Tus pagos en Bitcoin pueden revelar más de lo que esperabas
Hay un gran problema con las transacciones de Bitcoin desde el punto de vista empresarial del que casi nadie habla. Supongamos que una empresa paga a un proveedor en BTC desde una dirección de monedero reutilizada. En realidad, pueden ver más allá de la factura.
Ahora mismo, mientras lees esto, un competidor puede abrir un explorador de bloques y ver a quién pagaste en Bitcoin en tu último acuerdo: cuánto, cuándo y a qué contraparte. El rastreo de transacciones no es un problema solo para quienes tienen algo que ocultar. Es un riesgo empresarial permanente: los movimientos de tesorería, las relaciones con socios y el flujo de operaciones están a la vista de cualquiera que esté dispuesto a pasar una tarde siguiendo el rastro.
La reacción inmediata es suponer que esta exposición empieza en la cadena de bloques, en el momento en que firmas una transacción. Pero no es así. En julio de 2026, investigadores del grupo DistriNet de KU Leuven analizaron 85 de las carteras de extensión de navegador más populares y descubrieron que las propias carteras filtran información suficiente para identificar y seguir a sus usuarios, antes incluso de que se firme una sola transacción.
El monedero se conecta a un servidor externo para mostrar el saldo, y esa solicitud ya incluye la dirección sin cifrar. No hace falta ningún exploit: las extensiones funcionan exactamente como fueron diseñadas. De las 85, la vulnerabilidad de identificación por huella digital por sí sola afecta a 36 carteras, que representan aproximadamente el 82 % de las instalaciones analizadas; este es el subgrupo respecto del cual se calcula cada cifra posterior de esta sección.
Y esto también se aplica a los honestos. Andy Greenberg pasó una década documentando con rigor los delitos relacionados con las criptomonedas: investigó a los hackers, traficantes y blanqueadores que trataban la cadena de bloques como un escondite, y vio cómo los investigadores los sacaban de allí uno por uno. Tardó diez años en darse cuenta de lo poco que Bitcoin tenía de imposible de rastrear. El registro que supuestamente debía protegerlos fue la prueba que los condenó.
La falsa sensación de seguridad va en una sola dirección: quienes creen haber hecho lo suficiente para proteger su privacidad suelen ser precisamente quienes nunca tuvieron nada que ocultar: un donante cuyo historial completo de donaciones es ahora público, un periodista cuyas fuentes pueden deducirse siguiendo el rastro de los pagos, la contraparte B2B mencionada arriba.
Casi todas las capas de esto te ocurren a ti, no dependen de ti. El resto de este artículo traza en detalle todo lo que queda expuesto y señala el único eslabón que alguna vez te correspondió escribir.
Lo que revela una billetera más allá de la propia transacción
Una billetera de criptomonedas puede revelar información antes incluso de que hagas una transacción. Para mostrarte tu saldo, una billetera de navegador suele ponerse en contacto con servidores externos y enviarles la dirección de tu billetera. Investigadores de KU Leuven probaron 85 billeteras populares de extensiones para navegador, que sumaban alrededor de 35 millones de instalaciones en Chrome Web Store. Descubrieron que era posible identificar y rastrear de esta manera 36 billeteras, que representaban aproximadamente el 82 % de las instalaciones estudiadas.
Diecisiete carteras, que suman unos 23 millones de instalaciones, también podrían revelar vínculos entre distintas direcciones pertenecientes a un mismo usuario. En 22 de las 36 carteras afectadas, los sitios web aún podían leer una dirección incluso después de que el usuario revocara el acceso y reiniciara el navegador.
Hay otro problema. A menudo, los sitios web pueden detectar qué extensiones de cartera tiene instaladas alguien sin que el usuario conecte una cartera. Los investigadores también descubrieron que 23 de las 36 carteras afectadas podían filtrar una dirección a través de contenido cargado desde otro sitio web, sin que el usuario hiciera clic en nada.
La mayoría de los proveedores de carteras contactados por los investigadores no consideraron que se tratara de un error grave. Coinbase Wallet, Coin98 y Hana hicieron cambios, mientras que otros, como MetaMask, Rabby y OKX, no lo hicieron. Los investigadores también probaron 30 aplicaciones descentralizadas y descubrieron que solo 11 revocaban correctamente el acceso a la cartera cuando los usuarios hacían clic en «desconectar» o cerraban sesión.
Una vez que una dirección queda expuesta, la cadena de bloques pública revela el resto de la historia.
Las empresas de análisis de cadenas de bloques buscan patrones de transacciones que indiquen que varias direcciones pertenecen a la misma persona u organización.
Por ejemplo, si varias carteras se transfieren fondos entre sí repetidamente o interactúan de formas similares, el software puede agruparlas. Así, una dirección conocida puede llevar a los analistas a descubrir varias más.
Esto ocurre a una escala enorme. A mediados de 2026, Chainalysis afirmó haber agrupado más de mil millones de direcciones de cadenas de bloques en más de 134.000 entidades identificadas.
Mover fondos entre cadenas de bloques tampoco rompe necesariamente el rastro. Los analistas pueden seguir los activos a través de puentes entre redes. Usar un exchange descentralizado no oculta automáticamente la transacción, porque los intercambios siguen registrándose públicamente en la cadena de bloques.
El resultado es bastante sencillo: una dirección de billetera puede parecer una cadena aleatoria de caracteres, pero, cuando se vincula suficiente actividad a su alrededor, puede convertirse en un perfil financiero detallado.
Hay ejemplos reales de que esto funciona. Tras el ataque de ransomware contra Colonial Pipeline en 2021, investigadores estadounidenses rastrearon bitcoins a través de varias billeteras y recuperaron unos 2,3 millones de los 4,4 millones de dólares del pago del rescate.
Helix: el mecanismo que no puedes engañar intentando ocultarte
En los primeros años de Bitcoin, Helix fue muy popular en los mercados de la darknet. Se creó para hacer una sola cosa: volver imposible el rastreo de bitcoins. Larry Dean Harmon lo operó como un servicio de mezcla entre 2014 y 2017, mezclando las monedas de sus clientes para ocultar el origen de sus fondos, y promocionaba el resultado como bitcoin «limpio». Todo el modelo se basaba en el ocultamiento. El servicio no tenía otro propósito que romper el vínculo entre el origen y el destino de una moneda.
Pasaron por allí unos 354.468 BTC, equivalentes a unos 311 millones de dólares en aquel momento. La mezcla cambió el aspecto del rastro, pero no lo eliminó. Cada moneda dejó una marca permanente en la cadena de bloques, que no se podía modificar ni borrar posteriormente.
Harmon cobraba una comisión del 2,5 % por cada intercambio, y esa comisión iba adonde iban todas las demás monedas: a la cadena, de forma permanente. La parte que se quedaba para gestionar un servicio de ocultación se convirtió en el registro que condujo hasta quien lo operaba. El único servicio diseñado desde cero para borrar el rastro inscribió a su dueño en el rastro que no podía borrar.
Cómo se vincula el rastro de una billetera con una persona real
Helix demuestra que mover bitcoins de un lado a otro no necesariamente borra el rastro. Pero seguir el dinero es solo la mitad del trabajo. Los analistas aún necesitan vincular esas direcciones de billetera con una persona o empresa real.
Eso suele ocurrir cuando los fondos pasan por un exchange regulado. Los exchanges saben qué direcciones de depósito pertenecen a sus clientes y conservan registros de identidad mediante controles KYC. Si los investigadores rastrean bitcoins hasta una de esas direcciones, pueden solicitar los datos de la cuenta mediante un proceso legal.
Esa única conexión puede revelar mucho más que una transacción. Si el análisis de la cadena de bloques ya ha vinculado varias direcciones como probablemente pertenecientes al mismo titular, identificar una de ellas puede ponerle nombre a todo el grupo. Es posible que el exchange solo conozca la dirección que pasó por su plataforma, pero el análisis previo puede vincularla con las demás.
A veces no hace falta ninguna solicitud legal. Tanto particulares como empresas suelen publicar sus direcciones de billetera —en sitios web, páginas de donaciones, chats de Telegram o perfiles públicos—. Una vez que una dirección se vincula públicamente con un nombre, también quedan visibles sus transacciones anteriores.
Para las empresas, esto plantea un problema básico de privacidad. El pago a un proveedor puede revelar pagos anteriores, movimientos de tesorería y otras contrapartes. Como las transacciones de la cadena de bloques son permanentes y tienen fecha y hora, identificar una sola billetera puede facilitar la reconstrucción de años de actividad.
En qué pueden equivocarse los análisis de la cadena de bloques
Eso no significa que el análisis de la cadena de bloques sea siempre correcto.
Los sistemas que se utilizan para vincular billeteras dependen en gran medida de patrones y probabilidades. Pueden generar falsos positivos y falsos negativos: se puede señalar actividad inocente y pasar por alto actividad sospechosa.
Un problema es el historial de las transacciones. El bitcoin puede pasar por muchos propietarios. Si las monedas pasaron anteriormente por un mezclador o una billetera considerada de riesgo, un propietario posterior puede heredar esa sospecha, aunque no tenga nada que ver con la actividad anterior.
Se documentó el caso de un comprador P2P cuya cuenta fue congelada porque el bitcoin que recibió había pasado por un mezclador antes de que él lo tuviera.
Para los exchanges y otras empresas reguladas, estos errores tienen costos prácticos. Una alerta falsa puede congelar los fondos de un cliente legítimo y generar problemas de cumplimiento normativo y atención al cliente.
Las empresas de rastreo también tienen límites en cuanto a lo que pueden ver. Las criptomonedas centradas en la privacidad, como Monero, siguen siendo mucho más difíciles de rastrear. Las investigaciones también pueden detenerse cuando los fondos llegan a exchanges en jurisdicciones que se niegan a cooperar.
Incluso las mayores empresas de análisis de cadenas de bloques han tenido que hacer correcciones importantes. A principios de 2025, Chainalysis redujo su estimación de las criptomonedas robadas por Corea del Norte durante el año anterior, de 1.000 millones de dólares a 660,5 millones: una corrección de más de 300 millones tras reevaluar varios hackeos.
La fiabilidad de estos sistemas también se ha cuestionado en los tribunales. Los equipos de defensa en casos como Bitcoin Fog y Tornado Cash han cuestionado cuánto peso debe darse a los análisis generados por software propietario que terceros no pueden inspeccionar por completo.
Ese escrutinio es importante porque Chainalysis también es un importante contratista del Gobierno de Estados Unidos. Según una investigación independiente basada en registros federales, había recibido más de 93,2 millones de dólares en contratos públicos.
El mayor riesgo de un resultado erróneo recae en los usuarios inocentes. Una asociación equivocada puede congelar una cuenta. En países con menos garantías, las mismas herramientas de rastreo pueden exponer a donantes, periodistas o personas que financian a la oposición política. El rastreo de cadenas de bloques puede revelar mucho, pero sus resultados nunca deben darse por correctos automáticamente.
La única parte del rastro que los usuarios aún pueden controlar
La mayor parte de la exposición descrita arriba ocurre fuera del control del usuario. Las billeteras pueden filtrar direcciones antes de que se realice una transacción. El análisis de cadenas de bloques puede conectar varias direcciones, y las plataformas de intercambio reguladas pueden vincular esas billeteras con una identidad real mediante registros de KYC.
La parte que los usuarios aún pueden controlar es el vínculo directo entre el remitente y el destinatario. Cuando una billetera paga a otra, esa conexión queda registrada permanentemente en la cadena de bloques y puede revelar más adelante las contrapartes, los movimientos de tesorería y las relaciones comerciales.
ChangeNOW introdujo Transferencias privadas para eliminar ese vínculo directo. La función canaliza el pago a través de una dirección independiente de un solo uso, de modo que el destinatario no recibe los fondos directamente del remitente. Esto rompe la ruta visible entre remitente y destinatario, sin afirmar que la transacción en su conjunto sea anónima.
Aún quedan otros riesgos de exposición. Los metadatos de la billetera pueden seguir filtrándose, el análisis de la cadena de bloques puede seguir el rastro de la actividad relacionada y los controles AML siguen aplicándose en las etapas de depósito, transferencia y pago.
Para los socios de API, Transferencias privadas es una función opcional dentro de la infraestructura de transferencias existente. Utiliza la misma clave de API y el mismo modelo de comisiones, y no requiere un producto ni una integración independientes. Su objetivo es más limitado: eliminar el único vínculo visible que los usuarios pueden elegir no crear.
Fuente: BeInCrypto