Sección 2 · Lección 2.6
El grafo de transacciones y la agrupación de direcciones
Una sola persona en la blockchain casi nunca usa una única dirección. Tiene decenas o cientos, y un exchange tiene millones. Entonces, ¿cómo averigua un analista que veinte direcciones distintas pertenecen en realidad a una sola cartera? La respuesta es el grafo de transacciones y las heurísticas de agrupación (clustering). Este es el fundamento de todo el análisis de blockchain: así es como Chainalysis, Elliptic y AMLConsensus convierten el caos de direcciones anónimas en entidades comprensibles: "exchange", "mezclador", "defraudador".
Qué es un grafo de transacciones
La blockchain es, por naturaleza, un grafo gigantesco. En matemáticas, un grafo está formado por vértices (nodos) y aristas (los enlaces entre ellos). En el análisis de blockchain:
- Los vértices son las direcciones (o, en el modelo UTXO, las propias transacciones y sus salidas).
- Las aristas son las transacciones que transportan valor de una dirección a otra, con una flecha de dirección y un peso (el importe).
Cuando introduces una dirección en una comprobación AML, el sistema no la mira de forma aislada. Trae a su entorno —quién le pagó, a quién pagó— y construye un subgrafo. Es a partir de la forma y el contenido de este subgrafo de donde se extrae una conclusión sobre el riesgo.
El ejemplo más simple de un grafo: la dirección A envió 1 BTC a la dirección B; B envió 0,5 BTC a la dirección C y 0,5 BTC a la dirección D. Dibuja esto con flechas y obtienes un grafo dirigido y ponderado. Un analista lee esas estructuras como un texto: una ramificación en muchas salidas pequeñas puede significar "fraccionamiento" (estructuración), la convergencia de muchas entradas en una puede significar una consolidación de fondos, y el paso por un contrato de mezclador conocido puede significar un intento de romper el vínculo.
Un mini diagrama de flujo.
Víctima de phishing → Dirección A del ladrón → se fracciona en A1, A2, A3 → cada una a una nueva dirección → mezclador → depósito en un exchange.
La tarea del analista es no perder el "hilo" a través de todos estos saltos y comprender que A1, A2 y A3 son uno y el mismo titular.
El problema: dirección ≠ titular
La principal dificultad del análisis de blockchain es que una dirección no es una cuenta. Crear una nueva dirección es gratis e instantáneo; las carteras generan automáticamente una nueva dirección para cada transacción en aras de la privacidad. Así que a partir de una sola dirección no puedes decir directamente cuánto dinero tiene una persona en total ni con quién está conectada. Primero hay que agrupar las direcciones en clusters, cada uno de los cuales está, con alta probabilidad, controlado por una sola entidad. Este proceso se llama clustering, y las herramientas para ello son las heurísticas.
Heurística 1: entrada común (common-input-ownership)
Esta es la heurística más potente y fiable para las redes del modelo UTXO (Bitcoin, Litecoin). Su idea es sencilla y se apoya en cómo funcionan las firmas.
La lógica de la entrada común
Para gastar fondos en una transacción, debes firmar cada una de sus entradas con la clave privada de la dirección correspondiente. Si una sola transacción tiene varias entradas de direcciones distintas, entonces quien la creó poseía las claves privadas de todas esas direcciones a la vez.
- Observamos una transacción. Entradas: dirección X (0,3 BTC), dirección Y (0,2 BTC), dirección Z (0,5 BTC). Salida: un pago de 1 BTC. Tres entradas reunidas juntas.
- Sacamos una conclusión. X, Y y Z fueron firmadas por una persona → las tres pertenecen a una cartera. Las fusionamos en un cluster.
- Ampliamos. Si mañana X participa en una transacción junto con la dirección W, entonces W queda arrastrada también al mismo cluster. Los clusters crecen como una bola de nieve.
Así es exactamente como el cluster de un solo exchange puede crecer hasta cientos de millones de direcciones: todas ellas han participado al menos una vez en transacciones conjuntas de consolidación.
Una limitación. La heurística de entrada común se rompe con CoinJoin: la combinación deliberada de entradas de usuarios distintos y no relacionados en una sola transacción. Aquí una aplicación ingenua produce una fusión falsa. Por eso los motores de análisis de calidad reconocen primero el patrón CoinJoin (importes de salida iguales, muchos participantes) y excluyen esas transacciones del clustering.
Heurística 2: la dirección de cambio
La segunda heurística clásica también proviene del modelo UTXO. Cuando pagas con parte de tu saldo, el "cambio" vuelve a ti, pero a una nueva dirección, para no revelar el remanente. Si el analista logra averiguar cuál de las salidas es el cambio, vinculará esa nueva dirección al remitente.
- La pista de la "nueva dirección". Una de las salidas va a una dirección que nunca antes ha aparecido en la blockchain: una probable candidata a ser el cambio.
- La pista del "importe redondo". Si una salida es exactamente 0,50000000 BTC (el pago) y la otra es 0,34172618 BTC (un remanente no redondo), la no redonda es, muy probablemente, el cambio de vuelta al remitente.
- La pista del tipo de script. El cambio suele volver a una dirección del mismo tipo/formato que las entradas (por ejemplo, el mismo formato bech32).
Ejemplo: la dirección A gasta 1 BTC. Salidas: 0,7 BTC al vendedor B y 0,29 BTC a una nueva dirección C. La heurística del cambio: C es el cambio, lo que significa que C pertenece al mismo titular que A. Ahora A y C están en un mismo cluster, aunque formalmente sean direcciones distintas.
Otras señales de agrupación
Heurísticas conductuales y externas
- Momentos y patrones. Las direcciones que pagan al mismo servicio en los mismos momentos y por los mismos importes pueden estar controladas por un mismo bot/titular.
- Reutilización de direcciones. En las redes del modelo de cuentas (Ethereum) una misma dirección se usa muchas veces, y la entrada común no funciona: allí se agrupa por interacciones con contratos, direcciones de depósito de exchanges y patrones de gas.
- Direcciones de depósito de exchanges. Un exchange da a cada usuario una dirección única para los depósitos y luego barre los fondos a una cartera caliente. Al rastrear el barrido, el analista vincula la dirección de depósito del usuario con el cluster del exchange.
- Etiquetas externas (atribución). Datos del mundo real: una dirección publicada en un foro, en la lista de sanciones de la OFAC, en un caso judicial, u obtenida mediante un depósito propio con KYC a un exchange. Son las etiquetas las que dan un nombre a un cluster.
Del cluster a la entidad: cómo "ve" un analista una cartera
Juntémoslo todo en un ejemplo de extremo a extremo. Un analista investiga la dirección de una víctima a la que le robaron sus fondos.
- Construye un grafo alrededor de la dirección del ladrón. Ve que los fondos robados se fraccionan en A1, A2, A3. La primera capa del blanqueo.
- Aplica la entrada común. Dos semanas después, A1 y A3 aparecen en una única transacción de consolidación, lo que significa que es un mismo titular. El cluster queda armado. El fraccionamiento no sirvió de nada: la heurística lo volvió a pegar.
- Aplica la heurística del cambio. Sigue el cambio y no pierde el "hilo" cuando parte de los fondos va a direcciones "nuevas". El cluster crece.
- Atrapa el punto de salida. El cluster envía fondos a una dirección etiquetada como un depósito del exchange X. Aquí comienza la parte off-chain.
- Extrae una conclusión para el informe. "Los fondos robados, tras 4 saltos y el fraccionamiento, acabaron en un depósito del exchange X: es ahí adonde debe dirigirse una solicitud de revelación de datos de KYC." Un grafo anónimo se convirtió en una conclusión accionable.
Por qué esto importa para la puntuación AML. Cuando compruebas una cartera en AMLConsensus y ves "vínculo con un mezclador" o "recepción de fondos de un mercado de la darknet", detrás de esa línea está precisamente el clustering: el sistema sabe que las muchas direcciones de un mezclador son una sola entidad, porque las pegó con heurísticas. Sin clustering, cada dirección sería anónima y la puntuación sería imposible.
Recuerda los errores. Las heurísticas son suposiciones probabilísticas, no pruebas. La entrada común se rompe con CoinJoin; la heurística del cambio, con el uso deliberado de salidas redondas y tipos de dirección idénticos. Un buen analista siempre indica un nivel de confianza y no presenta un cluster como un hecho irrefutable. Fusionar falsamente a dos titulares en un mismo cluster es una fuente real de puntuaciones "rojas" injustas, algo que trataremos en la sección sobre falsos positivos.
Este material tiene fines educativos.