¿Es segura esta dirección cripto? Cómo comprobarlo

El 21 de febrero de 2025, unos hackers vaciaron alrededor de 1500 millones de dólares en Ethereum del exchange Bybit en el mayor robo de criptomonedas registrado hasta la fecha. El FBI lo atribuyó en cuestión de días al Grupo Lazarus de Corea del Norte y publicó 51 direcciones de Ethereum vinculadas al blanqueo. El dinero robado se movió rápido: en 48 horas, una buena parte ya había pasado por carteras nuevas y se había intercambiado entre cadenas. Cada una de esas direcciones de destino parecía, a primera vista, exactamente una cartera normal: una cadena de caracteres, sin nombre, sin un historial que llamara la atención a menos que te pusieras a buscar.

Ese es el problema con las direcciones de cripto. No vienen con una reputación adjunta. Una cartera que pertenece a un mezclador sancionado y una cartera que pertenece a tu nuevo cliente son los mismos 42 caracteres hexadecimales. Si envías dinero a la equivocada, o aceptas un pago que se rastrea hasta un mezclador o un clúster de fondos robados, no puedes recuperarlo. Así que, antes de que el dinero se mueva, vale la pena mirar de verdad. Aquí te cuento cómo lo hago yo, qué es gratis y dónde una herramienta se gana su sitio.

Empieza por las señales de alarma que de verdad importan

No toda cartera "desconocida" es peligrosa. La mayoría solo son nuevas. Las señales que merecen tu atención son concretas.

Coincidencias con sanciones. Esta es la que tiene consecuencias legales. La OFAC del Tesoro de EE. UU. publica una lista de Nacionales Especialmente Designados y, desde 2018, esa lista incluye direcciones de cripto concretas. Toma Sinbad, un mezclador de Bitcoin que blanqueó dinero para el Grupo Lazarus, incluida parte de los 100 millones de dólares robados a usuarios de Atomic Wallet en junio de 2023. La OFAC lo sancionó el 29 de noviembre de 2023, con direcciones nombradas en la lista SDN, y el FBI y el FIOD neerlandés incautaron su sitio ese mismo día. Si una dirección está en esa lista, tocarla no es un juicio de riesgo. Es una infracción de cumplimiento, y la OFAC la aplica sobre una base de responsabilidad objetiva, es decir, la intención no te salva.

Exposición a mezcladores. Los mezcladores agrupan fondos de muchos usuarios para romper el rastro. Tornado Cash es el famoso. Su historia se complicó: la OFAC lo sancionó en agosto de 2022, el Quinto Circuito dictaminó en noviembre de 2024 que el Tesoro se había extralimitado al sancionar contratos inteligentes inmutables, y la OFAC lo retiró formalmente de la lista el 21 de marzo de 2025. Así que el protocolo en sí ya no está sancionado. Pero el dinero que salió directo de un mezclador sigue leyéndose como una bandera roja para cualquier exchange o contraparte, porque no puedes ver dónde estuvo antes. Y la retirada de las sanciones no exoneró a las personas: el 6 de agosto de 2025 un jurado condenó al cofundador Roman Storm por conspiración para operar un negocio de transmisión de dinero sin licencia. Que lo quiten de la lista no significa que esté limpio.

Carteras desechables recién financiadas. Una cartera creada ayer, financiada una sola vez, sin ningún otro historial, que te pide que envíes primero, es el patrón más viejo del manual. Los blanqueadores crean estas de a miles. Por sí sola no es prueba de nada, pero combinada con presión para moverse rápido, debería frenarte.

Direcciones conocidas de estafas y drainers. Los drainers de carteras, contratos maliciosos que vacían una cartera en cuanto los apruebas, se llevaron unos 494 millones de dólares de cerca de 332 000 direcciones en 2024, según Scam Sniffer. En conjunto, los ingresos por estafas on-chain alcanzaron al menos 14 000 millones de dólares en 2025, y Chainalysis espera que esa cifra suba por encima de los 17 000 millones a medida que se identifiquen más direcciones. Muchas de estas carteras ya están etiquetadas. Solo tienes que comprobarlo.

Las comprobaciones gratuitas que cualquiera puede hacer

Puedes llegar sorprendentemente lejos sin pagar por nada.

• Un explorador de bloques. Para Ethereum y la mayoría de cadenas EVM, Etherscan es la opción por defecto; Bitcoin tiene Blockstream y Mempool.space; Solana tiene Solscan. Pega la dirección y léela. ¿Qué antigüedad tiene? ¿Cuántas transacciones? ¿El saldo y el flujo parecen los de una persona real o los de un intermediario de paso? Etherscan y sus pares también aplican etiquetas públicas. Las direcciones pilladas en estafas reciben una etiqueta bien visible de "Fake_Phishing" en la propia página, además de advertencias en contratos conocidos como maliciosos. Si ves ese cartel, has terminado. Aléjate.
• La lista SDN de la OFAC. Se puede buscar gratis en sanctionssearch.ofac.treas.gov, e incluye direcciones de cripto. Para una comprobación puntual antes de un pago grande, lleva un minuto.
• Sitios de etiquetado comunitario. Chainabuse y bases de datos similares de reportes de estafas te permiten buscar una dirección frente a informes de fraude enviados por usuarios. No es autoritativo, pero una coincidencia es una señal fuerte.

El inconveniente de la vía manual: es lenta, va cadena por cadena y solo detecta lo que ya está etiquetado y es evidente. No te dirá que una dirección está a dos saltos de un mezclador, o que recibió fondos de un clúster de fondos robados la semana pasada. Leer bien un explorador de bloques requiere práctica, y la mayoría de la gente que acepta un pago no tiene diez minutos para rastrear un grafo de transacciones a mano.

Dónde una herramienta de screening te ahorra el tiempo

Una herramienta de screening hace en una sola consulta lo que a ti te llevaría una tarde: comprueba la dirección frente a las listas de sanciones en todas las cadenas principales a la vez, mide qué tan cerca está de mezcladores, clústeres de estafa, mercados de la darknet y fondos robados, y devuelve una puntuación de riesgo con los motivos. El valor no es magia. Es cobertura y velocidad. Obtienes la exposición indirecta que una comprobación manual pasa por alto, y la obtienes en segundos en lugar de en pestañas.

Esto importa más ahora en la UE, no menos. Bajo la refundición del Reglamento sobre la Transferencia de Fondos, que se aplica junto a MiCA desde el 30 de diciembre de 2024, los proveedores de cripto deben adjuntar información verificada del remitente y del destinatario a las transferencias y, para transferencias de más de 1000 € hacia o desde una cartera autoalojada, verificar quién la controla. La ventana transitoria para los proveedores heredados se cierra el 1 de julio de 2026. Aunque seas un freelancer y no un proveedor regulado, la dirección es clara: "No sabía de quién era la cartera" ya no es una buena respuesta.

Si facturas a clientes, la versión más limpia de esto es un screening integrado en el flujo de pago, de modo que la cartera del pagador se comprueba automáticamente antes de que llegue el dinero y tú nunca tengas que acordarte de hacerlo. Esa es toda la idea detrás de la comprobación de riesgo de direcciones de Constatum: pega una cartera, o haz que se ejecute sobre el pagador detrás de una factura, y obtén una respuesta clara antes de comprometerte.

La conclusión honesta

El screening no es una garantía. Un resultado limpio hoy puede ponerse feo mañana si esa cartera hace una tontería la semana que viene, y un resultado marcado a veces solo significa que la dirección tocó algo arriesgado tres saltos atrás sin culpa alguna de su dueño. Trata la puntuación como evidencia, no como veredicto. Pero dado que el dinero robado pasó por carteras nuevas en menos de dos días tras Bybit, y dado que una coincidencia con sanciones es un problema legal y no solo una mala vibra, los treinta segundos que cuesta mirar son el seguro más barato en cripto. Mira antes de enviar. Mira antes de aceptar. La dirección no te lo va a decir por sí sola.