Monitoreo de transacciones y clasificación de alertas · Lección 2 de 5
Análisis de blockchain para el cumplimiento normativo
9 min de lectura
El análisis de blockchain es lo que hace que el monitoreo de criptomonedas sea diferente del monitoreo bancario: el equipo de cumplimiento puede ver de dónde provinieron los fondos de un cliente y adónde fueron, mucho más allá de la contraparte inmediata. Pero el resultado de una herramienta de análisis es una inferencia, no un hecho. Un profesional de cumplimiento debe saber en qué se basa una puntuación de riesgo, cómo se mide la exposición y dónde fallan las herramientas, porque toda decisión de retener, salir de una relación o informar se basa en ese criterio.
De las direcciones a las entidades
Las blockchains públicas registran direcciones y transferencias, no nombres. Los proveedores de análisis convierten estos datos en algo útil en dos pasos:
- Agrupación reúne direcciones que se cree que controla la misma entidad, usando heurísticas como la propiedad de entradas comunes en cadenas UTXO y la reutilización de direcciones de depósito en cadenas basadas en cuentas.
- Atribución asigna una etiqueta del mundo real a un grupo, a partir de fuentes como las transacciones de prueba del propio proveedor con servicios, las direcciones publicadas por los propios servicios, la investigación de fuentes abiertas y las publicaciones públicas de las fuerzas del orden o de sanciones.
Ambos pasos producen hipótesis con márgenes de error. El curso IDFE-BA explica cómo funcionan y cómo ponerlos a prueba (consulta las lecciones Qué es la agrupación y por qué importa, Atribución y etiquetado y Evaluación de la calidad de los grupos). Para fines de cumplimiento, bastan tres puntos: un grupo puede fusionar por error dos entidades, una etiqueta puede ser incorrecta o estar desactualizada, y un grupo que pertenece a un servicio de custodia indica quién controla las claves, no quiénes son los clientes del servicio.
Categorías de riesgo
Los proveedores asignan las entidades etiquetadas a categorías de riesgo. Los nombres varían, pero la mayoría de las taxonomías incluyen las siguientes, y cada empresa debe asignarles un nivel según su propio apetito de riesgo:
| Grupo de categorías | Ejemplos | Tratamiento habitual |
|---|---|---|
| Grave | Entidades sancionadas, financiamiento del terrorismo, material de abuso sexual infantil, ransomware, fondos robados | Bloquear o retener antes de la transacción; escalar; considerar informar |
| Alto | Mercados de la darknet, estafas y fraudes, mixers, apuestas ilícitas | Generar una alerta por encima de un umbral de exposición bajo; investigar |
| Elevado | exchange de alto riesgo o sin licencia, plataformas P2P con controles deficientes, servicios centrados en la privacidad | Generar una alerta por encima de un umbral más alto o según el patrón |
| Estándar | exchange regulados, procesadores de pagos, servicios para comerciantes, protocolos DeFi | Por lo general, la exposición por sí sola no genera una alerta |
| Desconocido | Grupos sin atribución | No se considera de bajo riesgo por defecto; el contexto es lo que determina el riesgo |
«Desconocido» merece atención. La mayoría de las direcciones del mundo no tienen atribución, por lo que tratar lo desconocido como limpio ocultaría la mayor parte del riesgo; tratarlo como de alto riesgo marcaría casi todo. Por lo general, las empresas solo consideran la exposición desconocida junto con otras señales.
Las categorías relacionadas con sanciones y el tratamiento de direcciones designadas se abordan en la lección Detección de wallets y transacciones; esta lección trata sobre el análisis como elemento de entrada para el monitoreo.
Exposición directa e indirecta
La exposición directa significa que la contraparte de la transferencia en sí pertenece a una categoría de riesgo: el depósito del cliente llegó directamente de un grupo de la darknet, o un retiro fue directamente a un mixer. La exposición indirecta significa que la fuente o el destino de riesgo está a uno o más saltos, con direcciones sin atribución u otras direcciones en medio.
La exposición indirecta debe medirse, y el resultado depende del método de rastreo (proporcional o «haircut», primero en entrar, primero en salir y otros, explicados en la lección IDFE-BA Rastreo de fondos hacia adelante y hacia atrás) y del límite de saltos. Más saltos significan mayor cobertura y más ruido: casi todas las monedas están a unos pocos saltos de algo desagradable.
Un ejemplo práctico. Un cliente deposita 2,00 BTC desde una dirección sin atribución. Al rastrear hacia atrás con un método proporcional y un límite de cinco saltos, la herramienta atribuye 1,40 BTC (70 %) a un exchange regulado a un salto, 0,30 BTC (15 %) a un mercado de la darknet a dos saltos y 0,30 BTC (15 %) a fuentes sin atribución más allá del límite. El analista ahora pregunta:
- ¿El 15 % a dos saltos supera el umbral de la empresa para esta categoría y segmento?
- ¿Los fondos pasaron por un servicio intermedio (un exchange que interrumpió el rastro) o solo por direcciones no alojadas?
- ¿Qué antigüedad tiene la etiqueta de la darknet y de dónde proviene?
Una muestra del registro que un sistema de monitoreo podría almacenar para ese depósito:
{
"txid": "4f3a…c21e",
"direction": "IN",
"asset": "BTC",
"amount": "2.00000000",
"customer_id": "C-10482",
"counterparty": { "cluster_id": "cl-88…1d", "entity": null, "category": "unknown" },
"exposure": [
{ "category": "exchange", "type": "indirect", "hops": 1, "share": 0.70 },
{ "category": "darknet_market", "type": "indirect", "hops": 2, "share": 0.15,
"label_source": "public law-enforcement release", "label_date": "2025-11-03" },
{ "category": "unknown", "type": "beyond_limit", "share": 0.15 }
],
"method": { "tracing": "proportional", "max_hops": 5 },
"dataset_version": "2026-10-20",
"risk_score": 62
}El registro conserva los datos de entrada que sustentan la puntuación, no solo la puntuación: cada línea de exposición tiene su categoría, tipo, distancia en saltos y proporción, y la etiqueta de riesgo conserva su fuente y fecha. También almacena el método de rastreo, el límite de saltos y la versión del conjunto de datos, para que un revisor pueda reproducir posteriormente el motivo por el que se activó la alerta, incluso después de que el proveedor haya actualizado sus etiquetas.
Porcentajes de exposición de la contraparte
La misma técnica, aplicada a un grupo completo, proporciona un perfil de exposición de la contraparte: qué proporción de todo lo que recibió (o envió) una contraparte provino de cada categoría de riesgo. Se usa en dos ámbitos:
- Debida diligencia de la VASP contraparte. Si el 4 % de los fondos recibidos por un exchange extranjero durante el último año se rastrea directamente hasta estafas y mixers, frente a bastante menos del 1 % en exchange comparables, eso es evidencia sobre sus controles (consulta la lección Identificación y evaluación de la contraparte).
- Detección de servicios anidados. Un «cliente» cuyos depósitos muestran el perfil de entradas de un exchange pequeño (muchos remitentes no relacionados, cantidades pequeñas frecuentes, transferencias periódicas del saldo a otras direcciones) podría estar operando un servicio a través de la cuenta de la empresa.
Los porcentajes necesitan contexto. Un exchange grande siempre mostrará cierto flujo ilícito en términos absolutos; las comparaciones útiles son con sus pares, con el historial de la propia contraparte y en la dirección que importa (la exposición de entrada muestra qué acepta un servicio; la exposición de salida muestra adónde va el dinero de sus clientes).
Limitaciones
Los resultados del análisis tienen modos de falla conocidos, y un programa debe diseñarse en torno a ellos, en lugar de suponer que no existen.
| Limitación | Qué ocurre | Consecuencia |
|---|---|---|
| Atribución falsa | La fusión de grupos o una etiqueta incorrecta marca como ilícita una dirección inocente | Falsos positivos, salidas injustificadas, informes deficientes |
| Falta de atribución | Un servicio delictivo aún no tiene una etiqueta | Falsos negativos; los fondos pasan como «desconocidos» |
| Etiquetas desactualizadas | Persiste la etiqueta de un servicio incautado o de una dirección reutilizada, o no hay una etiqueta para un servicio nuevo | Puntuaciones incorrectas en ambas direcciones |
| Desacuerdo entre proveedores | Dos proveedores asignan etiquetas diferentes al mismo grupo o miden la exposición de manera distinta | Decisiones incoherentes entre empresas |
| Brechas de cobertura | Algunas cadenas, tokens, soluciones de capa 2 o puentes tienen poco soporte | Los fondos desaparecen de la vista en un puente o en una cadena nueva |
| Opacidad de custodia | Las wallets ómnibus ocultan qué cliente de un servicio envió los fondos | Exposición a un servicio, no a una persona |
| Sensibilidad al método | El límite de saltos y el método de rastreo modifican el porcentaje | Los umbrales solo tienen sentido junto con el método |
Las monedas de privacidad, los mixers y los intercambios entre cadenas también dificultan el rastreo. Su presencia constituye por sí misma una señal de riesgo según los Indicadores de alerta roja del GAFI (consulta la lección Señales de alerta y tipologías), pero también significa que las cifras de exposición son menos completas.
Validación de los resultados del análisis
Como la empresa, y no su proveedor, es responsable de sus decisiones, debe poner a prueba lo que compra y registrar en qué se basó.
- Conocer el método. Obtener documentación sobre el enfoque de agrupación del proveedor, las fuentes de las etiquetas, su clasificación, el método de rastreo y la frecuencia de actualización.
- Probar con casos conocidos. Ejecutar las direcciones de depósito y retiro propias de la empresa, las direcciones de VASP contraparte confirmadas mediante intercambios de Travel Rule y las direcciones de publicaciones públicas de las fuerzas del orden, y comprobar cómo se clasifican.
- Revisar alertas por muestreo de forma manual. Para una muestra de alertas, un analista rastrea el flujo de forma independiente y comprueba si la exposición indicada es plausible.
- Comparar fuentes. Cuando exista un segundo proveedor o un conjunto de datos interno, medir las discrepancias en una muestra e investigar las diferencias importantes.
- Registrar versiones. Almacenar la versión del conjunto de datos, el método y las fechas de las etiquetas junto con cada decisión, para poder explicarla posteriormente.
- Enviar comentarios. Informar al proveedor de las etiquetas incorrectas detectadas durante las investigaciones y hacer seguimiento para comprobar si se corrigen.
Los resultados de la validación forman parte de la gobernanza del modelo (consulta la lección Ajustes, métricas y gobernanza del modelo) y de los criterios de selección que se abordan en la lección El conjunto de tecnologías de cumplimiento.
Enfoque del examen: la agrupación y la atribución como hipótesis, y los grupos de custodia como representación del servicio en lugar de sus clientes; las categorías de riesgo habituales y por qué «desconocido» no significa bajo riesgo; la exposición directa e indirecta y cómo los límites de saltos y los métodos de rastreo modifican el resultado; el cálculo de una proporción de exposición a partir de un ejemplo de rastreo; los perfiles de exposición de la contraparte para la debida diligencia de VASP y la detección de servicios anidados; las principales limitaciones (atribución falsa y faltante, etiquetas desactualizadas, desacuerdo entre proveedores, brechas de cobertura); los pasos de validación y el registro del método y la versión del conjunto de datos junto con cada decisión.