Sección 5 · Lección 5.5
Monitorización de direcciones: la comprobación no termina con la operación
Uno de los errores de principiante más comunes y peligrosos es suponer que si una dirección está limpia hoy, lo estará para siempre. La blockchain está viva: una dirección que ayer pasó una comprobación con score cero puede mañana ganar un vínculo con un mixer, caer en una lista de sanciones o aparecer en una cadena de robo. Una comprobación AML no es una instantánea puntual sino un proceso. En esta lección desglosamos por qué el estado de riesgo de una dirección cambia con el tiempo y cómo poner direcciones bajo monitorización para que te enteres de un problema el primero, no el último.
Por qué una dirección limpia hoy se «ensucia» mañana
La puntuación de riesgo de una dirección no es una propiedad de la dirección en sí sino un reflejo de su entorno y su historia. Ambos cambian. Desglosemos los principales mecanismos que empujan el estado hacia arriba.
- Nuevas transacciones entrantesAlguien envió fondos a la dirección desde un mixer, un mercado de la darknet o un protocolo hackeado. La exposición subió: el score aumentó, aunque el dueño no hizo nada «malo».
- Actualizaciones de listasLa OFAC, los reguladores nacionales y las empresas de analítica añaden direcciones constantemente. Una contraparte que ayer era «desconocida» cayó hoy en una lista de sanciones, y todos los conectados a ella ganaron exposición.
- Etiquetado retrospectivoLos analistas descubrieron a posteriori las direcciones de un viejo hack o estafa. Una transacción que aceptaste hace seis meses como limpia está ahora etiquetada como relacionada con un robo.
- Evolución del grafoLos fondos de la dirección siguieron su camino y «se encontraron» con flujos de riesgo a 2–3 saltos. La exposición indirecta trepó.
Hoy
score 5, limpia
→
Entrada desde un mixer
→
Mañana
score 70, mixer
La idea clave. No estás comprobando «a una persona» sino el estado de una dirección en un segundo concreto. Entre la comprobación y la siguiente operación pasa tiempo, y en ese hueco el riesgo puede cambiar. La monitorización cierra precisamente ese hueco.
Quién necesita la monitorización, y por qué
La monitorización no es igual de crítica para todos. Veamos los roles típicos y su interés en ella.
- Un exchanger/servicio. Mantiene los fondos de los clientes y el capital de trabajo en sus propias direcciones. Si una dirección de tesorería recibió una entrada sucia, necesitas saberlo de inmediato, para no «embadurnarla» por los pagos.
- Un tenedor de una gran suma. Aceptó el pago de una operación; el dinero reposa un mes. Durante ese mes la contraparte pudo caer en una lista, y cuando retires a un exchange saldrá a la luz, y eres tú quien acaba congelado.
- Un responsable de compliance. Mantiene una lista de clientes y sus direcciones. Necesita enterarse de un cambio de riesgo en clientes ya aceptados (ongoing due diligence — comprobación continua, no solo en el alta).
- Un propietario particular. Quiere saber si algo sospechoso «aterrizó» en su dirección, para no gastar esas monedas y mantenerlas separadas.
Cómo poner una dirección bajo monitorización
Técnicamente, la monitorización es una suscripción a los eventos de una dirección. Le dices al sistema: «vigila esta dirección y avísame si…». Las condiciones de notificación (disparadores) son configurables.
- Un disparador de nueva transacciónCualquier movimiento en la dirección — entrante o saliente. El nivel básico: simplemente estás al tanto de la actividad.
- Un disparador de riesgoUna notificación solo si una nueva transacción o un recálculo empujó el score por encima de un umbral (por ejemplo, pasó a ser ≥50). Menos «ruido», más señal.
- Un disparador de categoríaSe activa solo cuando aparecen categorías críticas:
sanctions, mixer, theft. El filtro más estricto e importante.
- Un disparador de listaLa dirección o un contacto cercano de ella cayó en una actualización de una lista de sanciones/búsqueda.
Técnicamente la notificación llega vía un webhook (el sistema llama a tu servidor), un mensaje de email/mensajería (para un humano), o vía un recálculo programado periódico (por ejemplo, una vez por hora el sistema reevalúa todas las direcciones de tu lista). Los sistemas reales hacen exactamente esto: una lista de direcciones vigiladas + un recálculo regular + una alerta cuando se cruza un umbral.
Lista de direcciones
→
Recálculo /hora
→
Umbral cruzado → alerta
Qué hacer cuando salta una alerta
Una alerta no es un veredicto sino una señal para investigar. El pánico y las acciones precipitadas hacen tanto daño como la inacción.
- Captura el estado. Guarda un informe con fecha de la alerta: score, categoría, la transacción disparadora concreta, la fecha y la hora. Esta es tu base probatoria.
- Localiza. Entiende qué cambió exactamente: ¿una nueva entrada? ¿una actualización de lista? ¿un crecimiento de la exposición indirecta? Tu respuesta depende de ello.
- Aísla los fondos. Si algo sucio «goteó», no mezcles esas monedas con las limpias: mantenlas en una dirección aparte. Mezclarlas convierte un problema local en uno total.
- Evalúa la relevancia. Un 0,3 % de exposición indirecta a 4 saltos es una cosa; una entrada directa desde un mixer es algo muy distinto. No todas las alertas son iguales.
- Toma una decisión. Seguir vigilando, suspender las operaciones con la dirección, iniciar una devolución de fondos, o preparar una escalada de compliance, según la gravedad.
Falsos positivos y fatiga por alertas. Si pones el umbral demasiado bajo, te ahogarás en notificaciones y dejarás de reaccionar a ellas, lo cual es más peligroso que no tener ninguna. Configura los disparadores por riesgo y categoría, no «con cada movimiento». Mejor tres alertas precisas al mes que trescientas inútiles.
Monitorización y regulación. La monitorización continua no es un capricho sino un requisito del enfoque basado en riesgo del FATF y de la mayoría de las políticas AML. El regulador espera que vigiles a un cliente no solo en el momento del alta sino a lo largo de toda la relación. Una monitorización configurada forma parte de tu higiene de compliance.
Un ejemplo práctico: cómo se «ensució» una dirección de tesorería
Trabajemos con un escenario típico donde la monitorización salva el negocio. Un exchanger mantiene una reserva de trabajo de USDT en una dirección de tesorería y paga a los clientes desde ella. Un día llega a esta dirección un reembolso entrante de una contraparte —un importe pequeño, y nadie comprobó la operación a mano—. Un día después esta contraparte cae en una lista de sanciones: los analistas descubrieron su vínculo con un exchange sancionado.
- Sin monitorización. El exchanger no sabe nada. Sigue pagando desde la dirección de tesorería, y «embadurna» la exposición de sanciones por decenas de clientes totalmente inocentes. Cada uno de ellos, al depositar en un exchange, se arriesga a un congelamiento. El problema pasó de local a generalizado.
- Con monitorización. La dirección de tesorería está vigilada con un disparador en la categoría
sanctions. En el momento en que la lista se actualiza, llega una alerta. El operador suspende de inmediato los pagos desde esta dirección, aísla el importe recibido, traslada el saldo limpio a una dirección nueva y continúa. El daño es mínimo.
La diferencia entre estos dos desenlaces es la diferencia entre «configurar la monitorización en una hora» y «perder relaciones bancarias y clientes». Por eso, para un servicio, monitorizar las direcciones clave no es una opción sino un elemento obligatorio de la seguridad operativa.
No monitorices «todo lo que se mueve». Pon bajo vigilancia lo que de verdad importa: las direcciones de tesorería y de depósito, las grandes sumas aceptadas, las direcciones de los clientes clave. Intentar vigilar cada dirección que alguna vez ha pasado fugazmente es un camino a la sobrecarga y a la pérdida de foco. La monitorización es fuerte a través de la priorización.
La lección en resumen
- El estado de riesgo de una dirección cambia con el tiempo: nuevas transacciones, actualizaciones de listas, etiquetado retrospectivo, evolución del grafo.
- Una comprobación a la entrada es una instantánea; entre operaciones queda un hueco, y la monitorización lo cierra.
- Pon direcciones bajo vigilancia con disparadores por riesgo y categoría, no «con cada movimiento».
- Ante una alerta: captura, localiza, aísla los fondos, evalúa la relevancia, decide.
- Los umbrales sobresensibles llevan a la fatiga por alertas: ajusta para la precisión.
Este material tiene fines educativos.