Últimamente vuelvo a revisar esas direcciones de "etiquetas/clustering/flujo de fondos", en realidad la referencia puede servir, pero confiar demasiado es muy fácil que te lleve a un error. El clustering muchas veces es solo una serie de heurísticas: juntar entradas en una misma transacción, usar siempre las mismas monedas de cambio, el ritmo de las transacciones parece... Cuando se trata de intercambios, carteras calientes, custodias, puentes cross-chain, o incluso empaquetado MEV, y se les da una vuelta, rápidamente la "imagen" se distorsiona. La otra día, cuando robaron un puente cross-chain, muchas monedas sucias cruzaron de ida y vuelta, el flujo de fondos parecía "razonable", pero si tomas las etiquetas como conclusión, básicamente estás siguiendo a los estafadores.

Ahora, en cambio, valoro más las señales duras como "cotización/retardo/puntos anómalos": que en una misma ventana de tiempo la cotización fluctúe, que las transacciones en la cadena se desvíen, que el orden de las liquidaciones no tenga sentido... especialmente últimamente, todos gritan "espera la confirmación", en realidad eso también es un consenso aprendido por las cotizaciones anómalas: no te apresures a sacar conclusiones, espera a que más señales coincidan. En fin, mejor no hablar de cómo escribir reglas, mi principio es uno solo: la imagen es una pista, no una prueba.