Mezcladores y tumblers: cómo funcionan y cómo detectarlos

Un mezclador es la lavandería de la blockchain. Su único trabajo es romper el vínculo entre el remitente y el destinatario de los fondos para que un analista no pueda rastrear el camino de las monedas. Para una comprobación AML, que los fondos pasen por un mezclador es una bandera roja de máxima gravedad, casi siempre al mismo nivel que una coincidencia de sanciones. Analicemos la mecánica, los servicios concretos y las señales por las que un mezclador es visible directamente en la blockchain.

▶ Videolección: cómo detectar un mezclador (voz en español).

Cómo funciona un mezclador: el pool compartido

Para entender por qué un mezclador es tan peligroso para el rastreo, hay que entender cómo está construido. En una transacción corriente todo es transparente: la dirección A envió 5 ETH a la dirección B, y el vínculo queda visible para siempre. Un mezclador rompe este vínculo directo mediante un pool compartido.

Depósito. El usuario deposita una cantidad fija (por ejemplo, exactamente 0,1, 1 o 10 ETH) en el contrato inteligente del mezclador. La cantidad es deliberadamente fija: esto es esencial, porque las cantidades únicas son fáciles de emparejar "entrada↔salida".Las denominaciones fijas hacen que todos los depósitos sean indistinguibles entre sí, como billetes idénticos en una caja común.
Mezcla. Las monedas depositadas van a un único pool junto con los fondos de cientos de otros usuarios. En esta fase la "moneda" individual deja de existir: solo queda un caldero común.En los mezcladores criptográficos (Tornado Cash) el usuario recibe una "nota" secreta (una prueba de conocimiento cero) que confirma el derecho a retirar pero no revela cuál fue su depósito.
Retirada. Más tarde —a menudo con retraso y a una dirección nueva y "limpia"— el usuario retira la misma cantidad del pool. Formalmente, el vínculo entre su depósito y su retirada queda criptográficamente roto.Precisamente el retraso y el cambio de dirección buscan derrotar el análisis simple de tiempos.

Muchas entradas
depósitos de 0,1 ETH

→

Pool compartido
monedas "mezcladas"

→

Muchas salidas
a direcciones nuevas

Servicios clave

Tornado CashEl mezclador más famoso de Ethereum, un conjunto de contratos inteligentes con denominaciones fijas de 0,1 / 1 / 10 / 100 ETH. Añadido a la lista SDN de OFAC en agosto de 2022. Fue a través de este mezclador que Lazarus Group blanqueó fondos.
SinbadUn mezclador de Bitcoin que OFAC señaló como sucesor directo del ya clausurado Blender.io. También usado activamente por Corea del Norte. Sancionado en noviembre de 2023.
Sucesores y clonesTras las sanciones contra los grandes actores, aparecen forks y servicios más pequeños (implementaciones de CoinJoin, pools privados). La mecánica es la misma —un pool compartido y un vínculo roto—, así que se reconocen por las mismas señales.

Estatus de sanciones: por qué es un doble golpe

Atención. Los mayores mezcladores no son meramente "sospechosos": figuran directamente en las listas de sanciones de OFAC. Esto significa que los fondos que pasan por Tornado Cash o Sinbad arrastran dos riesgos a la vez: primero, el riesgo de sanciones (las direcciones del mezclador están en la lista SDN, véase la lección 3.1), y segundo, el riesgo de ocultación de origen (el mero hecho de usar una herramienta de ofuscación). Aunque un mezclador no estuviera sancionado, su uso destruye cualquier posibilidad de confirmar la legitimidad de los fondos, y en cumplimiento "no podemos confirmar" se interpreta en contra del cliente.

Analizando una captura de pantalla real

Dirección sancionada del mezclador Tornado Cash

Una dirección real de Tornado Cash en un explorador de blockchain. Fíjate en la etiqueta BLOCKED y en los depósitos uniformes de 0,1 ETH.

Esta captura es una lección de manual para reconocer un mezclador. Desglosemos exactamente qué se ve en ella:

La etiqueta BLOCKED. El explorador marca directamente la dirección como bloqueada/sancionada. Es una señal ya lista: los servicios de análisis ya han clasificado la dirección.Las etiquetas públicas son el primer y más barato nivel de comprobación, pero no puedes fiarte solo de ellas: las direcciones nuevas pueden no estar aún etiquetadas.
Cantidades redondas idénticas. Una serie de transacciones de exactamente 0,1 ETH. En la vida económica corriente la gente casi nunca transfiere una y otra vez cantidades perfectamente redondas y fijas. Esta es la firma de un mezclador con denominaciones fijas.0,1 / 1 / 10 / 100 ETH son las "denominaciones" características de Tornado Cash.
El método deposit. En los detalles de la transacción se ve una llamada al método deposit del contrato inteligente. Es interacción directa con el contrato del mezclador, no una transferencia corriente de monedero a monedero.Por el nombre del método del contrato invocado, un analista entiende al instante la naturaleza de la operación.
Muchos remitentes distintos. Los depósitos afluyen al pool desde decenas de direcciones independientes: la imagen visual de un "caldero común".Simétricamente, las retiradas salen hacia multitud de direcciones nuevas.

Señales de un mezclador en la blockchain (sin una etiqueta ya lista)

La etiqueta BLOCKED no siempre está presente: los clones nuevos y los pools privados pueden no estar etiquetados. En ese caso un mezclador se reconoce por sus señales de comportamiento:

Denominaciones redondas fijasTransferencias repetidas de exactamente 0,1 / 1 / 10 ETH son el indicador más fuerte.
Interacción con un contrato inteligenteNo una transferencia P2P, sino llamadas a los métodos deposit/withdraw de un único contrato por el que pasa un enorme volumen.
Una cadena "entrada↔salida" rotaLos fondos entran desde un grupo de direcciones y salen hacia una dirección nueva completamente ajena: señal clásica de ofuscación.
Retraso y agrupación (batching)El depósito y la retirada están separados en el tiempo; las retiradas se dividen en una serie de cantidades idénticas.
Concentración anómalaUn único contrato recibe y devuelve un flujo desproporcionadamente grande desde miles de direcciones: económicamente esto no es un "monedero", sino un servicio.

Por qué pasar por un mezclador es una bandera roja de máxima gravedad

Por qué importa. En una comprobación AML siempre nos preguntamos: "¿Podemos explicar el origen de estos fondos?". Un mezclador existe con un único propósito: hacer imposible la respuesta. Los fondos que han pasado por un mezclador tienen, por definición, una historia cortada: no sabemos qué había antes del pool. Y en cumplimiento, lo desconocido se trata como riesgo máximo: si un cliente no puede (o ha hecho deliberadamente imposible) confirmar que los fondos están limpios, un operador escrupuloso está obligado a rechazar.

También hay un argumento estadístico. Un usuario legítimo rara vez necesita un mezclador, solo por privacidad. Pero para blanquear lo robado, pagar ransomware y sacar los fondos de Lazarus, un mezclador es una herramienta obligada. Por tanto, la probabilidad posterior de delito para fondos "mezclados" es muy alta. Los reguladores y las exchanges lo entienden y tratan un rastro de mezclador con extrema dureza: a menudo es un stop automático, al mismo nivel que las sanciones.

Conclusión práctica. Si el historial del monedero muestra cualquier contacto con un mezclador conocido —un depósito directo, una retirada del pool, o la recepción de fondos desde una dirección que a su vez retiró de un mezclador—, esto es motivo para un veredicto de alto riesgo / stop. No intentes "reevaluar" tales fondos como parcialmente limpios: la ruptura de la historia no puede repararse.

Resumen de la lección

Mezclador = vínculo entrada↔salida rotoMediante un pool compartido y denominaciones fijas, se corta la trazabilidad.
Los grandes mezcladores están sancionadosTornado Cash, Sinbad: en la lista SDN de OFAC; un doble riesgo (sanciones + ofuscación).
Las señales son visibles en la blockchainCantidades redondas, el método deposit, la etiqueta BLOCKED, muchas entradas/salidas.
El veredicto es casi siempre un stopUna historia cortada no puede "limpiarse"; lo desconocido = riesgo máximo.

A continuación veremos las fuentes desde las que los fondos criminales fluyen con más frecuencia hacia mezcladores y monederos: mercados de la darknet, pagos de ransomware y robos.

← Programa Programa →

Este material es educativo y no constituye asesoramiento legal.