Screening de direcciones cripto: cómo funciona
El screening de direcciones cripto consiste en revisar cada wallet con la que opera tu plataforma contra datos de riesgo, antes o justo después de que se muevan los fondos. El motor identifica quién controla la dirección, a qué distancia está de entidades sancionadas o ilícitas y devuelve una puntuación de riesgo que decide si la transferencia pasa, se retiene o va a un analista. Lo difícil no es la consulta, sino la política que hay detrás: qué direcciones revisar, hasta dónde rastrear y en qué punto debe intervenir una persona.
Qué se revisa
Muchos equipos empiezan por los depósitos y ahí se quedan. Eso deja huecos. Un programa completo cubre tres flujos:
- Depósitos. La dirección de origen y, si es posible, el historial que la precede. Antes de abonar al cliente conviene saber si los fondos pasaron por un mixer, un mercado de la darknet, un exchange sancionado o un protocolo hackeado.
- Retiros. La dirección de destino, revisada antes de firmar y emitir la transacción. Una vez que los fondos salen, no hay vuelta atrás. Aquí es donde el control de sanciones pesa más.
- Contrapartes. Direcciones que el cliente declara como propias, direcciones de retiro en lista blanca, contrapartes OTC y hot wallets de otros VASP con los que liquidas. Se revisan al darlas de alta y luego se monitorean.
El screening en el momento de la transferencia detecta lo que se sabe hoy. El monitoreo de wallets detecta lo que se sabrá mañana: una dirección limpia en marzo puede quedar vinculada a un exploit en junio. Necesitas las dos cosas.
Exposición directa e indirecta
La exposición directa se da cuando la dirección revisada envió o recibió fondos de una entidad de riesgo en una sola transacción. Si una dirección de depósito recibió USDT directamente de una dirección sancionada, es exposición directa.
La exposición indirecta aparece cuando la entidad de riesgo está más atrás en la cadena. Los fondos salieron de un mixer, pasaron por dos wallets intermedias y llegaron a tu cliente. Nadie tocó el mixer directamente, pero el dinero sí.
Las dos cuentan, pero no pesan igual. La exposición directa a una entidad sancionada es casi un bloqueo automático. La exposición indirecta a cuatro saltos, diluida entre miles de transacciones ajenas, suele ser ruido.
Profundidad de saltos
La profundidad indica cuántas transacciones hacia atrás (o hacia adelante) rastrea el motor. Un salto detecta la exposición directa. Dos o tres saltos detectan el patrón habitual de lavado: mover fondos por un par de wallets nuevas antes de depositar. Más allá, casi cualquier dirección de una red con mucho tráfico conecta con algo malo, porque los grandes exchanges y los pools de liquidez mezclan los fondos de todos.
Lo razonable es rastrear en profundidad pero descontar por distancia y por proporción del flujo. Una wallet cuyo saldo entero salió de un mixer hace tres saltos es un problema real. Una que recibió el 0,2 % de sus fondos de una dirección que alguna vez interactuó con un casino en línea, no.
Umbrales y reglas
La puntuación solo sirve si se traduce en acciones. Lo habitual son tres franjas: aprobar, revisar y bloquear. Los cortes concretos dependen de tu apetito de riesgo y de tu regulador, pero las reglas deben estar escritas y poder explicarse.
Así trata el motor de puntuación determinista de Cryptic AI algunos casos frecuentes. La puntuación final de 0 a 100 la calculan reglas, no un modelo de lenguaje: con los mismos datos sale siempre la misma puntuación, y cada una se desglosa en componentes que puedes mostrar a un auditor.
| Situación | Regla de puntuación | Acción habitual |
|---|---|---|
| La propia dirección está sancionada | No menos de 90 | Bloquear, escalar, valorar reporte |
| Contacto directo con una entidad sancionada de 1.000 USD o más en los últimos 30 días | No menos de 90 | Bloquear o retener, abrir caso |
| Transferencias de polvo (dust) menores de 10 USD desde fuentes de riesgo | No elevan la puntuación | Normalmente aprobar |
| Wallet de un exchange o servicio con algunas entradas de riesgo | El nivel depende de la proporción de flujo de riesgo, no de un solo contacto | Aprobar o revisar según la proporción |
La regla del dust merece atención. Atacantes y spammers envían importes mínimos desde direcciones contaminadas a miles de wallets. Si el motor puntúa cualquier contacto, una campaña de dusting puede mandar a revisión a clientes limpios de un día para otro.
Señales de comportamiento
La exposición es solo la mitad. Hay wallets sin contrapartes conocidas de riesgo que aun así se comportan como infraestructura de lavado. Señales útiles:
- Transferencias a intervalos regulares, lo que sugiere automatización.
- Importes agrupados justo por debajo de 10.000, 5.000, 3.000 o 1.000 USD: el fraccionamiento (structuring) de manual.
- Una proporción alta de importes redondos.
- Actividad concentrada en horas poco habituales, visible en un mapa de calor por hora.
Cómo reducir los falsos positivos
Los falsos positivos son el principal coste del screening de wallets. Cada alerta que no lleva a nada consume tiempo del analista y retrasa a un cliente. Las causas se repiten:
- Infraestructura compartida. Los grandes exchanges y pools DeFi tocan todo. La exposición a través de ellos dice poco del usuario final.
- Dust y envenenamiento de direcciones. Transferencias mínimas que el cliente nunca pidió.
- Atribución desactualizada. Una etiqueta que fue correcta pero ya no refleja quién controla la dirección.
- Un solo proveedor de datos. Un proveedor marca la dirección como de alto riesgo y otros no tienen registro o la etiquetan distinto.
Las soluciones salen de las causas: ponderar por proporción del flujo, ignorar el dust y contrastar la atribución con más de una fuente.
Cuándo la automatización debe pasar el caso a una persona
El screening automatizado debe resolver los casos claros de ambos extremos y mandar el medio a personas. Escala a una investigación cuando:
- La puntuación cae en la franja de revisión o saltó una regla de sanciones.
- Los proveedores de datos no coinciden sobre quién controla la dirección.
- Las señales de comportamiento son fuertes pero la exposición es baja (o al revés).
- El importe es alto para el perfil del cliente.
- El cliente tiene alertas previas.
- El caso puede acabar en un reporte de operación sospechosa.
El módulo KYT de Cryptic AI usa un agente de IA para esa parte. El agente elige sus herramientas, sigue los fondos a través de los saltos y contrasta varios proveedores de datos blockchain (Chainalysis, Global Ledger, Breadcrumbs) con su propia base de atribución, el clustering de BTC, los datos de sanciones de OFAC y fuentes OSINT. Cada factor de riesgo debe venir con evidencia: transacción, fuente y fecha. Los factores sin evidencia se descartan. El analista revisa hallazgos en lugar de reunirlos, y la puntuación final sigue saliendo del motor determinista.
Si la investigación justifica un reporte, el módulo de reportes de operaciones sospechosas prepara un borrador con la evidencia del caso, solo hechos confirmados y hashes completos. El oficial de cumplimiento decide si lo presenta y lo firma.
Integración por API y webhooks
Una API de screening se coloca entre tu infraestructura de wallets y tu libro contable. El patrón típico:
- Se detecta un depósito. Tu nodo o custodio ve la transferencia entrante. Antes de abonar, llamas a la API con la dirección de origen, el activo, el importe y el hash.
- Decisión inmediata en los casos claros. Puntuación baja: se abona. Coincidencia con sanciones: se congela y se abre un caso.
- Resultado asíncrono para el resto. El depósito queda pendiente hasta que llega un webhook con el cierre de la investigación o la decisión del analista.
- Solicitud de retiro. Se revisa el destino antes de firmar. No se emite nada hasta tener el resultado.
- Monitoreo continuo. Registras las direcciones de clientes y contrapartes. Las nuevas señales generan alertas en la interfaz, por correo o en tu propio consumidor de webhooks.
Guarda la respuesta completa junto a cada transacción, no solo la puntuación. Ante un auditor necesitarás los componentes, las fuentes y la evidencia tal como estaban entonces. Los informes de Cryptic AI se exportan a PDF con el grafo de vínculos, los flujos de fondos y un anexo de transacciones precisamente para eso.
Preguntas frecuentes
¿Qué diferencia hay entre screening de wallets y monitoreo de transacciones?
El screening evalúa una dirección: quién la controla y a qué ha estado expuesta. El monitoreo de transacciones observa patrones en las operaciones de un cliente a lo largo del tiempo. Un programa KYT combina ambos: revisa cada dirección al transferir y vigila el comportamiento después.
¿Cuántos saltos debe rastrear el screening?
No hay un número único. Un salto detecta la exposición directa y dos o tres detectan la mayoría de las capas deliberadas. Rastrear más solo tiene sentido si el motor descuenta por distancia y proporción del flujo; si no, casi todas las direcciones parecen de riesgo.
¿Toda puntuación alta debe bloquear la transferencia?
Las coincidencias con sanciones, por lo general, sí. En el resto, retener y escalar a un analista suele ser mejor que rechazar automáticamente, porque el motivo de la puntuación importa para la decisión y para cualquier reporte posterior.
¿Hay que revisar los retiros si ya reviso los depósitos?
Sí. Enviar fondos a una dirección sancionada o ilícita es un riesgo distinto al de recibirlos, y no se puede deshacer una vez emitida la transacción.
El screening de direcciones cripto funciona mejor cuando las reglas son explícitas, la puntuación es reproducible y los casos difíciles llegan a una persona con la evidencia ya reunida. Para ver cómo Cryptic AI combina screening, investigación y monitoreo de wallets, visita la página de KYT.