Mezcladores y monedas de privacidad · Lección 4 de 5
Criptomonedas de privacidad
10 min de lectura
Cuando un rastro entra en Monero o en un fondo blindado de Zcash, el rastreo ordinario se detiene, y la tentación es rendirse o sobreinterpretar las pocas señales que quedan. Ninguna de las dos cosas es aceptable en un informe forense. Esta lección expone qué oculta cada protocolo, qué pueden seguir observando y demostrando los investigadores, qué respalda la investigación publicada y cómo redactar conclusiones que resistan el escrutinio.
Monero: qué se oculta y qué permanece visible
Monero oculta las tres cosas que necesita un rastreo. Los pagos se envían a direcciones furtivas de un solo uso derivadas de la dirección pública del destinatario (y de sus subdirecciones), por lo que la dirección del destinatario nunca aparece en la cadena. Cada entrada se firma con una firma de anillo que abarca la salida real y los señuelos: desde la actualización de la red de agosto de 2022, cada anillo tiene 16 miembros, el real y 15 señuelos. Una imagen de clave impide el doble gasto sin revelar qué miembro se gastó. RingCT, habilitado en enero de 2017 y obligatorio desde septiembre de 2017, oculta los importes mediante compromisos con pruebas de rango.
Las fechas importan para las pruebas antiguas, porque la protección aumentó por etapas. Hasta octubre de 2018, el protocolo solo establecía un tamaño mínimo de anillo, y las billeteras podían elegir anillos más grandes: no había mínimo antes de marzo de 2016 (los anillos sin señuelos eran válidos); después se exigieron al menos 3 miembros desde marzo de 2016, 5 desde septiembre de 2017 y 7 desde abril de 2018. La actualización del 18 de octubre de 2018 fijó todos los anillos en exactamente 11 miembros, y la actualización del 13 de agosto de 2022 los fijó en 16 (los anillos de 11 siguieron aceptándose durante aproximadamente un día, hasta la bifurcación posterior del 14 de agosto). Por tanto, el tamaño del anillo solo permite fechar una transacción dentro de ciertos límites: un anillo menor que un mínimo sitúa la transacción antes de que ese mínimo entrara en vigor, y desde octubre de 2018 el tamaño es uniforme para su época, pero un anillo de 11 o más miembros no demuestra por sí solo que una transacción sea posterior a octubre de 2018. Desde 2020, las transacciones se propagan con Dandelion++, lo que dificulta inferir el nodo de origen mediante la observación de la red.
Lo que sigue siendo público: la existencia de una transacción, su bloque y hora, su comisión, su número de entradas y salidas, los miembros del anillo de cada entrada (el conjunto de candidatos) y el campo extra.
Pruebas de pertenencia a toda la cadena. Una actualización prevista, FCMP++, sustituiría los anillos de 16 miembros por una prueba sobre el conjunto completo de salidas. Una vez activada, el análisis basado en anillos no será aplicable a las nuevas transacciones; seguirá siendo aplicable al historial de la época de los anillos. Indique la fecha de cualquier afirmación sobre su estado.
Claves que revelan información. Monero ofrece varias formas de que un titular revele información sin ceder la capacidad de gastar, y todas ellas son verificables por el examinador:
- una clave privada de visualización revela los pagos entrantes a una dirección (para los gastos salientes también se necesitan las imágenes de clave);
- una clave de transacción o prueba de pago demuestra que una transacción concreta pagó un importe concreto a una dirección concreta;
- una prueba de reservas demuestra que una billetera posee al menos un saldo declarado.
Para un rescate pagado en Monero, solicite a la víctima el ID de la transacción, la clave de transacción o prueba de pago y la dirección de destino. Compruebe la prueba con una billetera de código abierto utilizando su propio nodo, registre la versión del software, y el pago se convierte en un hecho de grado A aunque la cadena lo oculte a todos los demás. Las billeteras incautadas son un asunto distinto: las billeteras antiguas de Monero utilizan semillas de 25 palabras en lugar de BIP-39 (consulte la lección Recuperación de billeteras con autorización legal).
Zcash: fondos, límites y el torniquete
Zcash tiene un fondo transparente (direcciones t1…, t3…), que se comporta como Bitcoin, y fondos blindados: Sprout (antiguo, zc…), Sapling (desde octubre de 2018, zs…) y Orchard (desde la actualización NU5 del 31 de mayo de 2022, utilizado mediante direcciones unificadas que comienzan por u1). Dentro de un fondo blindado, el remitente, el destinatario, el importe y la nota están ocultos; la comisión siempre es visible.
Los límites filtran información. El blindaje revela el remitente transparente y el importe; el desblindaje revela el importe y el destinatario transparente. Como el valor que cruza cada límite es visible, cualquiera puede calcular el total mantenido en cada fondo blindado, un mecanismo denominado torniquete. Una regla de consenso (ZIP 209) invalida cualquier bloque que hiciera negativo el saldo de un fondo, por lo que la falsificación de monedas dentro de un fondo se detectaría en el torniquete. Registre los saldos de los fondos en el momento de los hechos investigados: indican la escala del conjunto de anonimato. Los titulares pueden revelar voluntariamente la actividad blindada mediante claves de visualización.
Lo que revela cada diseño, en paralelo:
| Observación | Monero | Zcash blindado | Zcash transparente |
|---|---|---|---|
| Remitente | Uno de los 16 miembros del anillo | Oculto | Visible |
| Destinatario | Oculto (dirección furtiva) | Oculto | Visible |
| Importe | Oculto (RingCT) | Oculto; visible en el límite del fondo | Visible |
| Hora y comisión | Visibles | Visibles | Visibles |
| Revelación voluntaria | Clave de visualización, prueba de pago | Clave de visualización | No es necesaria |
| Entrada y salida en servicios | Registros del servicio | Registros del servicio | Registros del servicio |
Qué pueden seguir observando los investigadores
| Observación | Procedencia | Uso probatorio |
|---|---|---|
| Entrada y salida en exchanges y servicios de intercambio | Registros del servicio obtenidos mediante procedimientos legales | La principal vía de investigación: identidad, direcciones de depósito y retiro, horas, datos de IP |
| Coincidencia temporal e importes entre activos | Un depósito de Bitcoin o tokens en un servicio de intercambio y un pago en Monero, o a la inversa | Conjuntos de candidatos de grado D hasta que los registros del servicio los confirmen (consulte las lecciones Saltos entre cadenas y rastreo entre cadenas e Intercambios en DEX, exchanges instantáneos y flujos de liquidez) |
| Flujos transparentes de Zcash | Cadena pública | Rastreo al estilo de Bitcoin, grado A para los flujos |
| Importes en los límites de Zcash | Transacciones de blindaje y desblindaje | Correspondencias de ida y vuelta de importes similares; solo inferencia |
| Pertenencia a anillos de Monero | Cadena pública | Una salida conocida (por ejemplo, una que un exchange colaborador pagó al sujeto investigado) que aparece en un anillo de una transacción posterior es un candidato entre 16, no un gasto |
| Pruebas de pago, claves de visualización | Víctimas, servicios colaboradores, billeteras incautadas | Revelación verificable de pagos concretos |
| Datos de la billetera | Dispositivos incautados legalmente | Historial completo de las transacciones de la propia billetera |
| Uso de nodos remotos | Una billetera que se conectó a un nodo de terceros expuso su dirección de red a ese operador | Un posible poseedor de registros; no espere mucho |
La fila sobre pertenencia a anillos merece atención. Si el mismo servicio ve que una salida que pagó a un cliente aparece en un anillo de una transacción depositada posteriormente de nuevo en él, esa coincidencia puede valorarse, pero la selección de señuelos escoge deliberadamente salidas recientes, por lo que cabe esperar que una salida conocida aparezca en un anillo por azar. No existe una tasa de error publicada y validada para esos vínculos. Preséntelos como inferencias, indicando el tamaño del anillo y el número de anillos en los que apareció la salida.
Investigación publicada y sus límites
| Estudio | Hallazgo | Período y límites |
|---|---|---|
| Möser et al. (2018), Monero | Aproximadamente el 62 % de las entradas con al menos un señuelo podían rastrearse por eliminación («reacción en cadena»), y suponer que el miembro más reciente del anillo era el real acertaba aproximadamente el 80 % de las veces | Datos hasta abril de 2017; los autores determinaron que las transacciones de la época de RingCT eran, en general, inmunes a la eliminación; posteriormente se introdujeron tamaños de anillo obligatorios y una nueva selección de señuelos |
| Quesnelle (2017), Zcash | La búsqueda de correspondencias de ida y vuelta vinculó el 31,5 % de las monedas enviadas a direcciones blindadas | El autor califica las correspondencias de circunstanciales, con posibles pares coincidentes por azar |
| Kappos et al. (2018), Zcash | El comportamiento de los fundadores y los mineros explicó el 69 % de la actividad de los fondos blindados; la búsqueda de correspondencias de valores únicos vinculó más de 1 millón de ZEC, el 28,5 % de las monedas depositadas en el fondo | Datos hasta enero de 2018, cuando la mayor parte de la actividad era transparente |
| Biryukov et al. (2019), Zcash | Ataques activos y canales ocultos que podían generar huellas identificativas de transacciones blindadas | Mecanismos, no tasas de vinculación en casos reales |
En marzo de 2024, los investigadores de Monero también investigaron un supuesto episodio de inundación de canicas negras: un gran volumen de transacciones cuyas salidas, si hubieran sido creadas por una sola parte, esa parte sabría que eran señuelos, lo que debilitaría los anillos durante el episodio. Esto demuestra que el tamaño efectivo de un anillo puede ser inferior a 16 en algunos períodos, lo que importa al evaluar una transacción de la época de los anillos.
Lea estas investigaciones como examinador. Cada cifra describe un período histórico y una tasa agregada. Ninguna indica que una entrada concreta de su caso fuera rastreable. Los resultados de eliminación de Monero anteriores a 2017 no se aplican a una transacción de 2025. Las afirmaciones de proveedores comerciales de que pueden rastrear Monero o Zcash blindado no se han publicado con métodos y tasas de error validadas, por lo que no pueden servir de base para una conclusión; como mucho, sugieren dónde buscar registros.
Retiradas de cotización y cambios en los puntos de salida
Entre 2023 y 2024, varios exchanges importantes retiraron Monero de cotización o lo restringieron en algunas regiones, alegando expectativas regulatorias. Las normas difieren entre jurisdicciones, y algunas están avanzando hacia la prohibición total de que los proveedores regulados operen con criptomonedas de privacidad. El efecto para la investigación es que hay menos puntos de salida regulados que conserven registros, y los flujos se desplazan hacia servicios de intercambio instantáneo sin custodia, operaciones entre pares e intercambios atómicos. Identifique pronto el servicio en cada extremo, preserve sus datos públicos y pregunte qué registros conserva (consulte la lección Trabajo con proveedores de servicios).
Redacción que resiste el escrutinio: «La cuenta del sujeto investigado en el exchange retiró 41,2 XMR a las 14:05 UTC (registros del exchange). El pago del rescate de 41,0 XMR a la dirección del atacante queda demostrado por la prueba de pago de la víctima, verificada utilizando nuestro nodo. Entre estos hechos, la cadena no muestra ningún vínculo que podamos afirmar». Redacción que no lo resiste: «El análisis de la cadena de bloques rastreó los Monero hasta el sujeto investigado».
Enfoque del examen: Direcciones furtivas, subdirecciones, tamaño de anillo de 16 desde agosto de 2022, imágenes de clave y RingCT de Monero, y el historial del tamaño de los anillos para fechar pruebas; por qué el análisis basado en anillos no sería aplicable a las transacciones realizadas después de una actualización de pertenencia a toda la cadena, pero sigue siendo aplicable al historial de la época de los anillos; claves de visualización, pruebas de pago y pruebas de reservas como revelaciones verificables; fondos transparente, Sprout, Sapling y Orchard de Zcash, filtraciones en los límites, el torniquete y ZIP 209; qué se puede seguir observando (extremos en servicios, flujos transparentes, importes en los límites, pertenencia a anillos como candidato); hallazgos de Möser et al., Quesnelle y Kappos et al. y por qué no se extrapolan a las transacciones actuales; retiradas de cotización y desplazamiento hacia puntos de salida sin custodia.