Peel chain: pelando la cebolla

El peel chain (literalmente «pelar las capas de una cebolla») es una de las técnicas de blanqueo más antiguas y todavía vigentes en las redes UTXO, principalmente en Bitcoin. Su esencia es simple: una gran suma «sucia» no se retira de golpe, sino que se hace pasar por una larga cadena de direcciones, «pelando» una pequeña porción para su cobro en cada paso y enviando el resto principal hacia una dirección nueva. Desglosemos la mecánica hueso a hueso, aprendamos a ver esta figura en el grafo y a distinguirla de la actividad inocente de una cartera.

▶ Videolección: tipologías en el grafo (voz en español).

De dónde viene el nombre y cuál es la idea

Imagina una cebolla: para llegar al núcleo hay que ir pelando capa tras capa. En un peel chain el «núcleo» es la masa principal de fondos robados o de origen delictivo, y cada «capa» es una pequeña ramificación (peel) que en un salto dado se desvía hacia un lado: a un exchange, a un servicio de swap, a una operación OTC, al pago de mercancías. El atacante no intenta ocultar toda la suma de un solo salto: la estira en el tiempo y en el espacio para que ninguna transacción individual parezca grande ni sospechosa.

Un detalle mecánico clave está ligado al modelo UTXO (Unspent Transaction Output). En Bitcoin, cuando gastas monedas, la entrada de la transacción se «quema» por completo, y en la salida se crean dos (o más) nuevas salidas: una para el destinatario (peel) y una segunda —el «cambio»— que vuelve al control del emisor, pero ya en una dirección nueva. Es precisamente este mecanismo de cambio el que hace que el peel chain sea natural en Bitcoin: una cartera ya genera direcciones de cambio en cada gasto, y todo lo que tiene que hacer el atacante es estirar deliberadamente esta cadena y darle el ritmo deseado.

Un peel chain clásico: el flujo principal (línea gruesa) recorre una cadena de direcciones de cambio, y en cada salto se desprende una pequeña ramificación (peel) para su cobro.

Mecánica paso a paso

1. El UTXO «gordo» inicial. Al principio hay una o varias salidas grandes: el resultado de un hackeo, de la recaudación de una estafa, de un retiro de una plataforma de la darknet.Esta es la «cebolla» original en su totalidad.
2. El primer gasto con división. Se crea una transacción: una salida pequeña (peel) va a un «punto de salida» —una dirección de depósito de un exchange, un servicio de swap, un mezclador—, mientras que el gran «cambio» aterriza en una dirección nueva, no utilizada antes, del mismo propietario.Por fuera esto parece una compra corriente con vuelto.
3. Repetición en la nueva dirección. Desde la dirección de cambio nueva se vuelve a gastar: de nuevo un pequeño peel hacia un lado, de nuevo un gran cambio hacia adelante. Y así docenas, a veces cientos de veces.Cada salto alarga la cadena y «envejece» el origen.
4. Cobro de las ramificaciones. Los pequeños importes peel se acumulan en distintos exchanges y servicios de swap, a menudo desde IP distintas y hacia cuentas distintas (con frecuencia de mulas), donde se convierten en fíat o se mueven a otra red.Cada retiro individual es pequeño y se mantiene por debajo de los umbrales de la monitorización reforzada.

Cómo reconocer un peel chain en el grafo

En un grafo visual de transacciones un peel chain se ve muy característico: como un «peine» o una «espina de pez»: una larga autopista recta del flujo principal, de la que se desprenden hacia un lado, a intervalos regulares, cortas ramificaciones a modo de «costillas». Esto es lo que hay que mirar en concreto:

• Topología lineal sin ramificación de vueltaEl flujo principal va «en una sola dirección»: cada dirección tiene exactamente una entrada significativa y una salida grande hacia adelante más una pequeña ramificación. No hay convergencia de muchas fuentes: esto distingue un peel chain de una consolidación.
• Un saldo de la autopista que decrece de forma constanteLa suma en la «espina» decrece de forma monótona y gradual de salto en salto, exactamente en la cantidad de los peels desprendidos más las comisiones. Este es el signo numérico clave.
• Direcciones de cambio nuevas y de un solo usoCada dirección de la autopista se usa una vez: recibió, gastó, se olvidó. Saldo final cero, sin reutilización.
• Ritmo y ramificaciones regularesLas ramificaciones suelen ser parecidas en tamaño y se suceden a un intervalo similar: señal de automatización por un script, no de una persona real que gasta según le va surgiendo la necesidad.
• Las ramificaciones convergen en puntos de cobroSi sigues las salidas peel, se agrupan en direcciones de depósito de exchanges/servicios de swap; es decir, se desprenden no «para gastos de vida», sino para cobrar.

Cómo distinguirlo de la actividad corriente

El peligro para un analista inexperto es ver un peel chain donde no lo hay. Las carteras corrientes también generan direcciones de cambio y hacen gastos con vuelto. La diferencia está en el carácter sistemático y la intención, y hay que saber argumentarlo.

• Una cartera viva se ramifica, no se estira en una sola líneaUn usuario real recibe fondos de varias fuentes (salario, ventas, transferencias) y gasta de forma irregular. Surge un «arbusto», no un peine unidimensional a lo largo de docenas de saltos.
• Irregularidad de importes y tiemposLos gastos reales son de distintos tamaños y a distintas horas del día. Ramificaciones regulares a intervalos regulares son un marcador de script.
• La naturaleza de las ramificacionesPara una persona corriente una «ramificación» es un pago a un comercio real o una transferencia a un conocido. En un peel chain las ramificaciones casi siempre desembocan en liquidez: exchanges, servicios de swap, puentes, mezcladores.
• El origen de la raízUn peel chain, por definición, empieza en una fuente «mala». Si la raíz de la cadena está limpia (un exchange de salario, un pool de minería), una larga secuencia de gastos es simplemente una cartera activa, no un blanqueo.

En conclusión: un peel chain no es una rareza exótica, sino un caballo de batalla del blanqueo en Bitcoin, que explota el rutinario mecanismo de cambio de UTXO. Se reconoce por su «peine» lineal, su autopista que decrece de forma monótona, sus direcciones de cambio de un solo uso y sus ramificaciones rítmicas hacia puntos de cobro. Lo que permite distinguirlo de la vida corriente de una cartera es un análisis de la ramificación, la regularidad y —sobre todo— el origen de la raíz. En la próxima lección desglosamos una técnica emparentada pero topológicamente opuesta: la estructuración (smurfing), donde en lugar de una larga cadena actúa un ancho «abanico».

Este material tiene fines educativos.