CoinJoin

Las transacciones CoinJoin son el punto donde el rastreo suele convertirse en una discusión. La fiscalía quiere saber si los fondos «pasaron por» una mezcla y llegaron a un exchange; los peritos de la defensa saben que los métodos de desmezcla publicados no tienen una tasa de error validada para los diseños modernos. Esta lección se basa en las estructuras descritas en la lección IDFE-BA Mezcladores, CoinJoin y ofuscación en grafos y te enseña a separar lo que demuestra la cadena, lo que sugiere una heurística y lo que solo puede mostrar una cartera o un registro.

Dos afirmaciones distintas: detección y desmezcla

Es fácil confundir dos preguntas que tienen perfiles de error muy diferentes.

La detección pregunta: ¿esta transacción es un CoinJoin y de qué diseño? Se basa en la estructura (grupos de salidas iguales, cantidades de entradas y salidas, denominaciones del pool, patrones de comisiones) y puede validarse frente a datos de referencia. Stütz y sus colegas (2022) entrenaron un clasificador con 28.890 transacciones proporcionadas por un coordinador de Wasabi e informaron una precisión del 99,98 % con una tasa de falsos positivos del 0,0114 %; una regla de umbral más sencilla alcanzó una precisión del 99,31 % sin falsos positivos y una tasa de falsos negativos del 1,38 %. Para Whirlpool, recorrieron las mezclas desde sus primeras transacciones y las contrastaron con un conjunto de datos independiente. Entre julio de 2018 y febrero de 2022 identificaron 30.251 transacciones de Wasabi y 223.597 de Whirlpool.

La desmezcla pregunta: ¿qué salida corresponde a qué entrada? Esta es una afirmación de control sobre personas, y ningún estudio publicado ofrece una tasa de error validada en condiciones reales para vincular una salida CoinJoin moderna con una entrada específica. Los hallazgos de detección pueden expresarse como hechos con una tasa de error citada. Los hallazgos de desmezcla son vínculos heurísticos o inferencias y deben calificarse en consecuencia (consulta la lección Rastreo con un estándar probatorio).

Quién conoce la correspondencia

El diseño determina quién, si alguien, tiene la correspondencia entre entradas y salidas. Eso determina de dónde pueden provenir las pruebas. Las fechas importan: el coordinador de Samourai quedó fuera de línea tras el arresto de sus fundadores en abril de 2024, y la empresa que operaba el coordinador predeterminado de Wasabi dejó de hacerlo el 1 de junio de 2024, mientras otros coordinadores continuaron operando.

La conclusión práctica: las pruebas de desmezcla más fiables no son una heurística, sino una cartera. La cartera de un participante registra cuáles salidas son suyas, a menudo con etiquetas e historiales completos de monedas. Bajo autoridad legal, los archivos de cartera, las copias de seguridad y los datos sincronizados de un dispositivo incautado pueden aclarar cada CoinJoin en el que participó la persona investigada (consulta las lecciones Carteras en dispositivos incautados y Recuperación de carteras bajo autoridad legal). La cartera de un tomador de JoinMarket permite resolver la transacción completa. En cambio, un coordinador incautado puede tener registros de rondas, horas de registro y datos de red, pero, por diseño, no debería tener la correspondencia; verifica qué contiene realmente antes de prometer nada.

Comportamiento posterior a la mezcla y cambio tóxico

Los usuarios y su software filtran vínculos después de la mezcla. Estos son los patrones en los que se basan las investigaciones publicadas y el trabajo de casos:

• Cambio tóxico: el remanente no mezclado (en Whirlpool, el cambio de tx0; en otros diseños, las salidas de cambio dentro del CoinJoin). Está vinculado de forma determinista a las monedas del usuario anteriores a la mezcla. Si luego se gasta junto con salidas posteriores a la mezcla, la heurística de entrada común vincula esas salidas con la misma cartera.
• Consolidación: varias salidas posteriores a la mezcla se gastan juntas, lo que vuelve a vincularlas con un mismo controlador y a menudo recrea el importe original.
• Patrones de financiación anteriores a la mezcla: Stütz y sus colegas describen un patrón «estrella», en el que una entidad financia varias entradas CoinJoin, y un patrón «recolector», en el que varias salidas posteriores a la mezcla llegan a una cartera.
• Cálculo aritmético de importes: salidas posteriores a la mezcla que suman, después de las comisiones, el importe anterior a la mezcla y llegan juntas a un servicio.
• Correspondencia de valores arbitrarios: cuando los importes no son iguales, la correspondencia entre entradas y salidas se convierte en un problema de suma de subconjuntos. Atlas (2014) utilizó este tipo de correspondencia de importes para vincular entradas con salidas en una función CoinJoin temprana de un proveedor de carteras.

Gavenda y sus colegas (ESORICS 2025) midieron cuánto erosiona la consolidación el conjunto de anonimato: una disminución promedio posterior a la mezcla del 10–50 % en Whirlpool, Wasabi 1.x y Wasabi 2.x, con Wasabi 2.x por debajo del 20 % porque sus usuarios vuelven a mezclar intensamente. También estimaron que, incluso para una ronda real de Wasabi 2.x de tamaño mediano, enumerar todas las correspondencias posibles es computacionalmente inviable, por lo que los usuarios conservan una privacidad considerable a menos que el analista tenga información externa.

Investigación publicada y sus tasas de error

De aquí se derivan tres reglas. Cita el diseño y el período al que se aplica una cifra. Nunca conviertas una reducción agregada del conjunto de anonimato en una probabilidad de que una salida específica pertenezca a la persona investigada. Y revela que las heurísticas de desmezcla carecen de tasas de error validadas en condiciones reales antes de que lo plantee la defensa (consulta la lección Divulgación y escrutinio de la defensa).

Un caso práctico

Un rescate de 0,20000000 BTC llega a la dirección de la persona investigada (grado A). Un tx0, 7c2e…91ab, lo divide en tres monedas anteriores a la mezcla de aproximadamente 0,0503 BTC, una salida para la comisión del servicio y 0,0471 BTC de cambio. Cada moneda anterior a la mezcla entra en una mezcla distinta de cinco por cinco y vuelve a mezclarse varias veces. Nueve días después aparece esta transacción:

txid e5d0…3a77   3 entradas, 1 salida
entrada  0.05000000  bc1q…h4tn   (salida posterior a la mezcla de la mezcla 2b91…0c4d)
entrada  0.05000000  bc1q…p9we   (salida posterior a la mezcla de la mezcla 61fa…d802)
entrada  0.04710000  bc1q…z6qc   (salida de cambio del tx0 7c2e…91ab)
salida   0.14690000  bc1q…dx7e   (dirección de depósito, Exchange K según la etiqueta)
comisión 0.00020000

El examinador razona paso a paso:

1. Aritmética. 0,05 + 0,05 + 0,0471 = 0,1471 BTC de entrada; 0,1469 de salida más 0,0002 de comisión. Los importes cuadran.
2. Qué es determinista. El cambio de tx0 provino del rescate (grado A). Las dos salidas posteriores a la mezcla salieron de sus mezclas (grado A como flujos). Nada vincula de forma determinista las monedas de la persona investigada anteriores a la mezcla con estas salidas específicas.
3. La heurística. El gasto conjunto del cambio tóxico con dos salidas posteriores a la mezcla indica que un mismo controlador tenía las tres entradas. Las excepciones, como PayJoin o un gasto colaborativo, son poco plausibles en una consolidación de una sola salida, pero la afirmación sigue siendo una única heurística: grado C.
4. Lo que la heurística no demuestra. No demuestra que estas salidas contengan el valor del rescate. La cartera puede haber mezclado otras monedas. La afirmación se refiere al control, no al flujo.
5. La tercera moneda anterior a la mezcla. No se encontró ninguna filtración. Se informa como no rastreada, no como «probablemente en la misma cartera».
6. Siguiente paso. Solicitar los registros de Exchange K para bc1q…dx7e. Si la persona titular de la cuenta es la persona investigada, la afirmación de control obtiene corroboración independiente y sube al grado B. Si se incauta un dispositivo, los datos de la cartera podrían resolverlo.

Qué se puede y qué no se puede afirmar

Enfoque del examen: la diferencia entre la detección de CoinJoin (validada, con bajas tasas de error publicadas) y la desmezcla (sin tasas de error validadas en condiciones reales); quién conoce la correspondencia en Whirlpool, Wasabi 1.x, WabiSabi y JoinMarket, y por qué los datos de la cartera en un dispositivo incautado constituyen la prueba de desmezcla más sólida; el cambio tóxico, la consolidación, los patrones estrella y recolector, el cálculo aritmético de importes y la correspondencia por suma de subconjuntos; los hallazgos de Stütz et al. (2022) y Gavenda et al. (2025) y sus límites; que un vínculo por gasto conjunto es una afirmación de control, no de flujo; cómo calificar y redactar los hallazgos de CoinJoin e informar con honestidad sobre el valor no rastreado.