En el núcleo de bitcoin hay un libro mayor abierto, por lo que con la habilidad adecuada, cualquier transferencia puede ser rastreada de dirección a dirección. Ha surgido toda una industria a partir de esto: los comerciantes rastrean ballenas y flujos hacia los intercambios, los expertos en forense de blockchain ayudan a recuperar fondos robados y el cumplimiento filtra monedas "sucias".
En esta guía iremos paso a paso a través de cómo analizar transacciones manualmente, cómo poner el trabajo en una cinta transportadora con la ayuda de herramientas y automatización, y también por qué incluso el rastreo más avanzado da una probabilidad en lugar de una respuesta del cien por ciento.
Dejaremos las definiciones básicas y métricas del mercado fuera del alcance — hay un material separado para ellos en formato de tarjeta.
Parte 1. Analizando transacciones manualmente
Paso 1. Encontrar una transacción por TXID
Cada transferencia en la blockchain tiene un identificador único — el TXID, el hash de la transacción. Este es un string largo, generalmente de 64 caracteres, que la red obtiene al ejecutar todos los datos de la transferencia — entradas, salidas, montos y firmas — a través del algoritmo SHA-256.
Es prácticamente imposible falsificar tal hash: la más mínima edición de los datos da un string completamente diferente, por lo que no existen dos TXIDs idénticos. En esencia, es un "número de recibo" por el cual cualquier nodo en la red puede encontrar y verificar la operación.
La forma de obtener el hash depende de lo que ya tienes:
- si la transferencia ya se ha realizado, se puede abrir en el historial de una billetera o intercambio. Junto a la operación, generalmente hay un enlace como "Ver en el explorador": lleva a la página de la transacción, donde se muestra el identificador en su totalidad;
- si solo tienes la dirección del remitente o del destinatario, se pega en la barra de búsqueda de cualquier explorador de blockchain. Se abrirá el historial de la dirección con todas las transferencias; la transacción necesaria se puede identificar por el monto y la fecha, y su hash se puede encontrar en la página de la transacción.
Paso 2. Entendiendo la estructura de una transacción: entradas, salidas y cambio
A diferencia de una cuenta bancaria, bitcoin no almacena el saldo como un solo número. La red funciona con el modelo UTXO (salida de transacción no gastada): los fondos existen como "billetes" separados de diferentes denominaciones, mientras que la billetera solo almacena las claves para ellos. El saldo disponible es la suma de todas esas salidas controladas por el propietario.
Un "billete" no se puede gastar parcialmente. Durante un pago, tal salida entra en la transacción en su totalidad, y a cambio, la red crea dos nuevas: una para el destinatario y la segunda como cambio de vuelta al remitente en una dirección nueva.
Tomemos un ejemplo. Alice tiene una salida de 5 BTC, y transfiere 0.01 BTC a Bob. En la blockchain aparecen una entrada de 5 BTC, un pago de 0.01 BTC y un cambio de ~4.99 BTC (menos la tarifa).
Cualquier observador puede ver toda la operación a través de un explorador: un pago "redondo" es fácil de distinguir de un cambio "fraccional". La determinación de la dirección de cambio en la forensía de blockchain se basa en esta característica.
Paso 3. Verificando confirmaciones y el mempool
Una transacción enviada no llega a la blockchain instantáneamente. Primero, la transferencia termina en el mempool, una cola común de operaciones que esperan ser incluidas en un bloque. En esta etapa, son posibles retrasos: los mineros suelen priorizar operaciones con una tarifa más alta, por lo que con una tarifa demasiado baja, una transferencia puede permanecer en la cola durante mucho tiempo.
Tan pronto como la operación llega a un bloque, recibe su primera confirmación. Después de que el registro se incluye en un bloque, recibe su primera confirmación. Con cada una subsiguiente, el nivel de fiabilidad crece, y la probabilidad de cancelación se vuelve cada vez más baja. Para montos pequeños, una o dos confirmaciones suelen ser suficientes, mientras que para pagos grandes es habitual esperar seis.
Es conveniente seguir esto en tiempo real a través del hash: el explorador mostrará si la transferencia está atascada en la cola, en qué bloque terminó, cuántas confirmaciones ha ganado y qué tarifa pagó el remitente. Si la operación está atascada durante mucho tiempo, la misma página sugerirá la razón: la mayoría de las veces, una tarifa subestimada.
Paso 4. Rastreando el camino de una moneda
Cada entrada de una nueva operación se refiere a una salida específica de una de las anteriores — por su hash, y puede tener varias entradas y salidas a la vez. Por lo tanto, las transferencias no forman una única cadena, sino una red ramificada: las monedas en ella convergen y divergen entre direcciones.
A lo largo de esta red, el movimiento de fondos se puede rastrear en ambas direcciones — hacia nuevas direcciones y de regreso, hasta la transacción coinbase en la que aparecieron por primera vez como recompensa por un bloque minado.
En la práctica, un analista sigue las direcciones de salida y observa a dónde fueron los fondos a continuación. Luego repiten lo mismo con las nuevas direcciones — paso a paso, hasta que se forma una cadena completa.
Así es como emergen rutas características en la blockchain: una transferencia a un intercambio, la división de una gran suma en partes, o el retiro de fondos robados a través de varias billeteras intermedias.
Ejemplo: en 2025, la dirección de un inversor temprano mostró actividad por primera vez después de 13 años de inactividad, transfiriendo 909 BTC (alrededor de 85 millones de dólares) a una nueva billetera. Estas monedas fueron recibidas de vuelta en 2012–2013, cuando el precio de bitcoin no superaba unos pocos dólares.
Tal transferencia es visible en cualquier explorador: basta con abrir la dirección, seguir las cadenas de salida y ver a dónde se movieron los fondos a continuación.
Parte 2. Poniendo el análisis en una línea de producción
El análisis manual es bueno cuando hay una o dos transacciones. Pero el libro mayor se repone cada segundo, y miles de transferencias no pueden ser cubiertas a simple vista.
Aquí la automatización viene al rescate: los programas solicitan datos de la red, calculan métricas y envían una notificación en el momento adecuado. Veamos sus tres niveles: acceso a datos, análisis y monitoreo.
Paso 5. Conectándose a los datos a través de API
El primer nivel es el acceso programático a la blockchain a través de las API de nodos y exploradores. Esta es una interfaz a través de la cual un script solicita la misma información que podríamos ver anteriormente en la página de transferencia (pero sin intervención humana y en cualquier volumen).
El servicio mempool.space tiene dos opciones para elegir. La API REST responde a solicitudes únicas: estado de la transacción, saldo de la dirección, estado del mempool. La API WebSocket mantiene una conexión constante y envía actualizaciones por sí misma: puedes suscribirte a una dirección y recibir una señal cada vez que una nueva transferencia pase a través de ella.
Para verificaciones masivas, Blockchair y Bitquery son adecuados: devuelven datos para muchas direcciones a la vez y soportan webhooks.
Paso 6. Automatizando el análisis
El segundo nivel son plataformas que te permiten escribir una consulta una vez y recibir un panel listo en lugar de un resultado único.
En Dune, los datos de la blockchain se consultan en el lenguaje SQL y se muestran en gráficos; un informe sobre flujos de intercambio, actividad de ballenas o principales tenedores se actualiza solo, sin necesidad de una consulta repetida.
Flipside está organizado de manera similar: también tiene un SDK de Python gratuito a través del cual se pueden extraer datos directamente en scripts personalizados.
La diferencia clave con el método manual es simple: la consulta se escribe una vez pero funciona constantemente. Anteriormente, un analista revisaba el gráfico a diario; ahora hay paneles que se actualizan solos.
Paso 7. Configuración de monitoreo y alertas
El tercer nivel son las notificaciones en lugar de actualizar manualmente la página. Una combinación de "API más bot" vigila las direcciones necesarias y envía una notificación tan pronto como los fondos llegan o se retiran. Así es como funcionan tanto las alertas públicas sobre grandes operaciones de ballenas como las alertas privadas, por ejemplo, sobre el retiro de monedas de una billetera específica.
Un conjunto básico se puede configurar incluso sin programación: plataformas como Arkham ofrecen alertas listas sobre transferencias y actividad de ballenas que llegan por correo electrónico o a la aplicación. Para aquellos que necesitan su propia lógica de manejo de eventos, los webhooks son adecuados: envían automáticamente una notificación al servidor cuando ocurre un evento específico.
Parte 3. Trazado y sus límites
Paso 8. Cómo funciona la forensía de blockchain
El pináculo de la automatización es el trazado de monedas robadas y la investigación de transacciones. Los motores forenses repiten la lógica del análisis manual pero la aplican a la escala de toda la red.
En el corazón de esta tecnología se encuentra el agrupamiento de direcciones por heurísticas, es decir, reglas de suposición; dos de ellas son especialmente importantes:
- entrada común: si varios UTXOs se gastan en una transacción, es muy probable que sean controlados por un solo propietario;
- cambio de determinación de dirección: por la característica del Paso 2 — un pago redondo frente a un cambio fraccionado — el motor determina cuál de las salidas se devuelve al remitente.
Además del agrupamiento, se añade el reconocimiento de esquemas típicos de lavado. Esto es, por ejemplo, la división de sumas o "pelado" — cuando pequeñas porciones se separan de una gran billetera una y otra vez.
A continuación viene la evaluación de riesgos y atribución: vincular grupos a intercambios reales, servicios o individuos. Tanto las plataformas comerciales (Chainalysis, TRM, Elliptic) como los motores abiertos (GraphSense, BlockSci) hacen esto.
Paso 9. ¿Se puede confiar en la automatización?
El análisis automático tiene una limitación fundamental. El agrupamiento da una probabilidad, no un hecho. Las heurísticas cometen errores: por ejemplo, la tecnología CoinJoin combina deliberadamente los UTXOs de diferentes usuarios en una transacción, lo que provoca que la regla de entrada común falle.
El riesgo de filtración de datos también se puede reducir manualmente. La función de control de monedas en las billeteras (por ejemplo, Sparrow o Trezor Suite) te permite elegir tú mismo qué UTXO gastar: elige una salida que coincida con el monto del pago y no mezcles monedas de diferentes fuentes en una transacción. Esto reduce el cambio y evita que la heurística de entrada común se active — las mismas pistas sobre las que se basa el agrupamiento.
Bitcoin no proporciona anonimato, sino seudonimato — una propiedad más débil que el análisis persistente a menudo "rompe", pero no siempre: el resultado sigue siendo una estimación, aunque bien fundamentada. Como enfatiza Chainalysis, las heurísticas de atribución dan un resultado probabilístico en lugar de certeza, por lo que una evaluación de riesgos es solo una base para la decisión del analista, no un veredicto.
Por lo tanto, una conclusión práctica. Vale la pena distinguir el agrupamiento automático de direcciones de la atribución verificada por humanos: el primero es una hipótesis, el segundo es una conclusión. El resultado de una evaluación de riesgos es una razón para examinar más de cerca una dirección, no una sentencia sobre su propietario.
***
El libro mayor abierto hace que cada transferencia de bitcoin sea rastreable — todo el análisis en cadena se basa en esto. Para el trabajo manual, lo básico es suficiente: saber qué es un TXID, entender el modelo UTXO y la mecánica del cambio, leer entradas, salidas y confirmaciones en un explorador. Esto es suficiente para recorrer cadenas de transacciones y ver dónde se movieron los fondos.
La automatización en forma de APIs, paneles de control SQL y bots no elimina la necesidad de estos conceptos básicos — simplemente escala el trabajo: lo que un analista hace a mano con una transacción, las herramientas lo repiten para toda la red.
En la cima se encuentran las ciencias forenses con agrupamiento y evaluación de riesgos. Sin embargo, se basa en heurísticas probabilísticas y, por lo tanto, da hipótesis en lugar de pruebas.
Es lógico dominar el tema de abajo hacia arriba: primero el explorador, luego las APIs y los paneles, y solo después las herramientas de análisis en cadena especializadas. Al mismo tiempo, cuanto más profundo sea el rastreo, más importante es distinguir lo probable de lo probado.
Fuente: ForkLog
