La respuesta corta: poner nombre a quién hay detrás significa agrupar direcciones en entidades
El rastreo del blanqueo cripto entre cadenas termina en una pregunta: ¿quién hay detrás de esta dirección? La respuesta es una entidad y no otra dirección, y la técnica que la produce es el agrupamiento de direcciones. Poner nombre a quién hay detrás es el paso que convierte un rastro de direcciones en una entidad con nombre, y el agrupamiento de direcciones es cómo se ejecuta ese paso. El resto de este artículo explica por qué el blanqueo entre cadenas se resiste a ese paso, qué aspecto tiene el flujo de trabajo etapa a etapa, y cómo hace MetaSleuth manejable todo el proceso.
Un solo actor casi nunca blanquea a través de una sola dirección. La misma persona controla decenas o cientos de direcciones, y una herramienta de grafos agrupa esas direcciones en un clúster encontrando financiación compartida, coordinación temporal o direcciones compartidas al otro lado. Cuando un clúster recibe nombre, la investigación ha pasado de rastrear a nombrar.
Una entidad puede ser una persona, un grupo de blanqueo, un exchange, un esquema o una organización sancionada. Los comportamientos que hacen que unas direcciones se agrupen coinciden con los indicadores de señal de alarma del GAFI para activos virtuales. Poner nombre no exige un nombre del mundo real desde el primer día: exige una agrupación estable que permita a quien investiga referirse al mismo actor a lo largo de miles de direcciones, que es el cimiento sobre el que se construyen todos los pasos posteriores.
Esta es la diferencia entre detectar y nombrar. Un monitor de transacciones marca una transferencia sospechosa. Nombrar responde a la pregunta más difícil de quién hay detrás de esa marca. El monitor dice que algo pasó. Quien investiga dice quién lo hizo.
En el incidente del puente Nomad, el agrupamiento de direcciones redujo 322 direcciones aparentes a no más de 219 entidades distintas. Dos de esas entidades controlaban casi la mitad de la pérdida, un hallazgo que permanece invisible cuando las direcciones se examinan de una en una.
Por qué el blanqueo entre cadenas se resiste a ser nombrado
El blanqueo se vuelve más difícil de nombrar en el momento en que abandona una sola cadena. Una ruta que mueve valor por Ethereum, un puente, BNB Chain, un exchange instantáneo y después Bitcoin rompe el grafo de una sola cadena en fragmentos. Cada cadena tiene sus propios exploradores, formatos de dirección y huecos, así que nombrar exige coser los fragmentos de nuevo.
Los puentes entre cadenas añaden otra ruptura. Cuando los activos pasan por un puente, el token se bloquea en una cadena y se acuña o se libera en otra, así que no hay una única transacción que quien investiga pueda seguir de corrido. La ruta hay que reensamblarla a partir de dos medios registros en dos libros contables distintos.
Quienes describen casos de blanqueo entre cadenas vuelven siempre a la misma exigencia: una ruta de blanqueo que abarque Ethereum, BNB Chain, Polygon, Avalanche y Bitcoin tiene que rastrearse y nombrarse en todas esas cadenas, no en una sola red.
Una línea de investigación recurrente pide exactamente eso: rastreo de fondos entre cadenas e interceptación por API a nivel de nodo, dos cosas que empujan la atribución más allá de una única red.
Los exchanges instantáneos empeoran el problema. Permiten a un usuario cambiar activos sin cuenta, lo que corta el vínculo entre depósito y retirada que un exchange de una sola cadena sí preservaría. Volver a enlazar esos dos lados es un problema de emparejamiento, y es donde suele atascarse la atribución. Los mezcladores añaden una segunda capa de ocultación encima, porque rompen la ruta uno a uno en un fondo común.
El flujo de trabajo de atribución
Poner nombre sigue un flujo de trabajo repetible con cuatro etapas: agrupamiento por depósito compartido, fusión de clústeres, identificación de la entidad y reatribución entre cadenas.
El orden importa porque cada etapa depende de la anterior. No puedes fusionar clústeres que no has encontrado, ni identificar una entidad que no has fusionado. El flujo es lineal, pero cada etapa puede volver atrás cuando afloran direcciones nuevas.
El agrupamiento por depósito compartido encuentra direcciones financiadas por el mismo origen. Partiendo de dos direcciones TRON aportadas por la víctima, MetaSleuth usó el agrupamiento por dirección de depósito compartida para ampliar el análisis hasta una red de fondos completa. Las direcciones semilla llevaron a monederos calientes, después a direcciones intermedias, después a canales de salida y finalmente a direcciones de depósito de exchanges.
La fusión de clústeres agrupa esas direcciones en clústeres mayores cuando comparten comportamiento aguas abajo. Dos direcciones que empezaron separadas pueden acabar en el mismo clúster porque las dos pagaron al mismo canal de salida. La identificación de la entidad nombra entonces el clúster como monedero caliente de un exchange, esquema Ponzi o entidad sancionada. El delito de fondo, el blanqueo, lo expone con claridad la visión general de FinCEN. El nombre de la entidad es lo que convierte el clúster en algo accionable: un nombre, una jurisdicción o un monedero contra el que se puede abrir un caso.
La recompensa es una entidad con nombre, no una lista. En un caso de blanqueo del Departamento de Justicia estadounidense, el análisis de MetaSleuth sobre una dirección rastreó más de 10 000 transferencias y más de 700 direcciones al otro lado. Esa escala solo importa porque las transferencias se resuelven en nombres sobre los que quien investiga puede actuar.
La última etapa es la reatribución entre cadenas. Cuando los fondos cruzan un puente, el clúster de la cadena de destino se empareja de nuevo con el de la cadena de origen, para que la entidad se mantenga continua a través del salto.
Cómo hace MetaSleuth manejable la atribución
MetaSleuth hace manejable la atribución combinando un grafo grande de direcciones etiquetadas, análisis entre cadenas y rastreo de exchanges instantáneos.
BlockSec ha descrito MetaSleuth como facilitadora de un seguimiento casi en tiempo real durante la respuesta a incidentes, y la plataforma la usan reguladores y agencias policiales de todo el mundo. En la práctica, quien investiga sigue el flujo visualmente. Cada salto se dibuja como una arista entre direcciones, y las entidades etiquetadas aparecen como nodos con nombre. La ruta se lee como un relato y no como una hoja de cálculo de hashes.
MetaSleuth lleva más de 600 millones de etiquetas de direcciones, así que una dirección agrupada se puede nombrar a menudo de forma directa en lugar de quedarse como un identificador anónimo. Eso es lo que le da a quien investiga el grafo de direcciones de MetaSleuth.
MetaSleuth admite 12 cadenas listadas en su documentación oficial, y su vista entre cadenas sigue los fondos a través de los puentes. Un mismo espacio de trabajo muestra juntas la cadena de origen y la de destino, así que quien investiga no tiene que reconstruir el grafo a mano.
El método de emparejamiento de exchanges instantáneos que BlockSec presentó en ACM SIGMETRICS 2025 enlaza depósitos con retiradas con más de un 80 % de precisión, reportado como resultado académico y no como referencia de producto. Ese emparejamiento es la pieza que cierra el hueco entre depósito y retirada que abren los exchanges instantáneos.
El método no es teórico. La investigación de VerilyHK y el caso del Departamento de Justicia estadounidense terminan los dos en entidades con nombre porque el grafo etiquetado, la vista entre cadenas y el método de emparejamiento se combinan en un mismo espacio de trabajo.
Qué hacer a continuación
Elige un rastro de blanqueo que ahora mismo se detenga en un callejón sin salida y pásalo por el flujo de atribución. Parte de la dirección semilla, agrúpala, fusiona los clústeres y nombra la entidad. En el momento en que puedas decir quién hay detrás de las direcciones en lugar de solo listarlas, la investigación ha avanzado.
Pon nombre a los actores con MetaSleuth y convierte un rastro multicadena en una entidad con nombre.
Este artículo forma parte de la guía de investigaciones y forense de MetaSleuth, donde el método de rastreo, el tratamiento de las evidencias y los niveles de herramienta se cubren de principio a fin.