Monitoreo de transacciones y clasificación de alertas · Lección 2 de 5
Analítica de blockchain para el cumplimiento normativo
9 min de lectura
La analítica de blockchain es lo que diferencia el monitoreo de criptoactivos del monitoreo bancario: el equipo de cumplimiento puede ver de dónde proceden los fondos de un cliente y adónde fueron, mucho más allá de la contraparte inmediata. Pero el resultado de una herramienta de analítica es una inferencia, no un hecho. Un profesional de cumplimiento debe saber en qué se basa una puntuación de riesgo, cómo se mide la exposición y dónde fallan las herramientas, porque cada decisión de retener fondos, poner fin a una relación comercial o presentar un reporte depende de ese criterio.
De las direcciones a las entidades
Las blockchains públicas registran direcciones y transferencias, no nombres. Los proveedores de analítica convierten estos datos en información utilizable mediante dos pasos:
- Agrupación: reúne las direcciones que se cree que están controladas por la misma entidad, mediante heurísticas como la de propiedad común de las entradas para las cadenas UTXO y la reutilización de direcciones de depósito para las cadenas basadas en cuentas.
- Atribución: asigna una etiqueta del mundo real a un grupo de direcciones, a partir de fuentes como las transacciones de prueba que el propio proveedor realiza con servicios, las direcciones publicadas por sus propios titulares, la investigación en fuentes abiertas y las publicaciones oficiales sobre sanciones o de las autoridades encargadas de hacer cumplir la ley.
Ambos pasos producen hipótesis con tasas de error. El curso IDFE-CF explica cómo funcionan y cómo comprobarlas (véanse las lecciones Agrupación y heurística de propiedad común de las entradas, De la dirección a la entidad y a la persona: atribución y etiquetado y Evaluación de la calidad de los grupos de direcciones). A efectos de cumplimiento, bastan tres puntos: un grupo de direcciones puede fusionar erróneamente dos entidades, una etiqueta puede ser incorrecta o estar desactualizada, y un grupo de direcciones perteneciente a un servicio de custodia indica quién controla las claves, no quiénes son los clientes del servicio.
Categorías de riesgo
Los proveedores asignan las entidades etiquetadas a categorías de riesgo. Los nombres varían, pero la mayoría de las taxonomías incluyen las siguientes, y cada empresa debe adaptarlas a su propio apetito de riesgo:
| Grupo de categorías | Ejemplos | Tratamiento habitual |
|---|---|---|
| Severo | Entidades sancionadas, financiación del terrorismo, material de abuso sexual infantil, ransomware, fondos robados | Bloquear o retener antes de la transacción; escalar; considerar la presentación de un reporte |
| Alto | Mercados de la darknet, estafas y tiendas de productos para el fraude, mezcladores, juegos de azar ilícitos | Generar una alerta al superar un umbral de exposición bajo; investigar |
| Elevado | Exchanges de alto riesgo o sin licencia, plataformas P2P con controles débiles, servicios centrados en la privacidad | Generar una alerta al superar un umbral más alto o por un patrón |
| Estándar | Exchanges regulados, procesadores de pagos, servicios para comercios, protocolos DeFi | Generalmente no se genera una alerta solo por la exposición |
| Desconocido | Grupos de direcciones sin atribución | No es de bajo riesgo por defecto; el contexto determina el riesgo |
La categoría "desconocido" merece atención. La mayoría de las direcciones del mundo carecen de atribución, por lo que tratar lo desconocido como limpio ocultaría la mayor parte del riesgo; tratarlo como de alto riesgo señalaría prácticamente todo. Las empresas suelen tener en cuenta la exposición desconocida solo en combinación con otras señales.
Las categorías relacionadas con sanciones y el tratamiento de las direcciones designadas se abordan en la lección Verificación de billeteras y transacciones; esta lección trata sobre la analítica como fuente de información para el monitoreo.
Exposición directa e indirecta
La exposición directa significa que la contraparte de la propia transferencia pertenece a una categoría de riesgo: el depósito del cliente procede directamente de un grupo de direcciones de un mercado de la darknet, o un retiro se dirige directamente a un mezclador. La exposición indirecta significa que el origen o destino de riesgo se encuentra a uno o más saltos de distancia, con direcciones sin atribución o de otro tipo entre ambos.
La exposición indirecta debe medirse, y el resultado depende del método de rastreo (proporcional o "haircut", primero en entrar, primero en salir y otros, explicados en la lección de IDFE-CF Métodos de rastreo y sus consecuencias) y del límite de saltos. Más saltos implican más cobertura y más ruido: casi todas las monedas están a unos pocos saltos de algo problemático.
Un ejemplo desarrollado. Un cliente deposita 2,00 BTC desde una dirección sin atribución. Al rastrear hacia atrás con un método proporcional y un límite de cinco saltos, la herramienta atribuye 1,40 BTC (70%) a un exchange regulado a un salto de distancia, 0,30 BTC (15%) a un mercado de la darknet a dos saltos de distancia y 0,30 BTC (15%) a fuentes sin atribución más allá del límite. El analista se plantea entonces:
- ¿Un 15% a dos saltos supera el umbral de la empresa para esta categoría y segmento?
- ¿Los fondos pasaron por un servicio intermedio (un exchange que interrumpió el rastro) o solo por direcciones sin custodia?
- ¿Qué antigüedad tiene la etiqueta de la darknet y de dónde procede?
Un ejemplo del registro que un sistema de monitoreo podría almacenar para ese depósito:
{
"txid": "4f3a…c21e",
"direction": "IN",
"asset": "BTC",
"amount": "2.00000000",
"customer_id": "C-10482",
"counterparty": { "cluster_id": "cl-88…1d", "entity": null, "category": "unknown" },
"exposure": [
{ "category": "exchange", "type": "indirect", "hops": 1, "share": 0.70 },
{ "category": "darknet_market", "type": "indirect", "hops": 2, "share": 0.15,
"label_source": "public law-enforcement release", "label_date": "2025-11-03" },
{ "category": "unknown", "type": "beyond_limit", "share": 0.15 }
],
"method": { "tracing": "proportional", "max_hops": 5 },
"dataset_version": "2026-10-20",
"risk_score": 62
}El registro conserva los datos en los que se basa la puntuación, no solo la puntuación: cada línea de exposición tiene su categoría, tipo, distancia en saltos y proporción, y la etiqueta de riesgo conserva su fuente y fecha. También almacena el método de rastreo, el límite de saltos y la versión del conjunto de datos, de modo que un revisor pueda reproducir posteriormente por qué se activó la alerta, incluso después de que el proveedor haya actualizado sus etiquetas.
Porcentajes de exposición de la contraparte
La misma técnica aplicada a un grupo completo de direcciones genera un perfil de exposición de la contraparte: qué proporción de todo lo que una contraparte recibió (o envió) procedía de cada categoría de riesgo. Se utiliza en dos ámbitos:
- Debida diligencia del VASP de contraparte. Si el 4% de los fondos recibidos por un exchange extranjero durante el último año se puede rastrear directamente hasta estafas y mezcladores, frente a un porcentaje muy inferior al 1% en exchanges comparables, esto aporta evidencia sobre sus controles (véase la lección Identificación y evaluación de la contraparte).
- Detección de servicios anidados. Un "cliente" cuyos depósitos muestran el perfil de entradas de un exchange pequeño (muchos remitentes sin relación entre sí, importes pequeños frecuentes y transferencias de barrido hacia otras direcciones) puede estar operando un servicio a través de la cuenta de la empresa.
Los porcentajes necesitan contexto. Un exchange grande siempre mostrará algunas entradas ilícitas en términos absolutos; las comparaciones útiles son con entidades similares, con el historial de la propia contraparte y en la dirección pertinente (la exposición de los fondos recibidos muestra lo que acepta un servicio; la exposición de los fondos enviados muestra adónde va el dinero de sus clientes).
Limitaciones
Los resultados de la analítica tienen modos de fallo conocidos, y un programa debe diseñarse teniendo estos en cuenta, en lugar de dar por hecho que no existen.
| Limitación | Qué ocurre | Consecuencia |
|---|---|---|
| Atribución falsa | La fusión de grupos de direcciones o una etiqueta incorrecta marca como ilícita una dirección inocente | Falsos positivos, finalizaciones injustificadas de relaciones comerciales, reportes deficientes |
| Falta de atribución | Un servicio delictivo aún no está etiquetado | Falsos negativos; los fondos pasan como "desconocidos" |
| Etiquetas desactualizadas | Persiste la etiqueta de un servicio intervenido o de una dirección reutilizada, o un servicio nuevo carece de etiqueta | Puntuaciones incorrectas en ambos sentidos |
| Discrepancias entre proveedores | Dos proveedores etiquetan de forma distinta el mismo grupo de direcciones o miden la exposición de manera diferente | Decisiones inconsistentes entre empresas |
| Brechas de cobertura | Algunas cadenas, tokens, capas 2 o puentes cuentan con un soporte deficiente | Los fondos desaparecen de la vista en un puente o en una cadena nueva |
| Opacidad de la custodia | Las billeteras ómnibus ocultan qué cliente de un servicio envió los fondos | Exposición a un servicio, no a una persona |
| Sensibilidad al método | El límite de saltos y el método de rastreo modifican el porcentaje | Los umbrales solo tienen sentido si se consideran junto con el método |
Las monedas de privacidad, los mezcladores y los intercambios entre cadenas también dificultan el rastreo. Su presencia constituye en sí misma una señal de riesgo según los indicadores de alerta del GAFI (véase la lección Señales de alerta y tipologías), pero también implica que las cifras de exposición son menos completas.
Validación de los resultados de la analítica
Dado que la empresa, y no su proveedor, es responsable de sus decisiones, debe poner a prueba lo que adquiere y registrar en qué se basó.
- Conocer el método. Obtener documentación sobre el enfoque de agrupación del proveedor, las fuentes de las etiquetas, la clasificación de las etiquetas, el método de rastreo y la frecuencia de actualización.
- Probar con casos conocidos. Analizar las direcciones de depósito y retiro de la propia empresa, las direcciones de los VASP de contraparte confirmadas mediante intercambios de información de la Travel Rule y las direcciones de publicaciones oficiales de las autoridades encargadas de hacer cumplir la ley, y comprobar cómo se clasifican.
- Revisar manualmente una muestra de alertas. Para una muestra de alertas, un analista rastrea el flujo de forma independiente y comprueba si la exposición indicada es plausible.
- Comparar fuentes. Cuando se disponga de un segundo proveedor o de un conjunto de datos interno, medir las discrepancias en una muestra e investigar las diferencias importantes.
- Registrar las versiones. Almacenar la versión del conjunto de datos, el método y las fechas de las etiquetas con cada decisión, para poder explicarla posteriormente.
- Proporcionar retroalimentación. Informar al proveedor de las etiquetas incorrectas detectadas durante las investigaciones y hacer un seguimiento para comprobar si se corrigen.
Los resultados de la validación deben incorporarse a la gobernanza de modelos (véase la lección Ajuste, métricas y gobernanza de modelos) y a los criterios de selección tratados en la lección La arquitectura tecnológica de cumplimiento.
Enfoque del examen: la agrupación y la atribución como hipótesis, y los grupos de direcciones de custodia como representación del servicio y no de sus clientes; las categorías de riesgo habituales y por qué "desconocido" no significa bajo riesgo; la exposición directa frente a la indirecta y cómo los límites de saltos y los métodos de rastreo modifican el resultado; el cálculo de una proporción de exposición a partir de un ejemplo de rastreo desarrollado; los perfiles de exposición de la contraparte para la debida diligencia de los VASP y la detección de servicios anidados; las principales limitaciones (atribución falsa y falta de atribución, etiquetas desactualizadas, discrepancias entre proveedores, brechas de cobertura); los pasos de validación y el registro del método y de la versión del conjunto de datos con cada decisión.