Colombia concede extradición de Bastardo Torrealba por red de jackpotting

El Gobierno nacional concedió la extradición del ciudadano venezolano Daniel Eduardo Bastardo Torrealba a los Estados Unidos de América para que comparezca a juicio por cuatro cargos ligados a una red de “jackpotting” que vació cajeros automáticos mediante malware. La decisión está contenida en la Resolución Ejecutiva número 451 de 2026, suscrita el 5 de octubre de 2026 por el presidente de la República, Abelardo de la Espriella, y por el ministro de Justicia y del Derecho, Iván Alfonso Cancino González, y publicada en el Diario Oficial número 53.652 del jueves 8 de octubre de 2026.

La solicitud llegó por la vía diplomática: mediante Nota Verbal número 2588 del 19 de diciembre de 2025, el Gobierno de los Estados Unidos de América, a través de su Embajada en Colombia, pidió la detención provisional con fines de extradición de Bastardo Torrealba. El requerido había sido retenido el 18 de diciembre de 2025 por el Grupo Especial de Investigaciones Interagenciales de la Dirección de Investigación Criminal e Interpol de la Policía Nacional, con fundamento en una notificación roja de Interpol, y la Fiscal General de la Nación decretó su captura mediante resolución del 23 de diciembre de 2025.

La solicitud se formalizó con la Nota Verbal número 0180 del 10 de febrero de 2026. El ciudadano es el sujeto de la Acusación en el Caso número 8:25CR242 (también referido como 8:25-cr-00242-BCB-RCC), dictada el 9 de diciembre de 2025 en la Corte Distrital de los Estados Unidos para el Distrito de Nebraska. La Sala de Casación Penal de la Corte Suprema de Justicia, mediante pronunciamiento del 2 de septiembre de 2026, conceptuó favorablemente a la extradición, y el Gobierno, con base en el artículo 501 de la Ley 906 de 2004, resolvió concederla.

Los cuatro cargos imputados

La entrega se autoriza para que Bastardo Torrealba comparezca ante las autoridades estadounidenses por:

• Cargo Uno: concierto para delinquir para cometer fraude bancario.
• Cargo Dos: concierto para delinquir para cometer robo con fuerza y fraude bancario y actividades relacionadas con computadoras.
• Cargo Tres: concierto para cometer lavado de dinero.
• Cargo Cuatro: concierto para delinquir para proporcionar apoyo material a terroristas.

El modus operandi del “jackpotting”

Según la acusación transcrita en la resolución, el malware para cajeros automáticos se implementaba en tres etapas. Primero, los miembros del concierto obtenían acceso físico al cajero, extraían el dispositivo de almacenamiento de datos —disco duro o unidad de estado sólido—, instalaban el código malicioso y volvían a insertarlo. Después activaban el malware de forma remota mediante códigos o comandos especiales, eludiendo los sistemas de seguridad y tomando el control de las operaciones. Por último, enviaban un comando de dispensación que vaciaba el efectivo hasta agotarlo o interrumpir el proceso.

El grupo operaba con roles definidos: unos viajaban con anticipación para fotografiar el cajero y su hardware interno y verificar que no hubiera alarma silenciosa; otros instalaban el malware y otros recogían el dinero. El programa incluía un archivo ejecutable que provocaba su autodestrucción tras la extracción masiva de efectivo, para evitar su detección en un análisis forense.

Cifras y alcance transnacional

Entre febrero de 2024 y diciembre de 2025, los acusados cometieron o intentaron cometer al menos 63 ataques de “jackpotting” a cajeros de los bancos víctimas y al menos 54 a los de las cooperativas de crédito víctimas. La pérdida total para las instituciones financieras fue de al menos 5.401.181 dólares y se intentó obtener al menos 1.429.738 dólares adicionales.

• El 6 de octubre de 2024, en Nebraska City, Nebraska, un ataque produjo aproximadamente 19.000 dólares en ganancias ilícitas.
• El 26 de octubre de 2024, en Lincoln, Nebraska, se intentó obtener cerca de 199.466 dólares.
• El 16 y 17 de agosto de 2025, dos cajeros de la cooperativa de crédito víctima-2, en Kearney, Nebraska, reportaron pérdidas de aproximadamente 300.000 dólares.
• Las pérdidas por ataque superaron en ocasiones los 100.000 dólares.

Las conductas se planearon desde el Distrito de Nebraska y desde Venezuela, Colombia, México, España, El Salvador y Honduras. La acusación menciona además a Aníbal Alexander Canelón Aguirre, alias “Prometheus” y “El Ingeniero”, entre los integrantes del concierto.

Condiciones de la entrega

La Resolución Ejecutiva número 451 de 2026 ordena la entrega bajo el compromiso del Estado requirente de cumplir las condiciones del artículo 494 de la Ley 906 de 2004: el extraditado no será sometido a desaparición forzada, torturas ni tratos o penas crueles, inhumanos o degradantes, ni a destierro, prisión perpetua o confiscación. También advierte que no podrá ser juzgado por delito distinto del que motivó la extradición ni sancionado de forma diferente a la condena impuesta.

El acto administrativo dispone notificar personalmente la decisión al interesado o a su apoderado, quien podrá interponer recurso de reposición dentro de los diez (10) días siguientes a la notificación, y ordena enviar copia a la Dirección de Asuntos Jurídicos Internacionales del Ministerio de Relaciones Exteriores y a la Fiscal General de la Nación. La resolución rige a partir de la fecha de su ejecutoria.

El caso ilustra cómo el ciberdelito financiero opera hoy como una red transnacional: un solo esquema de “jackpotting” con ramificaciones en siete países y pérdidas superiores a 5,4 millones de dólares termina definiéndose en un acto administrativo de extradición publicado en el Diario Oficial. Para los lectores, la resolución confirma que Colombia mantiene activa la cooperación judicial con Estados Unidos y que los delitos informáticos contra el sistema financiero quedan cubiertos por los tratados de extradición vigentes.

Fuente: Diario Oficial, número 53.652 del 8 de octubre de 2026, sección I, pág. 6 (referencia oficial: Resolución Ejecutiva número 451 de 2026).