Cómo funciona el rastreo en blockchain (y por qué la cripto es rastreable)

Conclusiones clave

• La blockchain es un registro público y permanente de cada transacción jamás realizada. Nada se borra, nada se revisa en silencio.
• Las direcciones de cripto son seudónimas, no anónimas. Cada dirección arrastra un historial de transacciones completo que se conecta con una identidad real a través de los datos de KYC de los exchanges y de los patrones de comportamiento.
• Los investigadores usan la agrupación de direcciones, el análisis de grafos y bases de datos etiquetadas para seguir los fondos a través de monederos y cadenas, a menudo en tiempo real.
• Las stablecoins pueden congelarse a petición de las fuerzas del orden, lo que las convierte en una herramienta de doble filo para los delincuentes que dependen de ellas.
• Las primeras 48 horas tras un robo son la ventana más crítica. Firmas como Match Systems trabajan directamente con los exchanges para marcar y congelar fondos antes de que se retiren, pero el proceso tiene que empezar de inmediato.

En este artículo

• El libro mayor que nunca olvida
• Seudónimo, no anónimo
• Cómo rastrean realmente los fondos los investigadores
• Los números detrás de la rastreabilidad
• Qué pueden (y qué no pueden) hacer los mezcladores y las monedas de privacidad
• Stablecoins: la ironía del activo criminal preferido
• Para las víctimas: qué hacer en las primeras 48 horas
• Preguntas frecuentes

El libro mayor que nunca olvida

El error más persistente en la seguridad cripto es creer que la criptomoneda es imposible de rastrear. Es una suposición con la que nos topamos constantemente en las investigaciones, y que sistemáticamente juega en contra de las víctimas que esperan antes de denunciar un robo, dando por hecho que no se puede hacer nada.

La blockchain es un libro mayor público de solo adición (append-only). Cada transacción que se ha producido queda registrada: dirección del emisor, dirección del receptor, importe, marca de tiempo. Esos datos se sellan en un bloque con un hash criptográfico que lo enlaza con todos los bloques anteriores. Cambia un solo carácter de una transacción pasada y el hash se rompe, algo que cada nodo de la red detecta de inmediato. Esto es lo que hace inmutable al libro mayor.

Exploradores de blockchain como Etherscan o Blockchain.com hacen que este registro sea públicamente consultable. No hace falta cuenta, ni acceso especial. Todo el historial de transacciones de cualquier dirección es visible para cualquiera que sepa dónde mirar.

Los ladrones lo saben, y por eso los actores sofisticados dedican un esfuerzo considerable a intentar ocultar su rastro tras un robo. Ese esfuerzo, en sí mismo, deja un patrón, y los patrones son lo que leen los investigadores.

Seudónimo, no anónimo

Una dirección de blockchain no muestra un nombre. Ahí acaba la privacidad. La dirección en sí tiene un historial público completo: cada transacción en la que ha estado involucrada, cada monedero con el que ha interactuado, cada depósito en un exchange vinculado a ella.

En 2013, la investigadora Sarah Meiklejohn, de la Universidad de California en San Diego, compró bienes, hizo transacciones en la darknet a propósito, y rastreó cada una de ellas a través de la blockchain de Bitcoin. La idea de que la cripto ofrecía un anonimato genuino se derrumbó ante un análisis académico básico. Las herramientas de que disponen hoy los investigadores son órdenes de magnitud más potentes que las que usó Meiklejohn.

Un patrón que vemos de forma constante: atacantes que creen haber cubierto con éxito sus huellas moviendo fondos a través de múltiples monederos han dejado, aun así, un grafo legible. Cada salto queda registrado, cada dirección intermedia tiene un historial. Conectar esas direcciones con una identidad real requiere los datos de KYC de un exchange, análisis de comportamiento y, en algunos casos, un proceso legal, pero el rastro en sí siempre está ahí.

Cómo rastrean realmente los fondos los investigadores

Agrupación de direcciones (clustering)

Cuando varias direcciones se usan como entradas en una sola transacción de Bitcoin, casi con certeza pertenecen al mismo dueño. Firmar cada entrada requiere la clave privada correspondiente, de modo que el co-gasto implica control común. Esta es la heurística del co-gasto, y permite a los analistas agrupar grandes cantidades de direcciones en un único perfil de entidad.

Una técnica relacionada es el análisis de direcciones de cambio. Las transacciones de Bitcoin suelen devolver pequeñas cantidades al emisor en una nueva dirección. Estas direcciones de cambio tienen una huella de comportamiento reconocible y se agrupan automáticamente en el mismo clúster.

Análisis del grafo de transacciones

Una vez agrupadas las direcciones, los investigadores mapean los flujos de fondos como un grafo: los nodos son direcciones, las aristas son transacciones. Los fondos robados se siguen a través de este grafo en tiempo real, incluso mientras los ladrones encaminan los activos a través de decenas de monederos intermedios.

El hackeo de Bybit de febrero de 2025 es el ejemplo reciente más claro. El Grupo Lazarus robó 1.500 millones de dólares en una sola operación. Los analistas mapearon luego un ciclo de blanqueo de 45 días que movía fondos a través de protocolos de puente, mesas OTC de habla china y servicios de mezcla. Ese ciclo está ahora documentado lo bastante bien como para que los investigadores puedan anticipar el siguiente movimiento y coordinarse con los exchanges antes de que lleguen los fondos.

Puntos de contacto de KYC y cooperación de los exchanges

La mayoría de los fondos robados acaba llegando a un exchange centralizado, y los exchanges exigen verificación de identidad. Cuando los fondos rastreados llegan a una dirección de depósito de un exchange, los investigadores presentan un aviso de emergencia al equipo de cumplimiento. La cuenta queda marcada, la retirada queda bloqueada a la espera del proceso legal.

A partir de 2026, los exchanges de EE. UU. están obligados a reportar los datos de las transacciones al IRS mediante el formulario 1099-DA, estrechando aún más la distancia entre la seudonimia on-chain y la identidad del mundo real.

Etiquetado de direcciones

Las firmas de analítica y los investigadores mantienen bases de datos de direcciones etiquetadas: monederos marcados como exchanges, mercados de la darknet, entidades sancionadas, operaciones de fraude conocidas. Cuando una transacción toca una dirección etiquetada, el perfil de riesgo se propaga por el grafo conectado.

En Match Systems operamos nuestra propia base de datos de etiquetado, que cubre las principales blockchains y se usa tanto en el filtrado de cumplimiento AML en tiempo real como en investigaciones activas de robos. La calidad de una base de datos de etiquetado afecta directamente a la rapidez con la que los investigadores pueden identificar hacia dónde se dirigen los fondos robados.

Los números detrás de la rastreabilidad

Qué pueden (y qué no pueden) hacer los mezcladores y las monedas de privacidad

Los servicios de mezcla son la herramienta de ocultación más común con la que nos encontramos. La premisa es sencilla: agrupar fondos de múltiples usuarios, redistribuirlos a nuevas direcciones y romper el vínculo directo entre emisor y receptor. Las transacciones CoinJoin en Bitcoin funcionan bajo el mismo principio.

En la práctica, los mezcladores añaden complejidad, no invisibilidad. Los investigadores rastrean los fondos que entran y salen de los servicios de mezcla analizando el volumen, los tiempos y el comportamiento de las direcciones del otro lado. Una gran cantidad que entra en un mezclador y una cantidad similar que sale poco después a una dirección nueva es un patrón reconocible, no una ruptura limpia.

El panorama regulatorio también ha cambiado de forma significativa. Tornado Cash fue sancionado por la OFAC en 2022. Chipmixer fue incautado por Europol en 2023. Usar un mezclador tras un robo documentado marca de inmediato cada dirección receptora en las principales plataformas de analítica.

Las monedas de privacidad como Monero usan firmas de anillo y direcciones sigilosas para dificultar el análisis on-chain. Presentan un auténtico reto técnico. Las retiradas de listado en los exchanges están reduciendo progresivamente su liquidez, y la presión regulatoria sobre la infraestructura de las monedas de privacidad va en aumento en múltiples jurisdicciones.

Stablecoins: la ironía del activo criminal preferido

En 2025, las stablecoins representaron una cuota dominante del volumen de transacciones cripto ilícitas, según los informes del FBI. Los delincuentes las prefieren por razones obvias: estabilidad de precio, liquidación rápida y fácil movimiento transfronterizo.

Lo que muchos no tienen en cuenta es que las stablecoins las emiten empresas con la capacidad técnica de congelar direcciones concretas a petición de las fuerzas del orden. Cuando los investigadores que trabajan con las autoridades identifican un monedero que contiene USDT, Tether puede restringir esa dirección, impidiendo que los fondos se muevan. La congelación puede levantarse si la situación legal cambia, pero detiene el reloj en un robo que se mueve con rapidez.

En una operación de 2024, se rastrearon y congelaron 47 millones de dólares en USDT vinculados a fraude y trata de personas mediante la cooperación entre las fuerzas del orden, Tron, Tether y los principales exchanges. La operación tuvo éxito porque los investigadores se movieron con la rapidez suficiente para que los fondos siguieran en forma de stablecoin cuando se tramitó la solicitud de congelación.

Cuanto más dependen los delincuentes de las stablecoins por su velocidad y estabilidad, más margen tienen los esfuerzos de investigación y de las fuerzas del orden, debidamente coordinados, para intervenir.

Para las víctimas: qué hacer en las primeras 48 horas

Para cuando la mayoría de las víctimas contacta con los investigadores, los fondos ya se han movido. Esa es la realidad honesta de la respuesta al robo de cripto. Dentro de la primera hora de un robo, los activos pueden pasar por múltiples monederos intermedios. Dentro de las 12 horas, pueden estar en otra cadena tras pasar por un puente, encaminados a través de un mezclador, o esperando su conversión en una mesa OTC.

Cada paso dificulta el caso. Cada hora que pasa sin un especialista implicado reduce las probabilidades de intervención.

Las prioridades inmediatas:

• Registra el hash de la transacción del robo y la dirección del monedero del atacante. Este es el punto de partida de toda investigación.
• No envíes fondos adicionales a ninguna dirección. Las estafas de recuperación dirigidas a víctimas de robos son extremadamente comunes, y funcionan precisamente porque las víctimas están desesperadas.
• Contacta con una firma especializada antes de presentar una denuncia policial, cuando sea posible. Las relaciones directas de los investigadores con los equipos de cumplimiento de los exchanges avanzan más rápido que los canales oficiales de las fuerzas del orden, que pueden tardar semanas en producir resultados.
• Preserva como prueba todas las comunicaciones, capturas de pantalla y el historial del monedero.

Si los fondos robados incluían stablecoins, contactar de inmediato con una firma especializada es especialmente importante. Congelar direcciones de stablecoins requiere la implicación de las fuerzas del orden, y Match Systems trabaja directamente con las autoridades para iniciar ese proceso lo más rápido posible.

Preguntas frecuentes

¿Es Bitcoin realmente rastreable?

Sí. Cada transacción de Bitcoin queda registrada de forma permanente en un libro mayor público. Las direcciones son seudónimas más que anónimas: por defecto no llevan un nombre asociado, pero cada dirección arrastra un historial de transacciones completo. Ese historial se conecta con la identidad a través de los datos de KYC de los exchanges, el análisis de comportamiento y, en algunos casos, un proceso legal.

¿Se pueden rastrear los fondos después de pasar por un mezclador?

Los mezcladores complican el rastreo, pero no lo impiden. Los investigadores analizan el volumen, los tiempos y el comportamiento de las direcciones del otro lado de un servicio de mezcla. El rastro es más difícil de seguir, no invisible. La mayoría de los grandes mezcladores también han sido clausurados o sancionados, lo que limita su utilidad para el blanqueo a gran escala.

¿Cuánto se tarda en rastrear cripto robada?

Depende de la complejidad del caso: el número de cadenas implicadas, si los fondos llegaron a un exchange que coopera, y con qué rapidez se abrió la investigación. El tiempo de respuesta de la víctima es la variable más importante para saber si es posible intervenir antes de que se retiren los fondos.

¿Qué es el etiquetado de direcciones y por qué importa?

El etiquetado de direcciones es la práctica de marcar los monederos de blockchain con su identidad conocida o su categoría de riesgo: exchange, estafador, mercado de la darknet, entidad sancionada. Las bases de datos etiquetadas permiten a los investigadores y a los equipos de cumplimiento reconocer al instante cuándo los fondos tocan a un mal actor conocido y entender hacia dónde es probable que se dirija el dinero a continuación. La profundidad de una base de datos de etiquetado es una de las principales cosas que separan las investigaciones eficaces de las lentas.

En las investigaciones de robo de cripto, el tiempo importa más de lo que la mayoría de las víctimas cree.

Una vez que los fondos se pasan por un puente, se mezclan o se retiran a través de canales OTC, la recuperación se vuelve mucho más difícil. Match Systems trabaja con exchanges, emisores de stablecoins y las fuerzas del orden para rastrear activos robados y apoyar la recuperación legal, con una base de datos propia de etiquetado de direcciones y relaciones directas de cumplimiento construidas a lo largo de años de investigaciones activas.

Inicia una evaluación de tu caso: https://matchsystems.com