Lavado de dinero con criptomonedas: señales de alerta
Las señales de alerta de lavado de dinero con criptomonedas que más pesan son la exposición a mezcladores (mixers) y CoinJoin, el salto rápido entre cadenas mediante puentes (chain hopping), las peel chains, los depósitos fraccionados justo por debajo de los umbrales, las transferencias a intervalos sospechosamente regulares y los fondos que atraviesan billeteras recién creadas en cuestión de minutos. Ninguna de ellas demuestra el lavado por sí sola. Combinadas y respaldadas con evidencia on-chain, convierten un depósito rutinario en un caso.
Esta guía está pensada para oficiales de cumplimiento, responsables de prevención de blanqueo de capitales y fundadores de exchanges, mesas OTC y empresas de pagos, tanto en Latinoamérica como en España. Explica cada patrón, cómo se siguen los fondos y qué evidencia guardar.
Las señales funcionan mejor en conjunto
El GAFI (FATF) publicó en 2020 un informe sobre indicadores de alerta para activos virtuales. Su idea central sigue vigente: un indicador aislado dice poco y el contexto lo es todo. Un usuario puede usar CoinJoin por privacidad, un trader puede cambiar de red por comisiones y una empresa puede enviar montos redondos porque factura así.
El riesgo crece cuando los indicadores se acumulan. Una billetera nueva que recibe salida de un mixer, la pasa a otra cadena en diez minutos y luego deposita 9.800 USD en su exchange no se parece en nada a cualquiera de esos pasos por separado.
Mezcladores y CoinJoin
Un mixer custodial recibe monedas de muchos usuarios y paga más tarde con otras monedas, a menudo con retrasos y montos aleatorios. El vínculo on-chain entre la entrada y la salida se corta a propósito. La exposición directa o a un salto de un mezclador conocido es un disparador clásico en AML, y algunos mixers figuran en listas de sanciones: ahí la señal de riesgo pasa a ser una prohibición legal.
CoinJoin funciona distinto. Varios usuarios firman juntos una sola transacción de Bitcoin, cada uno aporta sus entradas y recibe salidas del mismo tamaño. Nadie custodia fondos ajenos, pero el resultado se ve parecido desde fuera: muchas entradas, muchas salidas idénticas y ninguna correspondencia clara entre ellas.
Por qué CoinJoin rompe el clustering ingenuo
Casi toda la atribución en Bitcoin se apoya en la heurística de entrada común: si varias direcciones firman entradas en la misma transacción, probablemente las controla una sola entidad. CoinJoin rompe ese supuesto de forma deliberada. Una herramienta que aplica la heurística a ciegas fusiona decenas de usuarios que no tienen nada que ver en un mismo clúster, y un solo CoinJoin mal interpretado puede vincular a un cliente minorista con una billetera de ransomware que coincidió en la misma ronda.
Los pagos agrupados (batch) de los exchanges causan un problema parecido. Si evalúa un proveedor, pregunte cómo maneja ambos casos.
Puentes y chain hopping
El chain hopping consiste en mover valor entre blockchains, normalmente con puentes o servicios de intercambio, para cortar el rastro. Los fondos salen de Ethereum como USDT, llegan a Tron, se cambian por otro token, cruzan otro puente y terminan en un exchange. Una herramienta que solo lee una cadena ve que el rastro muere en el puente.
Señales de alerta alrededor de los puentes:
- Varios saltos en pocos minutos sin propósito comercial, sobre todo con activos que el cliente nunca mantiene.
- Paso a cadenas o tokens que no encajan con la actividad declarada del cliente.
- Saltos que empiezan poco después de que aparezca aguas arriba un hackeo, una estafa o una dirección sancionada.
Seguir un puente significa emparejar el bloqueo o la quema en la cadena de origen con la emisión o liberación en la de destino: mismo monto menos comisiones, horarios que cuadran y, cuando existe, el identificador de mensaje del propio puente. Ese emparejamiento es evidencia. Anótelo con los dos hashes.
Peel chains
Una peel chain arranca con un saldo grande en una dirección. Cada transacción envía una cantidad pequeña a un destino (a menudo una dirección de depósito de un exchange) y el resto a una nueva dirección de cambio, que repite el proceso.
Se reconocen por secuencias largas de transacciones con una entrada y dos salidas, una mucho menor que la otra. Si el depósito de su cliente es un desprendimiento de una cadena que empezó en una billetera hackeada o de la darknet, ese vínculo tiene que aparecer en la revisión, aunque esté a cinco o diez saltos.
Fraccionamiento, horarios y montos
El fraccionamiento de operaciones en cripto (lo que en inglés se llama structuring) es igual que con efectivo: dividir una suma para quedar por debajo de los umbrales que activan reportes, diligencia reforzada o la recogida de datos de la Regla de Viaje. Las referencias habituales son 10.000, 3.000 y 1.000 USD, según la jurisdicción y las políticas internas.
| Patrón | Cómo se ve | Por qué importa |
|---|---|---|
| Justo por debajo del umbral | Depósitos repetidos de 9.700 a 9.950 USD, o de 2.900 a 2.990 USD | Indica que el remitente sabe dónde empiezan sus controles |
| Transferencias equiespaciadas | Envíos cada 15 minutos, o a la misma hora todos los días | Sugiere scripts u operación coordinada, no uso personal |
| Muchos montos redondos | La mayoría de envíos son exactamente 1.000 o 5.000 USDT | Frecuente en liquidaciones OTC y operaciones de retiro a efectivo |
| Entrada y salida rápida | Los fondos llegan y salen de una billetera nueva en minutos | Típico de billeteras de paso y de mulas |
Tres o cuatro a la vez justifican una revisión a fondo.
Billeteras nuevas y servicios anidados
Las billeteras sin historial, fondeadas una vez y vaciadas enseguida, funcionan como amortiguador entre el origen y su plataforma. Añaden un salto y quitan contexto. Fíjese en depósitos donde el remitente inmediato es nuevo pero la dirección dos o tres saltos atrás no lo es.
Los servicios anidados son un problema más difícil. Una mesa OTC, un procesador de pagos o un exchange pequeño puede mover los fondos de sus clientes a través de una cuenta en su plataforma. On-chain usted ve un cliente; detrás puede haber cientos de usuarios finales que nunca pasaron por su KYC. Señales: volúmenes que no cuadran con el negocio declarado y un cliente que no explica el origen de los depósitos. Trate estas cuentas como relaciones de corresponsalía y revise sus propios controles AML.
Cómo se siguen los fondos de un salto a otro
Una investigación práctica sigue más o menos estos pasos:
- Partir de la transacción de depósito o retiro e identificar la contraparte inmediata.
- Rastrear hacia atrás (depósitos) o hacia delante (retiros) salto a salto, anotando cada entidad identificada.
- En cada puente o swap, emparejar la transferencia en la otra cadena y continuar allí.
- Contrastar las atribuciones con más de una fuente. Los proveedores discrepan y una etiqueta puede estar mal o desactualizada.
- Revisar listas de sanciones y fuentes abiertas para las direcciones y entidades encontradas.
- Analizar el comportamiento de la billetera del cliente: horarios, montos, umbrales.
- Decidir y dejar registrado el razonamiento.
Ahí entra el KYT de Cryptic AI. Un agente de IA hace esa investigación sobre la billetera por sí mismo: sigue el dinero salto a salto, contrasta varios proveedores de datos blockchain y nuestra propia base de atribución, aplica clustering de Bitcoin en tiempo real con salvaguardas frente a CoinJoin y pagos agrupados de exchanges, y consulta datos de sanciones de la OFAC y fuentes abiertas. El resultado es una puntuación de riesgo determinista de 0 a 100, y cada factor de riesgo viene con su transacción, su fuente y su marca de tiempo.
Qué evidencia guardar
En cada caso conserve:
- Los hashes de cada salto en que se apoyó, incluidos ambos lados de cada puente.
- La fuente de cada atribución y la fecha en que la consultó.
- Los hallazgos de comportamiento, con las transferencias concretas que muestran el patrón.
- Una exportación del grafo de flujos tal como estaba al decidir.
- El razonamiento del analista y la acción final: acreditar, retener, rechazar, terminar la relación o reportar.
Los informes de Cryptic AI se exportan a PDF con el grafo de vínculos, los flujos de fondos y un anexo de transacciones, de modo que lo que ve el regulador o el auditor coincide con lo que vio el analista. Para la Regla de Viaje, vea nuestra solución.
Preguntas frecuentes
¿Usar CoinJoin es motivo para rechazar a un cliente?
No de forma automática. Es un factor de riesgo que se pondera con el resto: qué había antes del CoinJoin, qué explica el cliente y cuál es su apetito de riesgo. Algunas empresas aplican diligencia reforzada ante cualquier exposición reciente a mezcladores.
¿Cuántos saltos hacia atrás hay que rastrear?
No hay una regla fija. La exposición directa y a un salto pesa más, pero la exposición indirecta a un hackeo o a una dirección sancionada varios saltos atrás sigue contando, sobre todo si el recorrido fue rápido y sin lógica económica.
¿Se puede seguir el chain hopping de forma fiable?
Muchas veces sí. La mayoría de los puentes deja eventos que se corresponden en ambas cadenas. Se complica cuando los montos se dividen o se usan swaps orientados a la privacidad.
¿Hay que reportar cada señal de alerta?
No. La obligación de reportar depende de la jurisdicción y de si existe conocimiento o sospecha de lavado. La señal abre la revisión; la revisión decide si corresponde un reporte de operación sospechosa.
Una señal de alerta solo sirve si alguien puede llevarla hasta las transacciones que la originaron. Si su equipo pasa horas reconstruyendo flujos a mano, vea cómo el KYT de Cryptic AI investiga una billetera y le entrega la evidencia junto con la puntuación.