mientras que las preguntas básicas sobre la propiedad quedaban sin respuesta. La CGA no ha cuestionado este punto. Varios de los criptocasinos y casas de apuestas deportivas más conocidos de la industria se encuentran entre las marcas cuyos propietarios registrados ahora aparecen en el caché.
Para las autoridades europeas, la filtración ofrece algo que les ha faltado durante décadas: nombres. Hasta ahora, un muro de empresas buzón anónimas ha ocultado a los responsables tanto de los reguladores como de los recaudadores de impuestos.
Cómo un solicitante de licencia falso entró al regulador
La brecha comenzó con un simple engaño. En diciembre de 2025, la hacker berlinesa Lilith Wittmann se registró en el portal de licencias de la CGA. Se hizo pasar por una gerente de una oficina de confianza holandesa que el regulador ya conocía, pero ingresó su dirección de correo electrónico personal.
Ella afirmó representar una fundación que ella había inventado y el acceso le fue concedido a los pocos días. Por su propia cuenta, encontró una falla de seguridad explotable a las pocas horas de iniciar sesión.
Esa falla abrió todo el sistema de gestión de licencias, donde se almacenaba cada solicitud y documento de respaldo. Wittmann dice que luego observó al regulador "trabajar en tiempo real" durante aproximadamente nueve meses, sin que el personal se diera cuenta.
La CGA ha confirmado que una cuenta creada con una identidad falsa utilizó su portal desde diciembre de 2025 hasta septiembre de 2026. Dice que la intrusión ha sido contenida, la califica como una infracción grave según la ley de Curazao y lo informará a las autoridades.
El botín es enorme. Incluye declaraciones de propiedad, solicitudes de licencia, evaluaciones internas del regulador, pasaportes, declaraciones de impuestos y registros financieros.
El 23 de septiembre, se puso en línea un archivo público con capacidad de búsqueda de más de 40.000 documentos bajo el nombre Casino Secrets. Cualquiera puede consultar empresas y dominios, aunque el sitio destaca que aparecer en los ficheros no implica una conducta ilícita.
Wittmann no es ajeno a los servidores de los reguladores del juego. A principios de 2026, violó un sistema perteneciente a la Autoridad de Juegos de Malta.
Una red de propietarios europeos detrás de los buzones caribeños
Nacionales de Ucrania, Reino Unido y Chipre encabezan la lista de propietarios identificados en los expedientes, mientras que 13 son holandeses. Sobre el papel, sus negocios son empresas ficticias de Curazao administradas por oficinas fiduciarias locales.
Esa capa de control es notablemente pequeña. Sólo 40 representantes de 30 oficinas fiduciarias trataron con el regulador en nombre de las empresas autorizadas, y 31 de ellos tienen pasaporte holandés.
Los archivos también llegan a lo más alto del mercado. Destacan cuatro casos:
|
Operador |
propietario del registro |
Lo que muestran los archivos |
|---|---|---|
|
Un criptocasino líder |
Un ciudadano serbio ya conocido como su director general, que declaró más de mil millones de dólares en activos |
El personal de CGA dudaba que fuera el único propietario después de detectar grandes préstamos y pagos a entidades vinculadas a sus conocidos fundadores, que estaban ausentes en la solicitud. |
|
Una casa de apuestas global con fundadores rusos |
Un ciudadano ucraniano que figura como propietario y director ejecutivo |
Los tasadores sospechaban de "múltiples propietarios", pero en 2024 se obtuvo una licencia sin respuestas sobre sus vínculos con los fundadores. |
|
Un casino en línea orientado a Brasil |
Un empresario holandés y un americano, ambos de 30 años. |
La pareja declaró activos de unos 800 y 500 millones de euros al regulador. |
|
Un casino multado en Holanda |
Un gerente de tecnología con sede en Manila. |
El regulador holandés impuso una multa récord de casi 25 millones de euros en marzo de 2026 por operar ilegalmente; la multa está apelada |
Cuando se les acercó, los representantes de la casa de apuestas dijeron que no podían responder a suposiciones extraídas de documentos que no habían visto. Los propietarios del casino brasileño y el operador multado en Holanda no respondieron. Aparecer en los expedientes no significa que alguien haya infringido la ley.
En Alemania, los periodistas que trabajaron en los archivos vincularon aproximadamente 1.000 dominios de casinos con operadores vinculados a un proveedor de software de casino. El proveedor dice que no gestiona casinos y compara su papel con el de un proveedor de software de oficina. La CGA descartó la agrupación como una invención propia de los periodistas.
La misma serie de revelaciones llega al caso de casinos ilegales más grande de Alemania. El 8 de septiembre, más de 100 agentes registraron 11 propiedades, principalmente en los alrededores de Frankfurt, y arrestaron al principal sospechoso. Los fiscales alegan que el casino sin licencia adquirió alrededor de 5.860 millones de euros en apuestas entre julio de 2021 y finales de 2023.
Desde entonces, el regulador conjunto del juego de Alemania, el GGL, ha identificado al casino en línea con sede en Alemania en el centro del caso. Wittmann, que vincula el casino con Curazao, estima que el déficit del impuesto al juego alemán es de alrededor de 250 millones de euros, una cifra no confirmada oficialmente. El proveedor de software dice que pudo haber proporcionado componentes individuales a ese casino, pero que no participó en su funcionamiento.
La historia llega también a los nórdicos. Las emisoras públicas de Noruega y Suecia examinaron los archivos junto con las redacciones holandesas, alemanas y austriacas, y los informes noruegos encontraron noruegos entre los solicitantes de licencia.
La reforma de las licencias de Curazao bajo fuego
La filtración llega justo cuando Curazao intenta deshacerse de su reputación de larga data de supervisión laxa. Durante casi 30 años, algunos titulares privados de licencias maestras vendieron sublicencias a operadores de todo el mundo, sin que el Estado apenas participara.
Esa licencia nunca permitió a los operadores aceptar apuestas en otros países. Su atractivo era el acceso: a oficinas fiduciarias locales, empresas de pagos y proveedores de software de casino, además de un sello que hacía que los operadores parecieran legítimos.
Bajo la presión de los Países Bajos, Curazao aprobó la Ordenanza Nacional sobre Juegos de Azar (LOK) en 2024, poniendo a los operadores bajo la supervisión directa de la CGA. Una licencia cuesta ahora alrededor de 47.450 euros al año, y el regulador endureció sus reglas para los operadores de criptomonedas en junio.
La CGA dice que el sector aún está en transición. Los nuevos requisitos se van implementando paso a paso, una elección que se hace bajo la responsabilidad del Ministro de Finanzas. El regulador añade que no rechaza licencias al primer signo de duda.
También dice que ha rechazado alrededor del 28% de las solicitudes desde 2023 y que sus licencias no cubren mercados como Alemania. Advierte contra la evaluación de solicitudes a partir de documentos individuales sin el expediente completo.
Los críticos no están convencidos. Marcel Pheijffer, profesor de contabilidad forense en la Universidad de Negocios de Nyenrode, dijo que tal enfoque sería imposible en los Países Bajos. Un regulador, argumentó, debería pensar antes de actuar.
Björn Fuchs, presidente de la asociación holandesa de juego online VNLOK, fue más allá. Dijo que la nueva ley parece estar "fallando estrepitosamente" e instó al regulador a rechazar licencias cuando persistan señales de alerta.
¿Qué pasa después?
Las consecuencias apenas comienzan. La investigación forense de la CGA aún está en marcha y Wittmann ha dicho que planea publicar la lista completa de beneficiarios reales.
En Curazao, el escrutinio está pasando al Ministerio de Finanzas. El regulador dice que la lenta implementación de las nuevas reglas se decidió bajo la responsabilidad del ministro, y los medios locales ya preguntan qué instrucciones recibió la CGA.
Las empresas que dependen de datos de propiedad declarada enfrentan su propio ajuste de cuentas. Es posible que los bancos, proveedores de pagos y empresas de cifrado que trabajan con operadores con licencia de Curazao deban revisar sus archivos de diligencia debida.
La lucha legal sobre los métodos de Wittmann está lejos de estar resuelta. Según Wittmann, la Autoridad de Juegos de Malta perdió recientemente un caso provisional contra ella en Berlín, por lo que puede seguir utilizando sus documentos.
Para los jugadores, la conclusión es simple: una licencia de Curazao revela poco sobre quién administra un casino. Tampoco legaliza a un operador en países como Alemania o los Países Bajos, que requieren una licencia nacional.
Preguntas frecuentes
¿Qué pasó en el ataque al juego en Curazao?
Un pirata informático se registró en el portal de licencias de la Autoridad del Juego de Curazao con una identidad falsa en diciembre de 2025. Luego tuvo acceso al sistema de gestión de licencias del regulador durante unos nueve meses, hasta que se detectó la infracción en septiembre de 2026.
¿Quién está detrás del hackeo a la Autoridad del Juego de Curazao?
La hacker e investigadora de seguridad con sede en Berlín Lilith Wittmann se atribuyó la responsabilidad. A principios de 2026, también violó un sistema de la Autoridad de Juegos de Malta.
¿Cuántos propietarios de casinos estuvieron expuestos?
Los archivos vinculan a alrededor de 800 beneficiarios reales con 646 empresas autorizadas en Curazao en diciembre de 2025. La mayoría de los propietarios son europeos, encabezados por ciudadanos de Ucrania, el Reino Unido y Chipre.
¿Las principales marcas de casinos se ven afectadas por la filtración?
Sí. Varios de los criptocasinos y casas de apuestas deportivas más conocidos con licencia en Curazao aparecen en los documentos, junto con cientos de operadores menos conocidos. Ser nombrado en los archivos no indica por sí solo una irregularidad.
¿Puede un casino con licencia de Curazao operar legalmente en Europa?
No sólo por la solidez de esa licencia. Una licencia de Curazao no autoriza los juegos de azar en países como Alemania o los Países Bajos, que exigen sus propias licencias nacionales.
¿Cómo ha respondido la Autoridad del Juego de Curazao?
La CGA confirmó el acceso no autorizado, dice que ha sido contenido y lo califica como una infracción grave según la ley de Curazao. Dice que el sector se encuentra en un período de transición y advierte contra sacar conclusiones de documentos individuales.
