Qué es la forensia cripto

Toda investigación cripto produce vínculos y cifras, pero solo algunos pueden tener peso en un tribunal, en una solicitud de congelamiento o en una reclamación de insolvencia. La forensia cripto es la disciplina que permite llegar a conclusiones sobre flujos, tenencias y control de activos digitales de una manera que otra persona cualificada pueda verificar, repetir y cuestionar. Esta lección explica qué convierte un trabajo en forense y no meramente analítico, qué casos aborda y quién lo realiza.

Trabajo analítico y trabajo forense

Los mismos datos de la blockchain respaldan dos tipos de trabajo. El trabajo analítico responde preguntas con suficiente rapidez para actuar: qué exchange recibió un depósito, qué grado de exposición tiene un cliente a un mezclador, si una billetera sigue activa. Admite supuestos de trabajo, utiliza la herramienta más rápida disponible y se evalúa según su utilidad.

El trabajo forense responde preguntas conforme a un estándar probatorio. La conclusión se basa en datos fuente preservados, se alcanza mediante un método declarado, se registra de modo que pueda volver a ejecutarse y se expresa con sus limitaciones. Se evalúa según su capacidad para resistir el escrutinio de un perito de la parte contraria y del tribunal.

La mayoría de los casos comienza como trabajo analítico y pasa a ser forense cuando una decisión con consecuencias jurídicas depende de él. El riesgo consiste en trasladar atajos analíticos, como una etiqueta no verificada o una regla de rastreo no documentada, a una declaración que se utilizará como evidencia. Las buenas unidades tratan cada caso como potencialmente forense desde su recepción, porque reconstruir la procedencia después lleva tiempo y, a veces, es imposible.

Reproducible, documentado y defendible

Tres pruebas distinguen una conclusión forense de una opinión.

Reproducible. Otro examinador, con las mismas fuentes y el mismo método, llega al mismo resultado. En una blockchain pública esto es particularmente posible: cualquier persona puede volver a obtener cada txid, bloque y monto desde un nodo independiente. Lo que no es automáticamente reproducible es la interpretación que se superpone a esos datos: una heurística de agrupación, una etiqueta de un tercero o un método de rastreo. La norma ISO/IEC 27037 menciona repetibilidad (mismo método, mismo entorno, mismo resultado) y reproducibilidad (mismo método, herramientas o condiciones distintas, mismo resultado), junto con auditabilidad y justificabilidad, como cualidades que debe tener el manejo de evidencia digital.

Documentado. Cada paso se registra a medida que se realiza: qué se consultó, desde qué fuente, con qué versión de herramienta, en qué momento en UTC y qué resultado se obtuvo. Si el registro no muestra un paso, quien lo revise debe suponer que no se realizó tal como se describe. La lección Hashing, registro y cadena de custodia aborda los aspectos prácticos.

Defendible. El método se ajusta a la pregunta, se declaran sus debilidades conocidas, se consideran alternativas y la conclusión no va más allá de lo que permite la evidencia. Una conclusión defendible anticipa las preguntas que hará un perito de la defensa (véase la lección Divulgación y escrutinio de la defensa).

Un hábito útil consiste en separar tres capas en cada declaración:

• observación: lo que muestra la cadena o un registro;
• inferencia: lo que concluye el examinador a partir de ello y mediante qué método;
• supuesto: lo que se da por sentado, por ejemplo, que una etiqueta es correcta.

Qué investiga la forensia cripto

Las técnicas son compartidas, pero cada tipo de caso tiene puntos de partida, preguntas y desenlaces habituales.

Los casos públicos muestran la variedad. Tras el ataque de ransomware a Colonial Pipeline en 2021, los investigadores rastrearon el rescate de 75 BTC a través de varias direcciones y recuperaron unos 63,7 BTC que estaban en una de ellas. En el hackeo de Bitfinex de 2016, los investigadores siguieron unos 119.754 BTC robados durante varios años y, en 2022, recuperaron más de 94.000 BTC tras descifrar un archivo en una cuenta de almacenamiento en línea que contenía claves privadas. En ambos casos, el rastreo en la cadena fue solo una parte de la investigación: el resto consistió en procesos legales, evidencia de dispositivos y de la nube, y documentación que hizo utilizables las conclusiones.

Roles en una investigación cripto

Los respondedores a incidentes en exchanges y protocolos suelen realizar las primeras horas de trabajo tras un robo. Sus notas y exportaciones se convierten después en evidencia, por lo que necesitan la misma disciplina. Un perito designado por el tribunal trabaja para el tribunal, no para ninguna de las partes.

En las unidades pequeñas, una persona puede desempeñar varios roles. Esto es viable si cada resultado indica qué rol lo produjo. Un producto de inteligencia de un analista puede basarse en fuentes sensibles y no estar redactado para un tribunal; una conclusión de un examinador sí lo está. Mezclar ambos, por ejemplo, pegando una evaluación de inteligencia en una declaración probatoria, es una razón habitual por la que las conclusiones se excluyen o reciben poco peso.

Ejemplo práctico: la misma pregunta, dos respuestas

Una víctima denuncia un pago de 3,0 ETH a una plataforma de inversión falsa. Un analista abre una herramienta de rastreo y escribe: «Los fondos llegaron al Exchange K». Eso es una pista. La versión forense dice:

Conclusión F-03

• Observación: el txid 0x9c1e…44ab (bloque 19,204,117, 2024-02-11 08:42:19 UTC) transfirió 3,0 ETH desde la dirección de la víctima 0x5D0f…a1C2 a 0xA1b2…9F.
• Observación: 0xA1b2…9F envió 2,98 ETH a 0x77cd…e310 en el txid 0x41b0…7d2e (bloque 19,204,160). Más tarde, 0x77cd…e310 transfirió todo su saldo a 0xE3f9…08B1.
• Inferencia: 0x77cd…e310 es una dirección de depósito del Exchange K. Fundamento: la transferencia de todo el saldo a 0xE3f9…08B1, que dos fuentes independientes identifican como una billetera caliente del Exchange K (capturas S-07 y S-08).
• Supuesto: las etiquetas de S-07 y S-08 son correctas.
• Confianza: observaciones ciertas (verificadas de nuevo en un nodo propio, 2024-03-02); atribución probable hasta que se confirme mediante registros del Exchange K.

Cualquier persona puede volver a verificar cada observación en la cadena. La inferencia indica su fundamento y las referencias de evidencia que la respaldan. El supuesto se declara en vez de ocultarse, y el nivel de confianza informa al lector qué podría cambiar la conclusión: los registros del exchange. La graduación de la confianza se desarrolla en la lección Rastreo conforme a un estándar probatorio.

Cómo se relaciona CF con IDFE-BA y IDFE-CC

CF se basa en otros dos cursos de IDFE y no los repite. La agrupación y sus tasas de error se abordan en las lecciones de IDFE-BA La heurística de propiedad por entrada común y Evaluación de la calidad de los grupos; las reglas de asignación, como FIFO y el recorte proporcional, se abordan en Rastreo de fondos hacia adelante y hacia atrás; la procedencia de las etiquetas se aborda en Atribución y etiquetado. La manera en que los exchanges supervisan, informan y responden a las autoridades se aborda en las lecciones de IDFE-CC Obligaciones de informar transacciones sospechosas y Congelamientos, solicitudes de las fuerzas del orden y recuperación de activos.

CF añade la capa forense: el ciclo de vida de la investigación y la autoridad legal (este módulo), el rastreo y la atribución conforme a un estándar probatorio, los dispositivos y la recuperación de billeteras bajo autoridad legal, la integridad de la evidencia, los informes periciales y los testimonios, y la protección y devolución de activos.

Enfoque del examen: la diferencia entre el trabajo analítico y el forense; el estándar probatorio como reproducible, documentado y defendible; las cualidades de ISO/IEC 27037: repetibilidad, reproducibilidad, auditabilidad y justificabilidad; la separación entre observación, inferencia y supuesto en una conclusión; los tipos de casos investigados y sus indicios iniciales y desenlaces habituales; los roles de investigador, examinador, analista, perito, respondedor a incidentes y perito designado por el tribunal; por qué deben mantenerse separados los productos de inteligencia y las conclusiones probatorias.