Cuando se roban fondos en una estafa de criptomonedas, el dinero rara vez permanece quieto. En cuestión de minutos se mueve a través de billeteras intermediarias, se divide entre direcciones y termina en un exchange. Los investigadores que quieren seguirlo se enfrentan a una pregunta central en cada salto: cuando los fondos robados se mezclan con fondos legítimos en la misma billetera, ¿cuánto de lo que sale sigue siendo "sucio"?
El análisis de contaminación es la respuesta a esa pregunta. Es una de las técnicas fundamentales del rastreo de fondos en blockchain, y comprenderla explica tanto lo que las herramientas de investigación modernas pueden hacer como dónde encuentran sus límites.
Esta guía explica qué es el análisis de contaminación, los tres métodos que usan los investigadores y un ejemplo práctico en Ethereum para que puedas ver exactamente cómo se comporta cada método.
¿Qué es el análisis de contaminación?
El análisis de contaminación estima qué proporción del saldo de una billetera se originó en una fuente ilícita conocida y luego sigue esa proporción a medida que los fondos continúan moviéndose.
La idea se basa en una etiqueta simple. Las monedas vinculadas a un robo, una estafa o una dirección sancionada están contaminadas; las monedas sin esa conexión están limpias. Dado que una billetera casi siempre contiene una mezcla de ambas, la técnica necesita una regla para dividir las transferencias salientes en sus porciones contaminadas y limpias.
Fondos contaminados vs. fondos limpios
Imagina una dirección que recibe 3.000 USDT robados de una víctima de estafa y, por separado, 7.000 USDT provenientes de operaciones ordinarias. La billetera ahora tiene 10.000 USDT, de los cuales 3.000 están contaminados. Cuando esa dirección más tarde envía 9.000 USDT a un exchange, un investigador debe decidir cuánto de los 9.000 salientes cuenta como contaminado. Diferentes reglas dan diferentes respuestas, y esa elección es lo que diferencia los tres métodos que se describen a continuación.
Por qué importa
Los investigadores lo usan para priorizar. No pueden congelar toda una cadena de transacciones, por lo que necesitan una estimación defendible de qué direcciones posteriores contienen valor robado y cuánto. Esa estimación es la que se comparte con el equipo de cumplimiento de un exchange o se incluye en un informe para las autoridades.
Por qué existe el análisis de contaminación
La dificultad proviene de cómo las blockchains combinan fondos. En una cadena basada en cuentas como Ethereum, el saldo de una billetera es un único número agrupado, por lo que una vez que los fondos contaminados y limpios llegan a la misma dirección son financieramente indistinguibles. Nada en el registro de transacciones sin procesar dice "esta transferencia de 9.000 USDT gastó el dinero sucio, no el dinero limpio."
El análisis de contaminación llena ese vacío con una regla contable explícita. Los investigadores han catalogado tres métodos estándar de contaminación llamados Poison, Haircut y FIFO. Las reglas se aplican a cualquier blockchain pública que registre transacciones abiertamente, incluidas las cadenas basadas en cuentas como Ethereum y las demás redes EVM donde ocurre la mayor parte del robo de tokens.
Los tres métodos, con un ejemplo práctico
Los tres métodos son Poison, Haircut y FIFO. Poison marca cada salida de una transacción contaminada como completamente sucia; Haircut divide la contaminación proporcionalmente entre las salidas; FIFO asigna la contaminación por orden cronológico de los depósitos.
Tomemos la billetera del ejemplo anterior: tiene 10.000 USDT en Ethereum, de los cuales 3.000 están contaminados (provenientes de una víctima) y 7.000 están limpios. Envía 9.000 USDT a una dirección de depósito de un exchange. Así es como cada método etiqueta esos 9.000 salientes.
Poison: contaminar todo lo que toca
El método Poison trata cada salida de una transacción que involucra cualquier entrada contaminada como completamente contaminada. No importa cuán pequeña sea la porción sucia.
En nuestro ejemplo, la transferencia completa de 9.000 USDT se marca como contaminada, y la dirección de depósito del exchange queda señalada como receptora de fondos robados. El problema es evidente: los fondos limpios se reetiquetan como sucios, y el conjunto de monedas "contaminadas" crece cada vez que toca una nueva billetera. Poison es el método menos preciso, y los investigadores lo usan principalmente como una línea base aproximada en lugar de una estimación de trabajo.
Haircut: contaminar proporcionalmente
El método Haircut también trata cada salida como portadora de contaminación, pero asigna a cada una una proporción en lugar del monto total. La porción contaminada de la billetera era 3.000 de 10.000, es decir, el 30%, por lo que el 30% de la transferencia saliente se cuenta como contaminado.
Eso significa que 2.700 USDT de los 9.000 se etiquetan como contaminados y 6.300 están limpios. Haircut es más realista que Poison porque preserva el monto total de dinero sucio en lugar de inflarlo. Su debilidad es que distribuye un poco de contaminación entre un número muy grande de direcciones, lo que hace que los rastros largos sean ruidosos.
FIFO: contaminar en orden
El método FIFO (primero en entrar, primero en salir) ignora las proporciones y mira el orden en su lugar. Los fondos salen de la billetera en la misma secuencia en que llegaron: el primer depósito en entrar es el primero en gastarse.
En nuestro ejemplo, los 7.000 USDT limpios llegaron antes que los 3.000 contaminados. Con FIFO, los primeros 7.000 USDT de la transferencia saliente son limpios, y solo los siguientes 2.000 están contaminados. Los 1.000 restantes de fondos contaminados permanecen en la billetera. FIFO produce el rastro más preciso y menos ruidoso, razón por la cual es el método más utilizado cuando el objetivo es una lista negra defendible o un informe con valor probatorio.
| Método | Regla | 9.000 USDT salientes | Precisión |
|---|---|---|---|
| Poison | Cualquier contaminación hace que toda la salida esté contaminada | 9.000 contaminados | Más baja — infla el conjunto sucio |
| Haircut | Proporción de contaminación | 2.700 contaminados | Media — ruidoso en rastros largos |
| FIFO | Primero en entrar, primero en salir por orden | 2.000 contaminados | Más alta — rastro más limpio |
Los tres métodos de análisis de contaminación etiquetando la misma transferencia saliente de 9.000 USDT. FIFO (resaltado) produce el rastro menos ruidoso.
Lo que el análisis de contaminación puede y no puede hacer
El análisis de contaminación es poderoso, pero es una estimación, no una certeza, y un informe honesto depende de conocer sus límites.
Funciona bien cuando los fondos se mueven a través de transferencias e intercambios ordinarios. Tiene dificultades en tres situaciones. Los mezcladores rompen deliberadamente el vínculo entre depósitos y retiros, por lo que la contaminación debe restablecerse con métodos estadísticos en lugar de rastreo directo. Un volumen de transacciones elevado distribuye la contaminación entre tantas direcciones que las estimaciones al estilo Haircut pierden significado. Y los puentes entre cadenas mueven valor entre registros, por lo que un rastro debe reconstruirse en el otro lado.
Cómo se comporta el análisis de contaminación en tres escenarios comunes. Las transferencias ordinarias se rastrean limpiamente; los mezcladores y los puentes requieren cada uno una técnica adicional además del análisis de contaminación.
Ninguno de estos derrota completamente el rastreo, pero cada uno es un lugar donde el método que usa una herramienta, y con qué cuidado se aplica, cambia la respuesta.
Análisis de contaminación vs. rastreo completo de fondos
El análisis de contaminación y el rastreo completo de fondos están relacionados pero no son idénticos. El análisis de contaminación es la regla contable; el rastreo completo de fondos es la investigación de extremo a extremo.
El análisis de contaminación responde una pregunta concreta en cada salto: dada una billetera que recibió fondos contaminados, ¿cuánto de la transferencia saliente es sucio? Es una regla aplicada repetidamente.
El rastreo completo de fondos es la investigación completa: identificar la transacción del robo, aplicar una regla de asignación en cada salto (que puede o no ser una regla textual de Poison / Haircut / FIFO), recorrer el grafo, atribuir direcciones a entidades reales (exchanges, mezcladores, puentes) y producir un informe sobre el cual alguien pueda actuar. El análisis de contaminación es una perspectiva conceptual dentro de ese trabajo, junto con el etiquetado de direcciones, el análisis de clústeres y la correspondencia entre cadenas.
Cuando un analista aplica explícitamente un método de contaminación, se prefiere FIFO para informes con valor probatorio, Haircut para análisis exploratorio entre muchas direcciones, y Poison raramente.
Cómo este enfoque aparece en las herramientas modernas
Aplicar manualmente cualquier regla contable salto a salto a través de miles de transacciones y varias cadenas no es realista, por lo que los investigadores dependen de herramientas de rastreo de fondos.
La herramienta de BlockSec orientada al analista para este trabajo es MetaSleuth: reconstruye los flujos de fondos para que un investigador pueda recorrer el grafo salto a salto, agrupar direcciones y atribuirlas a entidades reales, como en su caso de estudio del ataque a LI.FI. Trace AI automatiza el mismo trabajo de investigación con un agente de IA: el usuario describe un robo y proporciona una dirección de billetera o un hash de transacción, y el agente rastrea los fondos a través de las cadenas compatibles y produce un informe de flujo de fondos con las entidades a las que llegó el dinero.
Estas son herramientas de rastreo de fondos, no implementaciones de análisis de contaminación. Las reglas de contaminación descritas anteriormente comparten la misma pregunta subyacente — ¿qué porción de lo que salió sigue siendo sucio? — pero las herramientas de rastreo en producción generalmente usan sus propios métodos de grafo, agrupamiento y atribución en lugar de una regla textual de Poison / Haircut / FIFO. Comprender el análisis de contaminación sigue siendo útil, porque aclara el tipo de decisión que toda herramienta de rastreo debe tomar en cada salto.
Preguntas frecuentes
¿Es preciso el análisis de contaminación? El análisis de contaminación produce una estimación defendible, no una certeza. Su precisión depende del método utilizado y de la complejidad del rastro. FIFO ofrece los resultados más limpios para transferencias ordinarias, mientras que los mezcladores y los volúmenes de transacciones muy altos reducen la confianza y requieren técnicas adicionales.
¿Cuál es la diferencia entre los métodos Poison y Haircut? Ambos tratan cada salida de una transacción contaminada como portadora de contaminación, pero Poison marca cada salida como completamente contaminada, mientras que Haircut asigna a cada una una proporción. Poison infla el conjunto total de fondos sucios; Haircut lo preserva, lo que hace que Haircut sea más práctico.
¿Puede el análisis de contaminación rastrear fondos a través de un mezclador? No directamente. Los mezcladores están diseñados para romper el vínculo entre depósitos y retiros, por lo que las reglas de contaminación simples no pueden seguir los fondos directamente a través de ellos. Los investigadores restablecen la conexión mediante análisis estadístico y de comportamiento, lo cual es más difícil y menos certero que rastrear una transferencia ordinaria.
¿Es ilegal tener criptomonedas contaminadas? Tener fondos que una herramienta etiqueta como contaminados no es automáticamente ilegal, y las etiquetas de contaminación son estimaciones, no juicios legales. Dicho esto, los exchanges pueden congelar depósitos vinculados a robos, y manejar conscientemente fondos robados conlleva riesgo legal. El análisis de contaminación señala dónde buscar; no determina la culpabilidad.
¿En qué blockchains funciona el análisis de contaminación? Los principios se aplican a cualquier blockchain pública que registre transacciones abiertamente, incluidas las cadenas basadas en cuentas como Ethereum y las demás redes EVM donde ocurre la mayor parte del robo de tokens. Los mecanismos exactos difieren entre modelos de transacción, pero la lógica de contaminado versus limpio es la misma.
Lecturas relacionadas
- Caso de estudio de flujo de fondos ilícitos: el ataque a LI.FI
- Cómo usar MetaSleuth para rastrear fondos robados
- Trace AI: rastrea criptomonedas robadas con un agente de IA
Descubre cómo la investigación impulsada por IA aplica esto en múltiples cadenas. Ver cómo funciona Trace AI →
Sobre el autor. Andy es investigador de seguridad en BlockSec, donde se enfoca en el rastreo de fondos en cadena y los mecanismos detrás de MetaSleuth. Este artículo se basa en los patrones de investigación que su equipo aplica a casos reales de robo en cadenas EVM.
Referencias
- Tironsakkul, Maarek, Eross, Just — Probing the Mystery of Cryptocurrency Theft: An Investigation into Methods for Taint Analysis, arXiv:1906.05754 (2019). https://arxiv.org/abs/1906.05754
