Ciclo de investigación y marco jurídico · Lección 2 de 5
El ciclo de vida de una investigación
9 min de lectura
Una investigación de criptomonedas es un proyecto con consecuencias legales y puede fracasar de maneras previsibles: se pasan por alto los plazos de conservación, el alcance se desvía, los hallazgos no se revisan y nadie puede explicar después por qué se descartó una pista. Un ciclo de vida definido da a cada etapa un propósito, un resultado y un registro en el expediente del caso. Esta lección recorre las etapas, el expediente que las articula y un ejemplo práctico de recepción.
Las etapas de un vistazo
| Etapa | Pregunta clave | Resultado en el expediente del caso |
|---|---|---|
| Recepción y clasificación inicial | ¿Qué se informa y qué tan urgente es? | Registro de recepción, prioridad, acciones inmediatas |
| Definición del alcance | ¿Qué se examinará exactamente? | Declaración del alcance: semillas, cadenas, período, preguntas |
| Planificación e hipótesis | ¿Cómo responderemos y qué podría ser cierto? | Plan de investigación, hipótesis, autoridad necesaria |
| Recopilación | ¿Qué datos necesitamos y bajo qué autoridad? | Datos preservados, respuestas de proveedores, registro de custodia |
| Análisis | ¿Qué muestran las pruebas? | Notas del examen, hallazgos con nivel de confianza |
| Revisión | ¿Llegaría otra persona examinadora al mismo resultado? | Registro de revisión por pares, resultados de repetición del análisis |
| Elaboración del informe | ¿Qué podemos afirmar y con qué grado de certeza? | Informe, apéndices, paquete de pruebas |
| Divulgación | ¿Qué debe ver la otra parte? | Cronograma de divulgación, registro del material no utilizado |
| Cierre | ¿Qué queda pendiente? | Memorando de cierre, decisiones sobre conservación y activos |
La norma ISO/IEC 27043 describe las investigaciones de manera similar, agrupando el trabajo en procesos de preparación, inicialización, adquisición e investigación, con procesos concurrentes —como obtener autorización, documentar y preservar la cadena de custodia— que se ejecutan durante todo el proceso. La idea se aplica directamente: algunas actividades no son etapas, sino hilos que se extienden desde la recepción hasta el cierre.
Las etapas tampoco son estrictamente lineales. El análisis revela con frecuencia nuevas semillas, como una segunda víctima o un puente hacia otra cadena. Esto devuelve el caso a la definición del alcance y a la recopilación, y cada ciclo de este tipo debe dejar una entrada fechada que explique el cambio.
Recepción y clasificación inicial
La recepción registra el informe tal como se recibió: quién lo presentó, qué se alega, todos los identificadores proporcionados (txids, direcciones, ID de cuentas, capturas de pantalla, exportaciones de chats), cuándo ocurrieron los hechos en UTC, la pérdida declarada y qué ha hecho ya la persona que presenta el informe. Este último punto importa. Una víctima que publicó en redes sociales la dirección del estafador o se puso en contacto directamente con el exchange puede haber alertado ya al sujeto.
La clasificación inicial determina la prioridad. En los casos de criptomonedas, la rapidez suele decidir el resultado, por lo que los factores principales se relacionan con si actuar ahora todavía puede cambiar las cosas.
| Factor | Por qué aumenta la prioridad |
|---|---|
| Fondos no gastados o transferidos en las últimas horas | Aún podrían congelarse o incautarse |
| Fondos en un exchange, custodio o emisor que pueda congelarlos | Una solicitud podría detenerlos |
| Riesgo para la vida o un ataque que sigue en curso | Se aplican procedimientos y canales de emergencia |
| Pruebas volátiles: servidores activos, chats, sitios web | Pueden desaparecer en cuestión de horas |
| Muchas víctimas o un esquema activo | Se pueden evitar más pérdidas |
Un caso de fondos blanqueados a través de un mezclador hace dos años se sigue registrando, pero no se atiende primero. Registra la decisión de clasificación inicial y sus motivos; decidir no actuar también es una decisión que quizá haya que explicar más adelante.
Definición del alcance
Una declaración del alcance tiene cuatro elementos.
- Semillas: los identificadores iniciales del caso. Verifica cada uno en la cadena antes de basarte en él. Las víctimas leen mal las capturas de pantalla, copian direcciones truncadas y confunden redes; es común que un txid no exista o esté en otra cadena.
- Cadenas y activos: qué redes y tokens están incluidos en el alcance. El mismo formato de dirección EVM es válido en muchas cadenas, así que indica cuáles se verificaron.
- Período: horas de inicio y finalización en UTC, con un margen anterior al primer hecho conocido.
- Preguntas: específicas y respondibles. «¿Dónde están ahora los fondos de la víctima y qué cuentas de servicio los recibieron?» puede responderse; «Encuentra a los estafadores» no, al menos no por parte de quien realiza el examen.
La ampliación del alcance no es incorrecta en sí misma, pero sí lo es si no se registra. Cuando cambia el alcance, registra qué cambió, por qué, quién lo aprobó y en qué fecha.
Planificación e hipótesis
El plan de investigación enumera las tareas, las fuentes de datos que necesita cada tarea, la autoridad legal requerida para cada fuente (consulta la lección Autoridad legal y cooperación internacional), quién es responsable de cada tarea, los plazos y las dependencias. Las solicitudes a proveedores en el extranjero pueden tardar meses, por lo que se inician pronto y en paralelo con el trabajo en la cadena.
Las hipótesis mantienen la investigación rigurosa. Anota al menos dos explicaciones que se ajusten a los hechos al momento de la recepción e identifica las pruebas que permitirían distinguirlas. En un caso de presunta estafa de inversión, podrían ser: los operadores de la plataforma se quedaron con los fondos; la billetera de la propia víctima fue vulnerada por un tercero; o la plataforma era una empresa real, aunque estuviera en dificultades. La lección de IDFE-BA De la pregunta a la hipótesis aborda el análisis de hipótesis contrapuestas; el aspecto forense es que el expediente del caso debe mostrar qué hipótesis se pusieron a prueba y qué pruebas las descartaron.
Recopilación, análisis y revisión
La recopilación consiste en obtener datos bajo la autoridad adecuada y preservarlos de modo que puedan verificarse más adelante: datos en la cadena con referencias a bloques, respuestas de proveedores, imágenes de dispositivos y capturas web. La lección Preservación de pruebas en la cadena explica las técnicas.
El análisis convierte los datos preservados en hallazgos, cada uno con su método, fundamento y nivel de confianza, como se enseña en el Módulo 2.
La revisión es una etapa independiente, no una cortesía. Una persona revisora que no haya realizado el trabajo comprueba el método, repite los pasos clave a partir de los datos originales y cuestiona cada inferencia. Los desacuerdos y la forma en que se resolvieron se incorporan al expediente. Si una revisión detecta una deficiencia, el trabajo vuelve a la planificación: se necesitan más datos, otro método o una afirmación más acotada. La lección Gestión de calidad en la unidad forense describe con más detalle la revisión por pares y la validación.
Elaboración del informe, divulgación y cierre
La elaboración del informe produce la declaración o el informe pericial y sus apéndices (consulta la lección Redacción del informe forense). La divulgación pone el material a disposición de la otra parte según lo exijan los procedimientos, incluido el material no utilizado y la procedencia de las herramientas y etiquetas (consulta la lección Divulgación y examen de la defensa).
Es fácil descuidar el cierre. Un memorando de cierre registra el resultado, cualquier pista pendiente, los activos que aún se conservan y quién los controla, los períodos de conservación de las pruebas y los datos personales, y las lecciones aprendidas. Los casos de criptomonedas suelen reabrirse cuando se mueven fondos inactivos años después, por lo que el expediente debe permitir que otra persona examinadora retome el trabajo donde lo dejó la anterior.
Gestión del caso y un ejemplo práctico de recepción
El expediente del caso es el lugar único donde se conserva toda la información del caso: recepción, alcance y cambios, plan, copias de la autoridad legal, solicitudes y respuestas, registro de pruebas, notas contemporáneas, hallazgos, registros de revisión, informes, divulgación y cierre. El acceso está restringido y queda registrado.
Una víctima informa que perdió 48.500 USDT en la red Tron, en cinco pagos a lo largo de tres semanas, a una plataforma de trading que dejó de responder. La persona examinadora sigue estos pasos durante la recepción:
- Verificar las semillas. Se confirman cuatro txids en Tron. El quinto, obtenido de una captura de pantalla, no existe en Tron; se encuentra en Ethereum, donde la víctima había enviado un pago de prueba. Ambos se registran y se anota la discrepancia.
- Consulta rápida de los movimientos posteriores. El último pago, de 9.800 USDT, llegó hace dos horas a una dirección que transfirió los fondos a una billetera activa identificada como Exchange K.
- Clasificación inicial. Fondos en un servicio de custodia, transferidos recientemente: prioridad alta.
- Acciones inmediatas. Esa misma mañana se envían a Exchange K una solicitud de preservación y una solicitud voluntaria de congelamiento (consulta la lección Trabajo con proveedores de servicios). En el plan se anota si el emisor de la moneda estable podría congelar la dirección receptora.
- Alcance e hipótesis. Se anotan las semillas, las dos cadenas, un período que comienza una semana antes del primer pago, tres preguntas y dos hipótesis contrapuestas.
El registro de recepción al final de la mañana:
{
"case_id": "CF-2026-0147",
"received_utc": "2026-03-04T09:15:00Z",
"allegation": "estafa de inversión; fondos enviados a una plataforma de trading que no responde",
"seeds": [
{"chain": "tron", "type": "txid", "value": "7b2f…d9e0", "verified": true},
{"chain": "ethereum", "type": "txid", "value": "0x3a8c…f71b", "verified": true,
"note": "captura de pantalla etiquetada como Tron; encontrado en Ethereum"}
],
"reported_loss": {"asset": "USDT", "amount": "48500.00"},
"priority": "alta",
"priority_reason": "9.800 USDT llegaron a una dirección de depósito de Exchange K 2 horas antes de la recepción",
"immediate_actions": ["solicitud de preservación P-01", "solicitud voluntaria de congelamiento F-01"],
"assigned_to": "examiner-07",
"authority_status": "orden de entrega de información solicitada"
}El registro muestra las semillas verificadas, la discrepancia y su resolución, el motivo de la prioridad y las acciones realizadas, cada una con una referencia a la solicitud correspondiente en el expediente del caso. Aquí solo se muestran dos de las cinco semillas; la lista completa se incluye en la declaración del alcance. Los importes se almacenan como cadenas de texto para evitar el redondeo al procesar el registro.
Enfoque del examen: las nueve etapas del ciclo de vida y el resultado que deja cada una en el expediente del caso; la norma ISO/IEC 27043 y la idea de procesos concurrentes como la autorización, la documentación y la cadena de custodia; los factores de clasificación inicial que aumentan la prioridad en casos de criptomonedas; los cuatro elementos de una declaración del alcance y por qué deben verificarse las semillas en la cadena; el registro de los cambios del alcance; la formulación de hipótesis contrapuestas y las pruebas que permiten distinguirlas; la revisión como repetición independiente del análisis; qué debe registrar un memorando de cierre; qué contiene un registro de recepción sólido.