Sección 4 · Lección 4.4
Falsos positivos: cuando una puntuación alta no significa culpabilidad
Uno de los errores más dañinos de un especialista de cumplimiento novato es leer la puntuación de riesgo como un veredicto. "Amarillo: medio culpable, rojo: un criminal". Esto es erróneo y peligroso: bloquea a personas honestas y desvirtúa el sentido del trabajo. Una puntuación de riesgo es una evaluación probabilística de conexiones, no una prueba de culpabilidad. En esta lección examinamos por qué un monedero absolutamente limpio puede recibir una puntuación amarilla o roja, cómo distinguir un falso positivo de un riesgo real y qué hacer al respecto. Es una habilidad profesional que separa a un analista de un aprieta-botones.
Qué significa realmente la puntuación
Una puntuación de riesgo no responde a la pregunta "¿es culpable el propietario?", sino a la pregunta "¿cuán conectada está la dirección con fuentes arriesgadas, y en qué medida hay que comprobar esa conexión manualmente?". Es un indicador de atención, no un veredicto.
- La puntuación es indirecta. Evalúa contrapartes y cadenas, no las intenciones de una persona. El propietario puede no saber ni controlar de dónde vinieron las monedas.
- La puntuación es probabilística. Se construye sobre heurísticas y etiquetas que a veces se equivocan (recuerda la falsa fusión de clústeres de la lección 2.6).
- La puntuación depende del contexto. La misma conexión puede ser inocente para un usuario minorista y alarmante para un negocio.
De ahí la regla de oro: una puntuación alta inicia una investigación, no la termina. El rechazo automático por un solo número es mal cumplimiento y daño reputacional.
Por qué un monedero honesto recibe una puntuación amarilla o roja
Examinemos las causas más comunes de falsos positivos: escenarios en los que una persona decente acaba con toda legitimidad con una puntuación alta.
Causa 1: un intercambio P2P "con historia"
Una persona compró USDT a una contraparte P2P en una exchange: una operación honesta. Pero el vendedor había pasado antes por su monedero fondos de origen dudoso. Como resultado, las monedas que recibiste arrastran un "rastro" del pasado arriesgado del vendedor.
- Por qué la puntuación es alta: el sistema ve un vínculo reciente entre tus monedas y una fuente arriesgada a través de la contraparte.
- Por qué no hay culpa: el comprador no eligió la historia de las monedas y no pudo comprobarla en el momento de la operación. Es una víctima de un vendedor "sucio", no un cómplice.
Causa 2: un ataque de dusting
Un atacante o spammer envía en masa cantidades microscópicas ("polvo") a miles de direcciones, a veces directamente desde un mezclador o una dirección marcada, con fines de desanonimización o spam. Tu monedero recibe 0,00000-"nada" de un remitente arriesgado, y el vínculo queda registrado.
- Por qué la puntuación es alta: formalmente hay una transacción entrante desde una dirección arriesgada.
- Por qué no hay culpa: el receptor del polvo no puede rechazar una transferencia entrante. No hizo nada: la "suciedad" llegó sola.
Un matiz práctico: el polvo es peligroso de gastar junto con fondos limpios: entonces tú mismo los vinculas en una sola transacción (¡common-input!). El mero hecho de recibir polvo no crea culpa; el problema surge si lo "mezclas".
Causa 3: un contacto antiguo o lejano
Hace cinco años enviaste a un amigo un poco de cripto. Más tarde, la dirección de ese amigo resultó estar implicada en una estafa. O bien: recibiste fondos de una contraparte que está vinculada a un mezclador a través de varios "saltos" (2–3 saltos), aunque directamente contigo todo esté limpio.
- Por qué la puntuación es alta: muchos motores tienen en cuenta los vínculos indirectos (exposición indirecta) a varios saltos y los episodios antiguos.
- Por qué no hay culpa: no eres responsable de lo que hicieron tus contrapartes antes o después de interactuar contigo, y mucho menos de sus contrapartes.
Causa 4: errores de etiqueta y de clústering
Una dirección se atribuye por error a una entidad arriesgada por una etiqueta inexacta en una base de datos o por la falsa fusión de clústeres por una heurística. Distintos proveedores (Chainalysis, Elliptic, TRM) discrepan no pocas veces en su evaluación de una misma dirección.
Precisamente por esto un análisis serio no se apoya en una sola fuente y siempre admite que una etiqueta puede estar equivocada.
Más fuentes inocentes comunes de una puntuación alta: uso de un servicio legítimo con reputación "ruidosa" (algunos puentes, plataformas de juego en jurisdicciones donde es legal); recepción de un pago de una exchange cuyo monedero caliente también atiende a clientes arriesgados; un reembolso de un contrato DEX usado antes por blanqueadores.
Cómo distinguir un falso positivo de un riesgo real
Aquí empieza la verdadera maestría. El analista no mira el número, sino cinco dimensiones de una conexión.
- Vínculo directo o indirecto. El dinero vino directamente de un mezclador/dirección sancionada: serio. Un vínculo a través de 3–4 saltos suele ser una señal débil, característica de un falso positivo. La direccionalidad decide.
- Dirección del flujo. Una transferencia entrante arriesgada no la controla el receptor (posible falso positivo). Un envío deliberado de fondos a un mezclador, o recibirlos directamente de la darknet, ya es comportamiento del propietario. Lo que recibiste ≠ lo que hiciste.
- Proporción y volumen (exposición). El 0,1 % de exposición "sucia" por polvo es ruido. El 60 % del saldo vino directamente de una exchange hackeada es una bandera roja. Mira el porcentaje, no el hecho.
- Antigüedad y repetición. Un único episodio antiguo de hace cinco años es casi siempre un falso positivo. Entradas frescas y regulares desde fuentes arriesgadas son un patrón, no azar. Puntual vs. sistema.
- Categoría de la fuente. Sanciones y terror (lección 3.6): cero tolerancia incluso para un vínculo pequeño. Un servicio "ruidoso" pero legítimo es motivo para investigar, no para bloquear. No todos los riesgos son iguales.
Regla general. Riesgo real = un vínculo directo + envío/recepción directa + una proporción alta + antigüedad/repetición + una categoría pesada. Un falso positivo = un vínculo indirecto a través de varios saltos + entrada involuntaria + una proporción insignificante + un episodio antiguo y puntual + una fuente "ruidosa" pero legítima.
Qué hacer ante una puntuación alta: el algoritmo
- No bloquees automáticamente. Una puntuación alta es una señal para comprobar, no para rechazar. El rechazo automático por un número engendra injusticia y quejas. Una pausa, no un veredicto.
- Abre el desglose. Mira por qué exactamente se imputó el riesgo: la categoría de la fuente, el número de saltos, la proporción de exposición, la fecha. Un clic en los detalles a menudo disipa la alarma. Lee el "por qué", no solo el "cuánto".
- Evalúa a través de las cinco dimensiones. Pasa la conexión por direccionalidad / dirección / proporción / antigüedad / categoría del bloque anterior. Juicio estructurado.
- Solicita contexto (RFI). Si quedan dudas, pide al usuario que explique el origen de los fondos. Una persona honesta suele responder con facilidad: "lo compré en P2P, aquí está la operación". Diálogo, no un veto silencioso.
- Documenta la decisión. Registra por qué consideraste falso (o real) el disparador. Esto os protege a ti y al cliente ante futuras preguntas de un regulador. Un rastro auditable.
- Escala las categorías pesadas. Sanciones/terror: siempre hacia arriba y por procedimiento, sin "descartarlo como falso positivo". Una línea roja sigue siendo roja.
Equilibrar dos errores. Un falso positivo (bloquear a una persona honesta) daña a los clientes, la reputación y los ingresos. Un falso negativo (dejar pasar a un criminal real) daña tu licencia y amenaza con una causa penal. El profesionalismo no consiste en anular uno de los errores, sino en equilibrarlos conscientemente: estricto donde la categoría es pesada, y con presunción de buena fe donde el vínculo es indirecto e involuntario.
Resumen de la lección. Una puntuación es una evaluación de conexiones y un motivo para comprobar, no una prueba de culpabilidad. Un monedero honesto recibe una puntuación alta por una contraparte P2P con historia, un ataque de dusting, un contacto antiguo o lejano, y errores de etiqueta y clústering. Para distinguir un falso positivo ayuda analizar cinco dimensiones: si el vínculo es directo, entrante o saliente, cuál es la proporción, si es fresco y repetido, cuál es la categoría de la fuente. La respuesta correcta no es un bloqueo automático, sino un desglose, una evaluación, una solicitud de contexto y documentación, con el escalado obligatorio de las sanciones y el terror. Precisamente por eso AMLConsensus muestra no solo un número, sino un desglose del "porqué", para que la decisión la tome una persona que piensa, no un semáforo ciego.
Este material tiene únicamente fines educativos.