Seguir el valor a través de exchanges y servicios

Tarde o temprano, casi todos los rastros llegan a un exchange, un bróker, un procesador de pagos u otro servicio de custodia. A menudo, este es el punto más valioso de una investigación, porque los servicios conocen a sus clientes y pueden congelar fondos, pero también es el punto donde se detiene el rastreo en cadena. Los analistas deben reconocer cómo se ven los servicios en la cadena, indicar con precisión qué muestra y qué no muestra la cadena a partir de ese punto y preparar los hallazgos para que se puedan solicitar registros fuera de la cadena por los canales adecuados.

Cómo se ve un servicio de custodia en la cadena

La mayoría de los exchanges centralizados siguen una arquitectura similar:

• Direcciones de depósito: cada cliente recibe una o más direcciones que pertenecen al exchange, pero se asignan a la cuenta de ese cliente. Los fondos enviados allí se acreditan al cliente en el libro mayor interno del exchange.
• Barridos: el exchange mueve periódicamente fondos desde muchas direcciones de depósito hacia una cartera caliente central. En las cadenas UTXO, esto es una transacción grande de convergencia; en Ethereum, es una serie de transferencias desde cada dirección de depósito al mismo destino, a menudo después de que el exchange envía un poco de ETH para pagar el gas.
• Almacenamiento en frío: la mayoría de las reservas se trasladan de la cartera caliente a carteras fuera de línea o multifirma, y vuelven cuando hace falta.
• Retiros: los retiros de los clientes se pagan desde la cartera caliente y, con frecuencia, se agrupan en una sola transacción con muchas salidas.

Algunos servicios usan, en cambio, direcciones de depósito ómnibus: una dirección recibe fondos de todos los clientes, y el cliente se identifica mediante una etiqueta o nota incluida en la transacción, como la etiqueta de destino en XRP Ledger o el campo de nota en Stellar. En este caso, la dirección por sí sola solo identifica al servicio; el cliente se identifica mediante la etiqueta, y un depósito enviado sin ella suele requerir que el servicio lo recupere manualmente.

Una secuencia ficticia de Ethereum muestra el patrón de depósito y barrido:

bloque     desde         hacia         importe (ETH)  nota
21004112   0xF00d…11  →  0x7c3E…a2     2.5000        depósito desde la cartera bajo investigación
21004140   0x9aB4…07  →  0x7c3E…a2     0.7500        segundo remitente, misma dirección de depósito
21004233   0x7c3E…a2  →  0xE1f9…44     3.2489        barrido a la cartera caliente (3.25 menos el gas)
21004990   0xE1f9…44  →  0x51e0…3b     3.1000        retiro de algún cliente

Las tres primeras filas son evidencia sólida: 0x7c3E…a2 reenvía todo a 0xE1f9…44, que está etiquetada como la cartera caliente del exchange, por lo que es muy probable que 0x7c3E…a2 sea una dirección de depósito de ese exchange, asignada a una cuenta. El segundo remitente también es interesante: dos carteras distintas que pagan a una misma dirección de depósito sugieren que ambas están conectadas con el mismo cliente (consulta la lección Heurísticas del modelo de cuentas). La cuarta fila no se puede vincular en absoluto con el depósito.

Por qué se detiene el rastreo en cadena

Una vez que se barren los fondos, se unen a un fondo común que pertenece al servicio y contiene el dinero de miles de clientes. El saldo del cliente pasa a ser una entrada en una base de datos privada. Un retiro posterior del mismo cliente se paga con las monedas que haya en ese momento en la cartera caliente, que pueden proceder del depósito de cualquier persona.

Por lo tanto, los datos en cadena no respaldan dos afirmaciones que aparecen a menudo en informes deficientes:

• «Los fondos robados se retiraron del exchange a la dirección Z». La cadena no puede mostrar qué retiro corresponde a qué depósito.
• «La dirección Z pertenece a la misma persona porque recibió el mismo importe una hora después». La similitud de importe y hora es una hipótesis que se debe comprobar, no un vínculo; los exchanges con mucha actividad procesan muchos retiros de importes similares cada hora.

Aplicar FIFO o un recorte porcentual a través de una cartera caliente (consulta la lección Rastrear fondos hacia adelante y hacia atrás) produce cifras, pero estas describen la regla, no los registros del servicio. La mayoría de los analistas consideran que un servicio etiquetado es un punto de detención y escriben «depositado en» en lugar de «pasó por».

No todos los servicios ponen fin al rastro, y conviene clasificarlos antes de empezar:

Las filas no custodiales describen mecanismos, no contrapartes, y el rastreo a través de ellos se aborda en las lecciones Mezcladores, CoinJoin y ofuscación en los grafos y Rastreo entre cadenas.

Qué puedes establecer todavía

El límite del servicio no es un callejón sin salida, sino un punto de transferencia. A partir de la cadena, todavía puedes establecer:

• Qué servicio recibió los fondos, junto con la base de la atribución (consulta la lección Atribución y etiquetado).
• La dirección de depósito, que en la mayoría de los diseños de exchange corresponde a una cuenta de cliente, o la dirección ómnibus junto con la etiqueta.
• Los depósitos exactos: txid, altura del bloque, hora UTC, activo, importe y ruta desde el origen, con el número de saltos y el método de asignación.
• Otros depósitos a la misma dirección, que pueden revelar más actividad del sujeto u otras víctimas.
• Servicios anidados: un servicio más pequeño, como un bróker o una mesa de intercambio, que mantiene una cuenta en un exchange grande. Los fondos que llegan desde la dirección de depósito del servicio anidado pertenecen a los clientes de ese servicio, no al propio servicio; por eso, una solicitud al exchange grande identifica al intermediario y se necesita una segunda solicitud.

Un caso público: Bitfinex, 2016

El hackeo del exchange Bitfinex en 2016 muestra en la práctica el punto de transferencia. Según el Departamento de Justicia de EE. UU., el atacante realizó más de 2.000 transacciones no autorizadas que enviaron 119.754 BTC a una sola cartera. Durante unos cinco años, aproximadamente 25.000 BTC salieron de esa cartera mediante un complejo proceso de lavado: cuentas abiertas con identidades falsas en exchanges y mercados de la darknet, transacciones automatizadas, conversión a otros activos, incluidas monedas de privacidad («salto entre cadenas») y servicios de mezcla. Los analistas informaron que el mercado de la darknet AlphaBay se usó como mezclador improvisado, al depositar bitcoin robado y retirar importes equivalentes.

Cada servicio de custodia interrumpió el rastro en cadena y también fue una fuente de registros. Los investigadores siguieron parte de los fondos hasta un servicio que vendía tarjetas de regalo a cambio de criptomonedas; los registros del lugar donde se canjeó una tarjeta señalaron a los acusados, y luego las órdenes de registro permitieron obtener archivos almacenados en la nube que contenían las claves privadas de la cartera. Más de 94.000 BTC seguían en la cartera original y fueron incautados en febrero de 2022. La lección para los analistas: el rastreo en cadena encontró los puntos de conexión con los servicios, y los registros fuera de la cadena cerraron las brechas entre ellos.

Solicitar registros fuera de la cadena

Quién puede obtener registros de clientes y cómo hacerlo depende de la jurisdicción, por lo que este curso describe el proceso solo de forma genérica. En la mayoría de los sistemas, la solicitud la presenta una autoridad competente (policía, fiscalía, unidad de inteligencia financiera o tribunal), o una víctima mediante un procedimiento civil. Los exchanges también colaboran entre sí mediante sus equipos de cumplimiento y publican canales para las solicitudes de las autoridades. Pasos habituales:

La rapidez importa: los fondos de una cartera caliente pueden retirarse en cuestión de minutos. Tras el robo de Bybit de 2025, el FBI publicó docenas de direcciones vinculadas al lavado y pidió a exchanges, puentes y otros servicios que bloquearan las transacciones derivadas de ellas.

El paquete que prepare un analista para una solicitud de este tipo debe incluir el nombre del servicio y la base de la atribución, las direcciones de depósito y las etiquetas, una tabla de txid de depósitos con alturas de bloque, horas UTC e importes, un diagrama de la ruta desde el origen, el método de rastreo y sus límites, y una declaración del nivel de confianza. Debe ser preciso y breve; el equipo de cumplimiento del destinatario buscará por dirección y txid, no por el relato.

Enfoque del examen: la arquitectura en cadena de un exchange de custodia (direcciones de depósito, barridos, carteras calientes y frías, retiros agrupados) y las direcciones ómnibus con etiquetas o notas; por qué el rastreo se detiene en un servicio y por qué no se pueden establecer en la cadena los vínculos entre depósitos y retiros; qué permite establecer la dirección de depósito; los servicios anidados y por qué requieren una segunda solicitud; el caso de Bitfinex de 2016 como ejemplo de interrupciones de custodia que se conectaron mediante registros fuera de la cadena; los pasos genéricos de preservación, congelamiento, entrega y cooperación internacional; qué debe contener el paquete de solicitud de un analista.