De la dirección a la entidad y a la persona: atribución y etiquetado

La mayoría de las investigaciones se inician para responder una pregunta sobre personas: quién recibió el rescate, quién dirigió la estafa, quién tiene ahora los fondos robados. Una cadena de bloques responde preguntas sobre direcciones. Entre ambos extremos hay una cadena de inferencias independientes (un clúster, una etiqueta que identifica un servicio, un registro que identifica una cuenta, pruebas de que una persona la controlaba), cada una con sus propias pruebas y posibles fallos. Un examinador que reduce toda la cadena a una sola frase ("la dirección pertenece al Sujeto 2") ofrece a la otra parte un blanco fácil. Esta lección expone las capas de atribución, cómo se crean, califican y versionan las etiquetas, y cómo registrar la cadena para que cada eslabón pueda comprobarse.

Cinco capas de atribución

La propia capa de dirección contiene dos afirmaciones. Que el valor llegó a una dirección es un hecho determinista que cualquiera puede verificar. Que una persona concreta controla la dirección no es visible en absoluto en la cadena. El control puede demostrarse mediante un mensaje firmado válido, recuperando la clave de un dispositivo incautado con la debida autorización legal, o mediante un registro autenticado del servicio que indique que este la posee.

Los clústeres se tratan en las lecciones 4.1 a 4.4. La disciplina aquí consiste en mantener separadas las cinco afirmaciones, indicar a qué capa llega cada hallazgo y no permitir nunca que una capa inferior sólida refuerce indebidamente una capa superior débil.

Cada capa falla de manera diferente

• Errores de clúster. Una heurística fusiona dos billeteras no relacionadas, o un CoinJoin se interpreta como perteneciente a un único propietario, y una etiqueta se propaga a direcciones a las que no corresponde.
• Errores de servicio. Una etiqueta está desactualizada (el exchange rotó sus billeteras calientes), se copió de un origen desconocido o se asoció a una categoría sin una entidad.
• Errores de titular de la cuenta. El servicio atribuye incorrectamente un depósito, reutiliza una dirección de depósito tras el cierre de la cuenta o entrega registros del período equivocado.
• Errores de identidad. El titular de la cuenta no es la persona que actuó: una mula de dinero abrió la cuenta para otra persona, los documentos de identidad fueron robados o comprados, alguien tomó el control de la cuenta o varias personas compartían las credenciales de acceso.

Los registros KYC indican de quién eran los documentos presentados durante el alta, no quién introdujo la solicitud de retiro. Los investigadores corroboran el paso del titular de la cuenta a la persona con pruebas independientes: direcciones IP de inicio de sesión e identificadores de dispositivos que coinciden con las conexiones del sospechoso, la aplicación del exchange encontrada en un teléfono incautado, transferencias bancarias desde la cuenta del propio sospechoso o mensajes en los que se habla de la transacción.

Etiquetas: la capa de servicio

Un clúster indica que las direcciones están relacionadas; una etiqueta indica a quién o a qué pertenecen. Una etiqueta es una afirmación con tres partes:

• Objeto: una dirección, un contrato o un clúster a una altura de bloque determinada.
• Aseveración: el nombre de una entidad ("Exchange K"), una categoría ("depósito en un exchange", "puente", "mezclador", "explotación de vulnerabilidades", "estafa") o ambos.
• Fundamento: la fuente y las pruebas, la fecha de observación y una calificación de A a D.

Mantenga separadas las etiquetas de entidad y las etiquetas de categoría. A menudo se puede tener la certeza de que una dirección es una dirección de depósito de un exchange (reenvía todo a una billetera caliente) sin saber de qué exchange se trata, y se puede conocer el exchange sin conocer al cliente.

De dónde provienen las etiquetas

Las principales fuentes son la autoidentificación (las direcciones de reserva publicadas por un exchange, los contratos documentados de un protocolo), las transacciones de prueba del propio analista, las publicaciones de autoridades públicas (escritos de acusación, avisos de incautación, listas de sanciones), las divulgaciones de víctimas e incidentes, la investigación en fuentes abiertas sobre organizaciones y los conjuntos de etiquetas de terceros (etiquetas de exploradores, conjuntos de datos comunitarios, datos de proveedores). La lección 4.6 califica cada grupo y muestra cómo verificarlos y fecharlos; aquí corresponden dos puntos.

Las transacciones de prueba son el método clásico de primera mano: depositar una pequeña cantidad en un servicio y observar la dirección de depósito y el barrido. Meiklejohn et al. (2013, "A Fistful of Bitcoins") realizaron 344 transacciones con exchanges, billeteras, sitios de apuestas y otros servicios, etiquetaron manualmente 1.070 direcciones y, mediante la agrupación, identificaron 2.197 clústeres que abarcaban más de 1,8 millones de direcciones.

Las publicaciones de autoridades son importantes en casos de gran repercusión. Tras el robo al puente Ronin (2022) y el robo a Bybit (2025), las autoridades atribuyeron públicamente los ataques a un grupo vinculado a un Estado y publicaron las direcciones implicadas. Apóyese en esas publicaciones para las direcciones que mencionan, deje claro que la atribución procede de la autoridad y trate cualquier extensión a otras direcciones como una inferencia propia.

Dos etiquetas de terceros que coinciden no son necesariamente dos fuentes: los exploradores y los conjuntos de datos se copian entre sí, de modo que una etiqueta incorrecta puede aparecer en cinco lugares a partir de un único origen (información circular). Rastree cada etiqueta hasta su origen antes de contarla como corroboración.

Herencia de etiquetas

Una etiqueta asociada a una dirección inicial se propaga a todas las direcciones de su clúster. Esta herencia de etiquetas es lo que hace tan productivas las transacciones de prueba, y funciona en ambos sentidos: unas pocas observaciones de primera mano pueden etiquetar millones de direcciones, y un único vínculo de clúster incorrecto puede etiquetar erróneamente millones. Por tanto, una etiqueta nunca es más sólida que los vínculos del clúster que la propagaron.

La herencia necesita reglas. Una política habitual propaga las etiquetas de entidad solo a través de vínculos de alta solidez, normalmente vínculos de entradas comunes con los CoinJoins excluidos, y detiene la propagación ante cualquier vínculo que introduciría una segunda etiqueta de entidad diferente en el mismo clúster. Los vínculos de cambio y los vínculos del modelo de cuentas pueden seguir mostrándose en un grafo, pero la etiqueta que transmitirían se marca como inferida y recibe una calificación inferior.

Calificar cada eslabón

Califique cada eslabón de la cadena, no solo la conclusión. La escala utilizada en todo el curso desde la lección 3.2 (A registrado en la cadena, B corroborado, C una sola heurística, D inferencia) se extiende a las etiquetas, el control y la identidad:

Califique por separado el vínculo del clúster y la etiqueta, así como la entidad y la categoría. Estas calificaciones de los eslabones son independientes de los códigos de dos ejes para la fuente y la información de la lección 4.6 (como A1), que se registran junto a ellas. Un caso práctico: una etiqueta de calificación B, "Exchange K", se encuentra en la billetera caliente HW-3 y procede de la lista de reservas archivada del exchange. Cuatro mil direcciones de depósito se vinculan con HW-3 mediante barridos (entradas comunes, filtro de CoinJoin activado). Cada una hereda "Exchange K" únicamente a través de ese único vínculo heurístico, por lo que la etiqueta heredada es C, no B, hasta que el exchange confirma las direcciones de depósito o entrega registros que asignan una a una cuenta (B). Una dirección más se incorpora mediante un único vínculo de cambio; su etiqueta se marca como inferida y recibe la calificación D, y un informe que contabilice sus fondos como fondos del exchange debe indicarlo.

La regla del eslabón más débil se aplica a las cinco capas. Un flujo de calificación A, un vínculo de clúster de calificación C, un registro de cuenta autenticado (B) y un vínculo de calificación D entre el titular de la cuenta y el sospechoso dan lugar a una afirmación de calificación D de que el sospechoso recibió los fondos. La respuesta adecuada no es redactar la afirmación con más cautela, sino reunir las pruebas que elevarían la calificación del eslabón más débil: pruebas de dispositivos, registros de IP, registros financieros.

La calificación obliga a utilizar un lenguaje preciso. "Los fondos llegaron a una dirección de depósito de Exchange K" (capa de servicio), "Los registros de Exchange K asignan la dirección a una cuenta a nombre del Sujeto 2" (capa de cuenta) y "El Sujeto 2 controlaba la cuenta" (capa de persona) son tres hallazgos, no uno. La lección 9.2 trata la redacción de informes.

Por qué la identidad normalmente se obtiene mediante procedimientos legales

Los datos públicos suelen llegar solo hasta la capa de servicio. Una vez que el valor entra en un servicio de custodia, el vínculo entre una dirección de depósito y un cliente existe únicamente en la base de datos del servicio (lección 3.4). La vía para acceder a él son los procedimientos legales: una orden de entrega, una orden judicial o una solicitud de una autoridad competente, a menudo a través de fronteras. El Convenio de Budapest exige que sus Partes prevean órdenes de entrega de datos, incluida la información de abonados, en poder de proveedores de servicios (artículo 18), y su Segundo Protocolo Adicional añade procedimientos para la divulgación directa de información de abonados por proveedores de servicios situados en otra Parte (artículo 7) y de información de registro de nombres de dominio (artículo 6). Las lecciones 1.3 y 1.4 tratan la redacción y el envío de solicitudes.

La investigación en fuentes abiertas puede aportar pistas en las capas superiores (lección 4.7), pero una pista no es una identificación. La vía defendible suele ser: rastreo en la cadena hasta un servicio, solicitud al servicio, registros que identifican a un titular de cuenta y, después, corroboración de que ese titular de cuenta es la persona. En la investigación de Welcome to Video, anunciada en octubre de 2019, los investigadores siguieron los pagos de bitcoin al sitio y a sus usuarios, y la ubicación del servidor del sitio salió a la luz gracias a una dirección IP expuesta en el código fuente de la propia página del sitio. Se produjeron detenciones en muchos países. El rastreo indicó a los investigadores dónde buscar; la identificación se obtuvo a partir de registros, servidores incautados y pruebas reunidas por las autoridades locales.

Esta es también una frontera ética. La atribución mediante análisis en la cadena se dirige a servicios, organizaciones y categorías de actividad, no a particulares. Etiquete una aparente billetera privada por categoría ("billetera privada sin atribuir") o no la etiquete; no combine patrones en la cadena con fuentes abiertas para revelar la identidad de una persona, porque una coincidencia errónea puede exponer a una persona inocente al acoso; trate un registro de un servicio de nombres que parezca el nombre de una persona como una pista que puede ser auténtica, suplantada o revendida (lección 1.5).

Registro de etiquetas y atribuciones

Las etiquetas pierden vigencia: los exchanges rotan las billeteras calientes y reasignan las direcciones de depósito, los servicios cambian de manos, los contratos proxy se actualizan, los nombres de los servicios de nombres caducan y vuelven a registrarse. Una etiqueta sin fecha y sin un período de validez no puede comprobarse ni corregirse, por lo que debe almacenar cada una como un registro versionado:

{
  "label_id": "lbl-000482",
  "version": 3,
  "subject": {"chain_id": 1, "address": "0xC4d8…27aB"},
  "entity": "Exchange K",
  "category": "exchange_deposit",
  "source_type": "test_transaction",
  "evidence": ["deposit tx 0x4f3a…c21e", "sweep tx 0x9b7d…e014"],
  "observed_at_block": 21000000,
  "valid_from": "2024-11-02",
  "valid_to": null,
  "grade": "B",
  "analyst": "analyst-17",
  "supersedes": "lbl-000482-v2"
}

valid_to permanece vacío hasta que las pruebas muestran que la etiqueta ya no es aplicable; supersedes conserva el historial, de modo que un informe redactado el año pasado pueda reproducirse con las etiquetas vigentes entonces. Las buenas prácticas añaden una nueva verificación de las etiquetas de alto impacto antes de cada informe, alertas cuando un clúster adquiere dos etiquetas de entidad incompatibles (a menudo la primera señal de una fusión errónea) y la retirada en lugar de la eliminación.

La atribución en sí es un segundo registro que identifica la capa, el fundamento y la calificación de cada eslabón, de modo que un revisor pueda cuestionar o confirmar cada eslabón por separado:

{
  "attribution_id": "ATTR-11",
  "case_id": "CF-2026-0142",
  "subject": {"chain": "bitcoin-mainnet", "address": "bc1q…dx7e"},
  "valid_at": "2026-03-02T14:07:51Z",
  "links": [
    {"layer": "cluster", "claim": "barrida junto con 1.412 depósitos hacia la billetera caliente HW-3",
     "basis": "entradas comunes, filtro de CoinJoin activado", "grade": "C"},
    {"layer": "service", "claim": "HW-3 es Exchange K",
     "basis": "lista de reservas publicada por la propia entidad, archivada el 2026-03-04, sha256 9e1c…b07a", "grade": "B"},
    {"layer": "account", "claim": "asignada a la cuenta K-778213",
     "basis": "entrega de registros de Exchange K, elemento EV-0031", "grade": "B"},
    {"layer": "individual", "claim": "cuenta controlada por el Sujeto 2",
     "basis": "solo KYC; solicitados los registros de IP y dispositivos", "grade": "D"}
  ],
  "overall_grade": "D",
  "examiner": "EX-07"
}

El registro indica el momento en que se aplica la atribución, porque las direcciones de depósito se reasignan. Cada eslabón remite al elemento preservado en el que se apoya. La calificación global es la del eslabón más débil, y el fundamento de la capa de persona muestra exactamente qué falta; cuando llegan los registros de IP y dispositivos del exchange y coinciden con la conexión del domicilio del sospechoso, ese eslabón y la calificación global pueden revisarse, conservando la versión anterior. Observe que la dirección de depósito hereda la etiqueta de servicio de calificación B únicamente a través del vínculo de clúster de calificación C, de ahí la importancia de la entrega de registros del exchange.

Errores comunes

• Reducir las capas a una sola: escribir "la dirección pertenece al Sujeto 2" cuando las pruebas solo llegan a la capa de servicio.
• Tratar al titular de la cuenta como la persona que actuó sin corroboración.
• Ignorar el tiempo: una atribución válida en marzo puede ser incorrecta en junio tras la reasignación de una dirección.
• Permitir que una etiqueta vaya más allá de lo que sustenta su clúster, o contar las copias de una etiqueta como corroboración.
• Fijación en una hipótesis: una vez identificado un sospechoso, cada nuevo hecho se interpreta como confirmación. Registre explicaciones alternativas en cada capa y póngalas a prueba.
• Exponer a personas: un vínculo no confirmado de una capa superior con un particular se mantiene en un anexo de acceso restringido, nunca en documentos compartidos.

Enfoque del examen: las cinco capas (dirección, clúster, servicio, titular de la cuenta, persona) y la afirmación y las pruebas habituales de cada una; que el control de una dirección no es visible en la cadena y cómo puede demostrarse (mensaje firmado, clave recuperada, registro autenticado); una etiqueta como afirmación con objeto, aseveración y fundamento, y etiquetas de entidad frente a etiquetas de categoría; fuentes de etiquetas, transacciones de prueba y su alcance (344 transacciones, 1.070 direcciones, 2.197 clústeres), publicaciones de autoridades citadas como atribuciones de la autoridad e información circular; herencia de etiquetas y por qué una etiqueta no es más sólida que los vínculos que la transmiten; calificación de cada eslabón de A a D y regla del eslabón más débil entre las capas; por qué KYC identifica al titular de la cuenta, no necesariamente a la persona que actuó; identidad mediante procedimientos legales (artículo 18 del Convenio de Budapest, artículos 6 y 7 del Segundo Protocolo Adicional); registros de etiquetas versionados con períodos de validez y registros de atribución estructurados; atribución dirigida a servicios, nunca a exponer a particulares.