De la dirección a la entidad y a la persona

La mayoría de las investigaciones se inician para responder una pregunta sobre personas: quién recibió el rescate, quién ejecutó la estafa, quién tiene ahora los fondos robados. Una cadena de bloques responde preguntas sobre direcciones. Entre ambas cosas hay una cadena de inferencias separadas, cada una con sus propias pruebas y sus propias formas de fallar; quien examina y reduce esa cadena a una sola afirmación le ofrece a la otra parte un blanco fácil. Esta lección presenta los niveles de atribución, las pruebas que respaldan cada uno y cómo calificar y registrar la cadena para que pueda verificarse.

Cinco niveles de atribución

La atribución avanza a través de cinco niveles. Cada nivel plantea una afirmación distinta, y cada afirmación necesita su propio fundamento.

Los dos primeros niveles corresponden al análisis en cadena y se tratan en las lecciones IDFE-BA Qué es la agrupación y por qué importa y Evaluación de la calidad de los clústeres. El tercero es el etiquetado, que se aborda en la lección IDFE-BA Atribución y etiquetado. La capa forense que añade este curso consiste en mantener separadas las cinco afirmaciones, indicar a qué nivel llega cada hallazgo y no permitir nunca que la solidez de un nivel inferior refuerce la debilidad de uno superior.

Ten en cuenta que el propio nivel de la dirección contiene dos afirmaciones. Que un valor haya llegado a una dirección es un hecho determinista que cualquiera puede verificar. Que una persona concreta controle la dirección no es visible en la cadena. El control puede demostrarse mediante un mensaje firmado válido, recuperando la clave de un dispositivo incautado bajo autoridad legal, o mediante un registro autenticado del servicio que indique que este tiene la clave.

Cada nivel puede fallar de forma distinta

Pensar en niveles resulta útil porque las formas de falla no se superponen.

• Errores de clúster. Una heurística combina dos monederos que no tienen relación, o se interpreta un CoinJoin como si tuviera un solo propietario. El resultado es un superclúster que extiende una etiqueta a direcciones a las que no corresponde.
• Errores de servicio. Una etiqueta está desactualizada (el exchange rotó sus monederos calientes), se copió de un origen desconocido o se asignó a una categoría sin identificar una entidad.
• Errores del titular de la cuenta. El servicio atribuye un depósito de forma incorrecta, reutiliza una dirección de depósito después de cerrar la cuenta o produce registros correspondientes al período equivocado.
• Errores de identidad. El titular de la cuenta no es la persona que actuó: un prestanombre abrió la cuenta para otra persona, los documentos de identidad fueron robados o comprados, alguien se apoderó de la cuenta o varias personas compartieron las credenciales de acceso.

Este último punto merece especial atención. Los registros KYC indican de quién eran los documentos presentados al abrir la cuenta. Por sí solos, no indican quién escribió la solicitud de retiro. Los investigadores corroboran el paso del titular de la cuenta a la persona mediante pruebas independientes: direcciones IP de inicio de sesión e identificadores de dispositivos que coinciden con las conexiones del sospechoso, la aplicación del exchange encontrada en un teléfono incautado, transferencias bancarias desde la propia cuenta del sospechoso o mensajes que hablan de la transacción.

Por qué la identidad normalmente se obtiene mediante un proceso legal

Los datos públicos suelen llegar solo hasta el nivel del servicio. Una vez que el valor entra en un servicio de custodia, el vínculo entre una dirección de depósito y un cliente solo existe en la base de datos del servicio (véase la lección Seguimiento a través de servicios de custodia). La vía para acceder a esa base de datos es un proceso legal: una orden de entrega de información, una orden judicial o una solicitud de una autoridad competente, a menudo de carácter transfronterizo. El Convenio de Budapest exige a sus Partes que establezcan órdenes de entrega de información sobre datos, incluida la información de abonados, en poder de proveedores de servicios (artículo 18), y su Segundo Protocolo Adicional establece procedimientos para la divulgación directa de información de abonados por parte de proveedores de servicios de otra Parte (artículo 7) y de información de registro de nombres de dominio (artículo 6). Las lecciones Autoridad legal y cooperación internacional y Trabajo con proveedores de servicios explican cómo redactar y enviar las solicitudes.

La investigación de fuentes abiertas puede aportar pistas en los niveles superiores; por ejemplo, un alias que reutilizó una dirección en una publicación de un foro (véase la lección Vinculación de identificadores en cadena y fuera de cadena). Pero una pista obtenida en fuentes abiertas no es una identificación. En la mayoría de los casos, la vía defendible es: rastreo en cadena hasta un servicio, solicitud al servicio, registros que identifican al titular de una cuenta y, después, corroboración de que ese titular es la persona.

Los casos públicos ilustran este patrón. En la investigación Welcome to Video, anunciada en octubre de 2019, los investigadores siguieron pagos de bitcoin en la cadena de bloques hasta el sitio y sus usuarios; además, la ubicación del servidor del sitio salió a la luz mediante una dirección IP expuesta en el código fuente de la propia página del sitio. Se produjeron detenciones en muchos países. El rastreo indicó a los investigadores dónde buscar; la identificación se obtuvo a partir de registros, servidores incautados y pruebas recabadas por las autoridades locales.

Calificación de la cadena

Califica cada vínculo de la cadena de atribución, no solo la conclusión. La escala usada en la lección Seguimiento hasta un estándar probatorio (grado A, registrado en cadena; B, corroborado; C, heurística única; D, inferencia) puede extenderse a las afirmaciones sobre control e identidad:

La regla del eslabón más débil se aplica entre los niveles. Un flujo de grado A hacia una etiqueta de servicio de grado B, un registro autenticado de la cuenta (A) y un vínculo de grado D entre el titular de la cuenta y el sospechoso dan como resultado una afirmación de grado D de que el sospechoso recibió los fondos. La respuesta adecuada no es formular la afirmación con más cautela, sino reunir las pruebas que elevarían el eslabón más débil: pruebas de dispositivos, registros de IP y registros financieros.

La calificación también obliga a expresarse con precisión. «Los fondos llegaron a una dirección de depósito de Exchange K» (nivel del servicio), «los registros de Exchange K asignan la dirección a una cuenta a nombre del Sujeto 2» (nivel de la cuenta) y «el Sujeto 2 controlaba la cuenta» (nivel de la persona) son tres hallazgos. La redacción de informes se aborda en la lección IDFE-BA Confianza, incertidumbre y lenguaje y en la lección Redacción del informe forense.

Registro de la cadena de atribución

Mantén cada atribución en un registro estructurado que indique el nivel, el fundamento y el grado de cada vínculo, para que una persona revisora pueda cuestionar o confirmar cada vínculo por separado.

{
  "attribution_id": "ATTR-11",
  "case_id": "CF-2026-0142",
  "subject": {"chain": "bitcoin-mainnet", "address": "bc1q…dx7e"},
  "valid_at": "2026-03-02T14:07:51Z",
  "links": [
    {"layer": "cluster", "claim": "swept with 1,412 deposits into hot wallet HW-3",
     "basis": "common-input, CoinJoin filter on", "grade": "C"},
    {"layer": "service", "claim": "HW-3 is Exchange K",
     "basis": "self-published reserve list, archived 2026-03-04, sha256 9e1c…b07a", "grade": "A"},
    {"layer": "account", "claim": "assigned to account K-778213",
     "basis": "Exchange K production, item EV-0031", "grade": "A"},
    {"layer": "individual", "claim": "account controlled by Subject 2",
     "basis": "KYC only; IP and device logs requested", "grade": "D"}
  ],
  "overall_grade": "D",
  "examiner": "EX-07"
}

El registro indica el momento en que se aplica la atribución, porque las direcciones de depósito se reasignan y las etiquetas pierden vigencia. Cada vínculo incluye su propio fundamento y una referencia al elemento preservado, de modo que la etiqueta del servicio pueda verificarse con la lista de reservas archivada y el vínculo con la cuenta pueda verificarse con la información entregada. El grado general es el del eslabón más débil, y el fundamento del nivel de la persona muestra exactamente qué falta. Cuando lleguen los registros de IP y dispositivos del exchange y coincidan con la conexión del domicilio del sospechoso, se podrá revisar ese vínculo y el grado general, conservando la versión anterior. Observa también que el vínculo del clúster tiene grado C, mientras que la etiqueta del servicio para el monedero caliente tiene grado A: la dirección de depósito hereda la etiqueta solo a través del vínculo del clúster, por lo que importa la información entregada por el exchange.

Errores habituales que hay que evitar

• Confundir los niveles: escribir «la dirección pertenece al Sujeto 2» cuando las pruebas solo llegan al nivel del servicio.
• Tratar al titular de la cuenta como si fuera quien actuó sin corroboración, en casos en los que son habituales los prestanombres y las identidades compradas.
• Ignorar el tiempo: una atribución válida en marzo puede ser incorrecta en junio, después de reasignar una dirección.
• Permitir que una etiqueta vaya más allá de su clúster: una etiqueta confirmada que se hereda a través de un vínculo débil es una etiqueta débil.
• Aferrarse a una hipótesis: una vez identificado un sospechoso, cada nuevo hecho se interpreta como confirmación. Registra las explicaciones alternativas en cada nivel y ponlas a prueba (véase la lección Ética, privacidad y seguridad de quienes investigan).
• Exponer a las personas: un vínculo no confirmado de un nivel superior con una persona privada debe permanecer en un anexo de acceso restringido, nunca en documentos compartidos (véase la lección IDFE-BA Protección de datos, ética y divulgación responsable).

Enfoque del examen: los cinco niveles (dirección, clúster, servicio, titular de la cuenta, persona) y la afirmación que plantea cada uno; las pruebas habituales de cada nivel; que el control de una dirección no es visible en la cadena y cómo puede demostrarse (mensaje firmado, clave recuperada, registro autenticado); por qué KYC identifica al titular de la cuenta, pero no necesariamente a quien actuó (prestanombres, identidades robadas, apropiación de cuentas); por qué la identidad normalmente se obtiene de registros del servicio conseguidos mediante un proceso legal (artículo 18 del Convenio de Budapest, artículos 6 y 7 del Segundo Protocolo Adicional); la calificación de cada vínculo y la regla del eslabón más débil entre niveles; un registro estructurado de atribución con el período de validez, el fundamento y el grado de cada vínculo.