¿Qué es el análisis de contaminación en criptomonedas? El análisis de contaminación es la práctica de atribuir "suciedad" — fondos procedentes de robos, exposición a sanciones o flujos de estafas — a unidades específicas del saldo en cadena a medida que se mueven a través de transacciones e intercambios. Los investigadores utilizan una de las tres reglas estándar (Poison, Haircut, FIFO) para decidir, cuando una billetera contiene fondos mezclados limpios y sucios, qué unidades se consideran contaminadas después de cada transferencia saliente. La elección de la regla determina la conclusión del rastreo.
Cuando los fondos son robados en una estafa de criptomonedas, el dinero rara vez permanece quieto. En cuestión de minutos se mueve a través de billeteras intermediarias, se divide entre direcciones y llega a un exchange. Los investigadores que quieren seguirlo se enfrentan a una pregunta central en cada salto: cuando los fondos robados se mezclan con fondos legítimos en la misma billetera, ¿cuánto de lo que sale sigue siendo "sucio"?
El análisis de contaminación es la respuesta a esa pregunta. Es una de las técnicas fundamentales del rastreo de fondos en blockchain, y comprenderla explica tanto lo que las herramientas de investigación modernas pueden hacer como dónde encuentran sus límites.
Esta guía explica qué es el análisis de contaminación, los tres métodos que usan los investigadores y un ejemplo práctico en Ethereum para que puedas ver exactamente cómo se comporta cada método.
¿Qué es el análisis de contaminación?
El análisis de contaminación estima qué porción del saldo de una billetera se originó en una fuente ilícita conocida y luego sigue esa porción a medida que los fondos se desplazan.
La idea se basa en una etiqueta simple. Las monedas relacionadas con un robo, una estafa o una dirección sancionada están contaminadas; las monedas sin dicha conexión están limpias. Como una sola billetera casi siempre contiene una mezcla de ambas, la técnica necesita una regla para dividir las transferencias salientes en sus porciones contaminadas y limpias.
Fondos contaminados vs. fondos limpios
Imagina una dirección que recibe 3.000 USDT robados de una víctima de estafa y, por separado, 7.000 USDT de operaciones ordinarias. La billetera ahora tiene 10.000 USDT, de los cuales 3.000 están contaminados. Cuando esa dirección luego envía 9.000 USDT a un exchange, un investigador tiene que decidir cuánto de los 9.000 salientes cuenta como contaminado. Diferentes reglas dan diferentes respuestas, y esa elección es lo que separa los tres métodos a continuación.
Por qué importa
Los investigadores lo utilizan para priorizar. No pueden congelar una cadena entera de transacciones, por lo que necesitan una estimación defendible de qué direcciones posteriores tienen valor robado y cuánto. Esa estimación es la que se comparte con el equipo de cumplimiento de un exchange o se incluye en un informe a las autoridades.
Por qué existe el análisis de contaminación
La dificultad proviene de cómo las blockchains combinan fondos. En una cadena basada en cuentas como Ethereum, el saldo de una billetera es un único número agrupado, por lo que una vez que los fondos contaminados y limpios llegan a la misma dirección son financieramente indistinguibles. Nada en el registro de transacciones sin procesar dice "esta transferencia de 9.000 USDT gastó el dinero sucio, no el dinero limpio."
El análisis de contaminación llena ese vacío con una regla contable explícita. Los investigadores han catalogado tres métodos estándar de contaminación llamados Poison, Haircut y FIFO. Las reglas se aplican a cualquier blockchain pública que registre transacciones abiertamente, incluidas las cadenas basadas en cuentas como Ethereum y las demás redes EVM donde ocurre la mayor parte del robo de tokens.
Los tres métodos, con un ejemplo práctico
Los tres métodos son Poison, Haircut y FIFO. Poison marca cada salida de una transacción contaminada como completamente sucia; Haircut divide la contaminación proporcionalmente entre las salidas; FIFO asigna la contaminación por orden cronológico de depósitos.
Toma la billetera del ejemplo anterior: tiene 10.000 USDT en Ethereum, de los cuales 3.000 están contaminados (de una víctima) y 7.000 están limpios. Envía 9.000 USDT a una dirección de depósito de un exchange. Así es como cada método etiqueta esos 9.000 salientes.
Poison: contamina todo lo que toca
El método Poison trata cada salida de una transacción que involucra cualquier entrada contaminada como completamente contaminada. No importa qué tan pequeña sea la porción sucia.
En nuestro ejemplo, la transferencia completa de 9.000 USDT se marca como contaminada y la dirección de depósito del exchange queda señalada como receptora de fondos robados. El problema es obvio: los fondos limpios se reetiquetan como sucios, y el grupo de monedas "contaminadas" crece cada vez que toca una nueva billetera. Poison es el método menos preciso, y los investigadores lo utilizan principalmente como una línea de base aproximada en lugar de una estimación de trabajo.
Haircut: contamina proporcionalmente
El método Haircut también trata cada salida como portadora de contaminación, pero asigna a cada una una proporción en lugar de la cantidad total. La porción contaminada de la billetera era 3.000 de 10.000, es decir, el 30%, por lo que el 30% de la transferencia saliente se cuenta como contaminado.
Eso significa que 2.700 USDT de los 9.000 se etiquetan como contaminados y 6.300 están limpios. Haircut es más realista que Poison porque preserva la cantidad total de dinero sucio en lugar de inflarla. Su debilidad es que dispersa un poco de contaminación a través de un número muy grande de direcciones, lo que hace que los rastreos largos sean ruidosos.
FIFO: contamina en orden
El método FIFO (primero en entrar, primero en salir) ignora las proporciones y se fija en el orden. Los fondos salen de la billetera en la misma secuencia en que llegaron: el primer depósito en entrar es el primero en gastarse.
En nuestro ejemplo, los 7.000 USDT limpios llegaron antes que los 3.000 contaminados. Bajo FIFO, los primeros 7.000 USDT de la transferencia saliente son limpios, y solo los siguientes 2.000 están contaminados. Los 1.000 restantes de fondos contaminados permanecen en la billetera. FIFO produce el rastreo más preciso y menos ruidoso, por eso es el método más utilizado cuando el objetivo es una lista negra defendible o un informe de calidad probatoria.
| Método | Regla | 9.000 USDT salientes | Precisión |
|---|---|---|---|
| Poison | Cualquier contaminación hace que toda la salida esté contaminada | 9.000 contaminados | Más baja — infla el grupo sucio |
| Haircut | Proporción de contaminación | 2.700 contaminados | Media — ruidoso en rastreos largos |
| FIFO | Primero en entrar, primero en salir | 2.000 contaminados | Más alta — rastreo más limpio |
Los tres métodos de análisis de contaminación etiquetando la misma transferencia saliente de 9.000 USDT. FIFO (resaltado) produce el rastreo menos ruidoso.
Lo que el análisis de contaminación puede y no puede hacer
El análisis de contaminación es poderoso, pero es una estimación, no una certeza, y los informes honestos dependen de conocer sus límites.
Funciona bien cuando los fondos se mueven a través de transferencias e intercambios ordinarios. Encuentra dificultades en tres situaciones. Los mezcladores rompen deliberadamente el vínculo entre depósitos y retiros, por lo que la contaminación debe restablecerse con métodos estadísticos en lugar de rastreo directo. El alto volumen de transacciones dispersa la contaminación entre tantas direcciones que las estimaciones al estilo Haircut pierden significado. Y los puentes entre cadenas mueven valor entre registros, por lo que el rastreo debe reconstruirse al otro lado.
Cómo se comporta el análisis de contaminación en tres escenarios comunes. Las transferencias ordinarias se rastrean limpiamente; los mezcladores y los puentes requieren cada uno una técnica adicional además del análisis de contaminación.
Ninguno de estos derrota completamente el rastreo, pero cada uno es un punto donde el método que utiliza una herramienta, y cuán cuidadosamente se aplica, cambia la respuesta.
Análisis de contaminación vs. rastreo completo de fondos
El análisis de contaminación y el rastreo completo de fondos están relacionados, pero no son idénticos. El análisis de contaminación es la regla contable; el rastreo completo de fondos es la investigación de extremo a extremo.
El análisis de contaminación responde una pregunta concreta en cada salto: dado que una billetera recibió fondos contaminados, ¿cuánto de la transferencia saliente es sucio? Es una regla aplicada repetidamente.
El rastreo completo de fondos es la investigación completa: identificar la transacción del robo, aplicar una regla de asignación en cada salto (que puede ser o no una regla textual de Poison / Haircut / FIFO), recorrer el grafo, atribuir direcciones a entidades reales (exchanges, mezcladores, puentes) y producir un informe sobre el que alguien pueda actuar. El análisis de contaminación es una perspectiva conceptual dentro de ese trabajo, junto al etiquetado de direcciones, el análisis de clústeres y la correspondencia entre cadenas.
Cuando un analista aplica un método de contaminación explícitamente, FIFO es el preferido para informes de calidad probatoria, Haircut para análisis exploratorio a través de muchas direcciones, y Poison raramente.
Cómo aparece este enfoque en las herramientas modernas
Aplicar manualmente cualquier regla contable salto a salto a través de miles de transacciones y varias cadenas no es realista, por lo que los investigadores dependen de herramientas de rastreo de fondos.
BlockSec's MetaSleuth es la herramienta orientada al analista para este trabajo: reconstruye los flujos de fondos para que un investigador pueda recorrer el grafo salto a salto, agrupar direcciones y atribuirlas a entidades reales — como en su caso de estudio del ataque a LI.FI. Trace AI automatiza el mismo trabajo de investigación con un agente de IA: el usuario describe un robo y proporciona una dirección de billetera o un hash de transacción, y el agente rastrea los fondos a través de las cadenas que soporta y produce un informe de flujo de fondos con las entidades a las que llegó el dinero.
Estas son herramientas de rastreo de fondos, no implementaciones de análisis de contaminación. Las reglas de contaminación descritas anteriormente comparten la misma pregunta subyacente — ¿qué porción de lo que salió sigue siendo sucio? — pero las herramientas de rastreo en producción típicamente utilizan sus propios métodos de grafos, agrupamiento y atribución en lugar de una regla textual de Poison / Haircut / FIFO. Comprender el análisis de contaminación sigue siendo útil, porque aclara el tipo de decisión que toda herramienta de rastreo debe tomar en cada salto.
Preguntas frecuentes
¿Es preciso el análisis de contaminación? El análisis de contaminación produce una estimación defendible, no una certeza. Su precisión depende del método utilizado y de la complejidad del rastreo. FIFO ofrece los resultados más limpios para transferencias ordinarias, mientras que los mezcladores y los volúmenes de transacciones muy altos reducen la confianza y requieren técnicas adicionales.
¿Cuál es la diferencia entre los métodos Poison y Haircut? Ambos tratan cada salida de una transacción contaminada como portadora de contaminación, pero Poison marca cada salida como completamente contaminada, mientras que Haircut asigna a cada una una proporción. Poison infla el grupo total de fondos sucios; Haircut lo preserva, lo que hace que Haircut sea más práctico.
¿Puede el análisis de contaminación rastrear fondos a través de un mezclador? No directamente. Los mezcladores están diseñados para romper el vínculo entre depósitos y retiros, por lo que las reglas simples de contaminación no pueden seguir los fondos directamente. Los investigadores restablecen la conexión mediante análisis estadístico y de comportamiento, lo que es más difícil y menos seguro que rastrear una transferencia ordinaria.
¿Es ilegal tener criptomonedas contaminadas? Tener fondos que una herramienta etiqueta como contaminados no es automáticamente ilegal, y las etiquetas de contaminación son estimaciones en lugar de juicios legales. Dicho esto, los exchanges pueden congelar depósitos vinculados a robos, y manejar conscientemente fondos robados conlleva riesgo legal. El análisis de contaminación señala dónde buscar; no determina la culpabilidad.
¿En qué blockchains funciona el análisis de contaminación? Los principios se aplican a cualquier blockchain pública que registre transacciones abiertamente, incluidas las cadenas basadas en cuentas como Ethereum y las demás redes EVM donde ocurre la mayor parte del robo de tokens. La mecánica exacta difiere entre los modelos de transacciones, pero la lógica de contaminado vs. limpio es la misma.
Lecturas relacionadas
- Caso de estudio del flujo de fondos ilícitos: el ataque a LI.FI
- Cómo usar MetaSleuth para rastrear fondos robados
- Trace AI: rastrear criptomonedas robadas con un agente de IA
Descubre cómo la investigación impulsada por IA aplica esto en múltiples cadenas. Ver cómo funciona Trace AI →
Sobre el autor. Andy es investigador de seguridad en BlockSec, donde se centra en el rastreo de fondos en cadena y la mecánica detrás de MetaSleuth. Este artículo se basa en los patrones de investigación que su equipo aplica a casos reales de robo en cadenas EVM.
Referencias
- Tironsakkul, Maarek, Eross, Just — Probing the Mystery of Cryptocurrency Theft: An Investigation into Methods for Taint Analysis, arXiv:1906.05754 (2019). https://arxiv.org/abs/1906.05754
