Un asistente de inteligencia artificial descubrió un software espía instalado en la computadora de un jugador profesional de póker en línea. El malware permitía que un atacante viera la pantalla y, por ende, las cartas del jugador. De acuerdo con Wired, el mismo método habría estado activo durante años y afectado a cientos de jugadores de apuestas altas.

El jugador, que se presentó bajo el seudónimo Alex por temor a represalias, empleaba Claude, un asistente de IA, para revisar estadísticas de juego. Tras una falla en su base de datos, el sistema advirtió sobre MeshAgent, un programa capaz de capturar la pantalla y controlar el equipo.

El software se instaló sin que Alex lo iniciara. El asistente identificó 11 momentos en que MeshAgent capturó la pantalla; en todas las ocasiones, Alex participaba en partidas de Americas Cardroom (ACR), una plataforma de póker en línea. En 10 de esas sesiones, el rival era el mismo jugador, con el usuario OxOO.

Alex consultó las estadísticas públicas de ese oponente y halló tasas de victoria que parecían imposibles para la cantidad de manos jugadas. Calcula que perdió unos USD 30.000, cifra moderada para su nivel; otras personas habrían sufrido pérdidas mayores.

El experto en seguridad WolfSec, quien asesora a jugadores de alto nivel, difundió el caso el 29 de septiembre en X. Según él, el atacante no buscó a todos los usuarios, sino a dos programas para jugar en varias mesas a la vez: IntuitiveTables y Jurojin.

En Jurojin, el atacante accedió al sistema del desarrollador para enviar actualizaciones, y el programa espía llegó a los usuarios por el canal habitual. El creador de IntuitiveTables utilizaba Jurojin en su equipo de pruebas, y esa máquina recibió el agente; con él, el intruso añadió código malicioso a IntuitiveTables antes de que la versión fuera firmada.

WolfSec estima que el software llegó a más de mil usuarios. Como el código viajó mediante una actualización o una descarga oficial, ni los jugadores ni sus antivirus notaron nada. La versión modificada de IntuitiveTables solo se activaba si el nombre de usuario figuraba en una lista de la infraestructura del atacante, compuesta principalmente por jugadores habituales de apuestas altas.

Según el analista, el mismo atacante intentó infectar equipos desde 2022 con una técnica más simple; no hubo robo de dinero en esa oportunidad, por lo que no siguieron el caso.

CoinPoker investigaba desde 2025 a un jugador sospechoso. Su portavoz, Mario Mosböck, dijo a Wired que expulsaron al implicado y devolvieron más de USD 100.000 a los afectados. También afirmó que la identidad del jugador era conocida desde una entrevista con cámara en febrero de 2025 y que la compañía informó a ACR sin obtener respuesta.

El profesional Patrick Howard informó a GGPoker a principios de septiembre sobre resultados estadísticamente anómalos y no obtuvo respuesta. Tras la revelación pública, el sitio sostuvo que no había pruebas concluyentes en ese momento. Ni ACR ni GGPoker respondieron a las consultas de Wired.

Las fuentes estiman que el atacante se llevó entre USD 1,5 y 4 millones.