Cómo lee Bitcoin una verificación AML: UTXO, clústeres y monedas «sucias»

En Ethereum y TRON una dirección es una cuenta con saldo. En Bitcoin no hay cuentas: hay transacciones, cada una con entradas y salidas. Una salida que nadie ha gastado todavía (UTXO) es la moneda. El saldo de una dirección es simplemente la suma de esas salidas vinculadas a ella. Una salida no se puede gastar en parte: la transacción la consume entera y devuelve el resto como una salida nueva, el cambio, normalmente a una dirección nueva del mismo monedero.

De ahí la diferencia clave para la verificación. Una dirección casi nunca es todo el monedero: un monedero moderno genera una dirección nueva para cada cobro y para cada cambio, así que el historial de una persona queda repartido entre decenas o cientos de direcciones. El informe de una sola dirección muestra un fragmento; para ver el conjunto, la analítica agrupa las direcciones en clústeres.

La segunda particularidad es que cada moneda tiene un linaje. La salida la creó una transacción cuyas entradas eran salidas de transacciones anteriores, y así hasta el momento en que un minero creó la moneda. Ese grafo es público e inmutable, por lo que el historial en Bitcoin no es una metáfora: se puede recorrer hacia atrás paso a paso, y de ese recorrido sale la puntuación de riesgo.

La analítica de blockchain no sabe quién es el dueño de una dirección, pero sí puede demostrar que varias direcciones pertenecen al mismo dueño. Dos técnicas hacen casi todo el trabajo.

• Entradas comunes. Si una transacción gasta salidas de varias direcciones, solo pudo firmarla quien tiene las claves de todas. Todas las direcciones de entrada caen en un mismo clúster. Así se delatan la mayoría de los monederos en su primer gasto importante.
• Detección del cambio. Entre las salidas de una transacción, la analítica busca la que volvió al remitente: una dirección nueva, un importe irregular, el mismo tipo de dirección que las entradas. La dirección de cambio se suma al clúster del remitente, y la cadena continúa.

A los clústeres se añade conocimiento externo: direcciones que exchanges, casas de cambio y servicios han revelado ellos mismos, direcciones de causas penales y listas de sanciones, datos de depósitos de prueba. Así es como un clúster recibe una etiqueta: Exchange, Mixer, Mercado de la darknet, Ransomware, Sanciones. Cuando un informe de AMLKYC dice que una dirección está vinculada a un exchange de alto riesgo o a la darknet, habla del clúster al que pertenece la dirección o de los clústeres que tocaron sus monedas.

El método tiene límites. La detección del cambio falla cuando un monedero rompe el patrón a propósito, y el análisis de entradas comunes lo derrota CoinJoin, del que hablamos más abajo. Por eso distintos proveedores de datos puntúan la misma dirección de forma distinta, y ninguna puntuación es una sentencia: es una señal que se lee junto con las demás.

Una moneda que sale de un clúster etiquetado no se vuelve limpia por cambiar de dirección. La analítica la sigue por el grafo: por qué transacciones pasó, en qué proporciones se mezcló con otras salidas, dónde se asentó. El riesgo no se copia uno a uno por el camino; se diluye y se atenúa: cuanto más lejos en la cadena y menor la proporción, más débil la señal.

• Cadena de pelado (peel chain). Una suma grande se gasta por partes: en cada paso sale una salida pequeña y el resto vuelve como cambio a una dirección nueva. Es la forma clásica de retirar fondos robados a través de casas de cambio; en el grafo se ve como una larga cadena de gastos individuales.
• Mezcla. Un mixer recibe monedas de muchos usuarios, las mezcla y paga salidas distintas. El linaje de la moneda se rompe ahí, pero el propio paso por un mixer es una etiqueta. Para los exchanges es una de las señales más graves, y un mixer sancionado convierte cualquier contacto en riesgo crítico.
• CoinJoin. Varias personas montan una sola transacción con salidas iguales y la heurística de entradas comunes deja de funcionar: las entradas pertenecen a dueños distintos. Es una herramienta legítima de privacidad, pero para los sistemas AML es indistinguible de un intento de borrar el rastro, y las salidas de CoinJoin suelen recibir un riesgo elevado.
• Consolidación. Un monedero que reúne muchas salidas pequeñas en una sola fusiona sus historiales: una única moneda «sucia» en el conjunto tiñe toda la salida combinada.

De ahí la regla que más se incumple: en Bitcoin no existe la pureza del 100 %. Casi cualquier moneda que lleve unos años circulando ha tocado en algún punto un clúster etiquetado. La cuestión no es si hubo vínculo, sino cuán cercano, cuán grande y de qué tipo es. Eso es exactamente lo que expresa la puntuación de riesgo.

El informe convierte el grafo en unos pocos valores legibles, y cada uno tiene su lugar en la lectura.

• Puntuación de riesgo de 0 a 100. De 0 a 30 es bajo, de 31 a 60 medio, de 61 a 100 alto. Una dirección Bitcoin con un historial largo casi nunca puntúa cero, y es normal. Alto significa que un exchange puede bloquear una transferencia desde esa dirección.
• Señales detectadas. Etiquetas del clúster y de sus contrapartes: robo, extorsión, darknet, mixer, juegos de azar, sanciones, exchange de alto riesgo, dusting. Cada una tiene su nivel. Aparece una advertencia aparte si la dirección figura en un incidente conocido.
• Estructura de orígenes y mapa de flujos. Las proporciones de las categorías de las que vinieron los fondos y a las que fueron, con las contrapartes y su peso en el volumen. Para Bitcoin es la sección principal: distingue un vínculo diluido con un mixer en el pasado lejano de un depósito directo y reciente desde un mercado de la darknet.
• Datos de la dirección. Saldo, número de transacciones, volúmenes, primera y última actividad, parte retenida en el saldo. Son cifras de una dirección, no del clúster.

Cómo obtener el informe, qué más contiene y cómo compartirlo se explica en la página AML Risk Score.

• Varias entradas y salidas. Una transacción Bitcoin puede tener muchos remitentes y muchos destinatarios. Con un hash, la página de búsqueda muestra todas las direcciones de las partes y pregunta cuál verificar. Elija la de su contraparte, no la dirección de cambio.
• El cambio no es un segundo destinatario. Si una transacción tiene dos salidas, una de ellas casi con seguridad volvió al remitente. Verificarla por separado no tiene sentido: es el mismo clúster.
• Reutilización de direcciones. Una dirección que lleva años recibiendo pagos está vinculada a todos los que le pagaron, y su puntuación refleja sus historiales. En una dirección de depósito de un exchange es normal; en un monedero particular es motivo para preguntar de quién es.
• Una transferencia sin confirmar se puede sustituir. Mientras la transacción espera en la mempool, el remitente puede emitir otra con las mismas entradas y una comisión mayor (replace-by-fee), y la primera desaparece. Entregar mercancía contra un pago sin confirmar es un fraude clásico; espere al estado confirmada.
• El formato de la dirección no limpia la moneda. Legacy (1…), P2SH (3…), Bech32 (bc1q…) y Taproot (bc1p…) son formas distintas de escribir una dirección, no niveles de confianza. El riesgo vive en el historial de las salidas, no en el prefijo.
• Dusting. Una salida ínfima desde una dirección etiquetada hacia la suya es una forma de vincular su clúster a otro ajeno en cuanto la gaste junto con otras salidas. El informe lo marca como ataque de dusting; esa salida es mejor no gastarla nunca.

1. Puntuación baja y sin señales: basta la diligencia estándar. Guarde el informe; deja constancia del estado de la dirección en la fecha de la verificación.
2. Puntuación media: abra los orígenes y el mapa de flujos. Un vínculo antiguo y diluido con un mixer y un depósito directo y reciente desde la darknet dan cifras parecidas pero significan cosas distintas.
3. Puntuación alta o etiquetas de robo, sanciones o extorsión: no acepte la transferencia hasta que la contraparte explique el origen de los fondos, o mejor, renuncie a la operación. Si las monedas ya llegaron, no las mezcle con sus otras salidas y guarde el informe en PDF para una disputa con el exchange.
4. Repita la verificación antes de cada operación con la misma contraparte: el historial de una dirección cambia con cada transacción, y las etiquetas de las bases cambian a medida que avanzan las investigaciones.