Heurísticas de agrupamiento y sus límites · Lección 5 de 6
Atribución y etiquetado
9 min de lectura
Un clúster indica que varias direcciones pertenecen al mismo conjunto; una etiqueta indica a quién o a qué pertenecen. Las etiquetas convierten los grafos en hallazgos («los fondos llegaron al exchange K», «la dirección pertenece a un contrato de puente») y también son el punto donde entran en un informe los errores más perjudiciales. Esta lección explica de dónde provienen las etiquetas, cómo asignarles grados y versiones, y cuáles son los límites éticos que mantienen la atribución centrada en servicios y organizaciones, y no en personas privadas.
Qué es una etiqueta
Una etiqueta es una afirmación: que una dirección o un clúster está controlado por una entidad identificada por su nombre, o pertenece a una categoría de actividad. Tiene tres partes:
- Sujeto: una dirección, un contrato o un clúster en una altura de bloque determinada.
- Afirmación: el nombre de una entidad («Exchange K»), una categoría («depósito en exchange», «puente», «mezclador», «explotación», «estafa») o ambas.
- Fundamento: la fuente y las pruebas, la fecha de observación y un grado de confianza.
Mantén separadas las etiquetas de entidad y las de categoría. A menudo puedes tener la certeza de que una dirección es una dirección de depósito de un exchange (reenvía todo a una billetera caliente) sin saber de qué exchange se trata; también puedes saber qué exchange es sin conocer al cliente. Mantén las etiquetas separadas de los clústeres. Una etiqueta asignada a una dirección semilla se propaga a todas las direcciones de su clúster; este proceso se llama herencia de etiquetas, por lo que una etiqueta nunca es más sólida que los vínculos del clúster que la transmitieron.
Fuentes de etiquetas
| Fuente | Ejemplos | Solidez habitual | Aspectos a vigilar |
|---|---|---|---|
| Autodeclaración | Direcciones de reserva publicadas por un exchange; direcciones de contrato documentadas por un protocolo; dirección de donaciones de una organización | Alta para las direcciones incluidas en la lista | Las listas quedan desactualizadas; los suplantadores publican listas falsas |
| Etiquetado de servicios mediante transacción de prueba | Depositar una cantidad pequeña en un servicio y observar la dirección de depósito y el barrido | Alta, de primera mano | Solo abarca las direcciones que utilizaste hasta que el agrupamiento la amplíe |
| Comunicados de autoridades públicas | Acusaciones formales, anuncios de incautaciones, listas de sanciones y avisos que incluyen direcciones | Alta para las direcciones específicas mencionadas | La atribución es de la autoridad; cítala como tal |
| Divulgaciones de víctimas e incidentes | Análisis posteriores a incidentes de protocolos explotados que enumeran direcciones de atacantes | Alta para las direcciones relacionadas con el incidente | Las primeras listas pueden contener errores que se corrijan más adelante |
| OSINT sobre organizaciones | Documentación propia del servicio, cuentas oficiales, foros de gobernanza, código fuente de contratos verificado | Moderada; depende de la verificación | Cuentas suplantadas y páginas copiadas |
| Conjuntos de etiquetas de terceros | Etiquetas públicas de exploradores, conjuntos de datos comunitarios abiertos, datos de proveedores | Variable; a menudo sin explicación | Copias circulares; método y fecha desconocidos |
Las transacciones de prueba son el método de investigación clásico. Meiklejohn et al. (2013, «A Fistful of Bitcoins») realizaron 344 transacciones con exchanges, billeteras, sitios de apuestas y otros servicios, etiquetaron manualmente 1.070 direcciones y, mediante el agrupamiento, pudieron identificar 2.197 clústeres que abarcaban más de 1,8 millones de direcciones. El ejemplo muestra el alcance de la herencia de etiquetas en ambas direcciones: unas pocas observaciones de primera mano pueden etiquetar millones de direcciones, y un solo vínculo erróneo entre clústeres puede etiquetar millones de direcciones de forma incorrecta.
Los comunicados públicos son importantes en casos de gran repercusión. Tras el robo del puente Ronin (2022) y el robo de Bybit (2025), las autoridades atribuyeron públicamente los ataques a un grupo vinculado a un Estado y publicaron las direcciones implicadas. Un analista puede basarse en esos comunicados para las direcciones que mencionan, dejando claro en el informe que la atribución proviene de la autoridad. Cualquier ampliación a otras direcciones debe tratarse como una inferencia propia del analista.
Dos etiquetas de terceros coincidentes no son necesariamente dos fuentes. Los exploradores y los conjuntos de datos se copian unos a otros, así que una etiqueta incorrecta puede aparecer en cinco lugares y tener un solo origen. Esto es información circular; rastrea cada etiqueta hasta su origen antes de contarla como corroboración.
Asignación de grados de confianza
Una escala de calificación sencilla y explícita permite comparar las etiquetas entre analistas:
| Grado | Criterios |
|---|---|
| Confirmado | Pruebas de primera mano (transacción de prueba propia), publicación de la propia entidad o comunicado de una autoridad que menciona la dirección |
| Alto | Coinciden dos indicadores independientes; por ejemplo, un patrón de barrido hacia una billetera caliente autodeclarada |
| Moderado | Un indicador sólido o una etiqueta de terceros de una fuente confiable con un método conocido |
| Bajo | Un único indicador débil o una etiqueta sin explicación; úsala solo como pista, nunca como hallazgo |
En la práctica, importan dos precisiones. Primero, asigna grados por separado al vínculo del clúster y a la etiqueta: una etiqueta confirmada en una dirección semilla, heredada a través de un vínculo de cambio de baja confianza, da como resultado una etiqueta de baja confianza en la dirección que la hereda. Segundo, asigna grados por separado a la entidad y a la categoría, como se explicó antes. La lección Confianza, incertidumbre y lenguaje muestra cómo incorporar estos grados a la redacción de los informes.
La herencia también requiere reglas sobre qué vínculos pueden transmitir una etiqueta. Una política habitual consiste en propagar etiquetas de entidad solo a través de vínculos de alta confianza, normalmente vínculos de entrada común excluyendo CoinJoins, y detener la propagación ante cualquier vínculo que introduzca en el mismo clúster una segunda etiqueta de entidad distinta. Los vínculos de cambio y los vínculos del modelo de cuentas pueden seguir apareciendo en un grafo, pero la etiqueta que transmitirían se marca como inferida y se le asigna un grado menor. Considera un caso práctico: una etiqueta de exchange confirmada corresponde a una billetera caliente; 4.000 direcciones de depósito se unen a ella mediante barridos (entrada común, alta confianza); otra dirección se une mediante un único vínculo de cambio moderado. Las 4.000 direcciones de depósito heredan «Exchange K, alto»; la última dirección hereda como máximo «Exchange K, moderado», y un informe que contabilice sus fondos como fondos del exchange debe indicarlo.
Control de versiones y procedencia
Las etiquetas pierden vigencia. Los exchanges rotan sus billeteras calientes y reasignan direcciones de depósito; los servicios se fusionan, cierran o cambian de manos; los contratos proxy se actualizan a nuevas implementaciones; los nombres de servicios de nombres vencen y se vuelven a registrar; los atacantes trasladan fondos a direcciones nuevas. Una etiqueta sin fecha ni período de validez no puede verificarse ni corregirse. Guarda cada etiqueta como un registro con control de versiones:
{
"label_id": "lbl-000482",
"version": 3,
"subject": {"chain_id": 1, "address": "0xA1b2…9F"},
"entity": "Exchange K",
"category": "exchange_deposit",
"source_type": "test_transaction",
"evidence": ["deposit tx 0x4f3a…c21e", "sweep tx 0x9b7d…e014"],
"observed_at_block": 21000000,
"valid_from": "2024-11-02",
"valid_to": null,
"confidence": "confirmed",
"analyst": "analyst-17",
"supersedes": "lbl-000482-v2"
}El registro identifica su sujeto mediante un identificador de cadena, separa la entidad de la categoría, señala las transacciones que lo justifican e indica cuándo se observó y desde cuándo se aplica. valid_to permanece vacío hasta que las pruebas demuestren que la etiqueta ya no es válida; supersedes conserva el historial, de modo que un informe redactado el año pasado pueda reproducirse con las etiquetas que estaban vigentes entonces. El campo del analista facilita la revisión y la rendición de cuentas sin incluir datos personales en el registro.
Las buenas prácticas de gestión de etiquetas incluyen:
- Reverificar las etiquetas de gran impacto antes de cada informe.
- Alertas de conflictos cuando un clúster adquiere dos etiquetas de entidad incompatibles, a menudo el primer indicio de una fusión falsa (consulta la lección Evaluación de la calidad de los clústeres).
- Retirar en lugar de eliminar, para que los hallazgos anteriores sigan siendo explicables.
Privacidad y ética
La atribución en el análisis de cadenas de bloques se centra en servicios, organizaciones y categorías de actividad: exchanges, puentes, protocolos, mezcladores, contratos de explotación y operaciones de estafa identificadas por autoridades o víctimas. No es una técnica para identificar a personas privadas, y los analistas deben respetar ese límite incluso cuando los datos parezcan invitar a cruzarlo.
- Etiqueta entidades, no personas. Una dirección que parezca pertenecer a una persona privada se etiqueta por categoría («billetera privada sin atribuir») o se deja sin etiquetar.
- No combines fuentes para desenmascarar a una persona. Combinar patrones en cadena con indicios de fuentes abiertas para identificar a una persona privada crea precisamente el perfil contra el que advierten las prácticas de protección de datos; una coincidencia errónea puede exponer a una persona inocente al acoso o a algo peor.
- La identidad se obtiene mediante un proceso legal. Cuando un caso realmente requiera saber quién controla una cuenta, la vía es una solicitud de una autoridad competente al servicio que conserva los registros de clientes, no una inferencia pública.
- Trata las afirmaciones personales como pistas. Un registro de un servicio de nombres o un perfil que parezca contener el nombre de una persona puede ser auténtico, suplantado o revendido. No debe incluirse en documentos compartidos, salvo que el lector necesite esa información para actuar y la reciba por un canal restringido.
- Publica solo lo que otros ya hayan hecho público o lo que el lector necesite. Las direcciones publicadas por autoridades, tribunales o la organización víctima, así como los nombres de servicios, suelen ser aceptables en un informe; no lo son los vínculos inferidos con personas.
La lección Protección de datos, ética y divulgación responsable trata en detalle la minimización de datos, la supresión de información y los canales de divulgación.
Enfoque del examen: la etiqueta como afirmación con sujeto, afirmación y fundamento; etiquetas de entidad frente a etiquetas de categoría; herencia de etiquetas a través de clústeres y por qué una etiqueta no es más sólida que los vínculos que la transmiten; las principales fuentes de etiquetas (autodeclaraciones, transacciones de prueba, comunicados de autoridades, divulgaciones de víctimas, OSINT sobre organizaciones y conjuntos de terceros) y sus debilidades; información circular; una escala de grados de confianza y la asignación de grados al vínculo y a la etiqueta por separado; por qué las etiquetas pierden vigencia y cómo los registros con control de versiones, períodos de validez y pruebas permiten reproducir los hallazgos; atribución centrada en servicios y organizaciones, nunca en exponer a personas privadas, cuya identidad solo se obtiene mediante un proceso legal.