Ética, privacidad, protección de datos y seguridad del investigador

Las investigaciones de criptoactivos se adentran profundamente en la vida de las personas: registros de exchanges, chats, dispositivos y las finanzas de personas que no han hecho nada malo. Los datos de la cadena de bloques son públicos, pero no todo lo que se deriva de ellos es legítimo recopilar o compartir: una vez que una dirección se vincula a una persona, las entradas seudónimas se convierten en un registro permanente de sus finanzas, y un vínculo erróneo puede exponer a una persona inocente al acoso, el fraude o el peligro físico. Este mismo trabajo expone a los investigadores a sujetos hostiles, material dañino y sus propios sesgos. Las fallas éticas perjudican la evidencia, ponen en peligro a las personas y dan a la defensa sus mejores argumentos. Esta lección aborda las decisiones que se toman en cada caso, desde la primera solicitud hasta la última divulgación.

Por qué los datos públicos también necesitan protección

Tres propiedades hacen que los datos en cadena sean más sensibles de lo que parecen:

• Vinculabilidad: una atribución da acceso a todo un historial. Vincular una sola dirección a un nombre expone todas las transacciones pasadas y futuras del grupo de direcciones que hay detrás.
• Permanencia: el registro no se puede corregir. Una atribución errónea publicada hoy permanece asociada a esas transacciones para cualquiera que las busque más adelante.
• Agregación: hechos inofensivos por separado (un registro de un servicio de nombres, una publicación en redes sociales, un patrón de depósitos) se combinan para crear un perfil que ninguna fuente revelaba por sí sola.

Los daños son concretos: las víctimas cuya identidad se publica se convierten en objetivos de estafadores que ofrecen «recuperación» de fondos; personas de las que se sabe que poseen grandes saldos han sufrido extorsión y coacción física; las personas identificadas erróneamente pierden cuentas o reputación; y una publicación pública que revela la dirección de un sospechoso puede alertarlo antes de que se congelen los fondos. La mayoría de los marcos de protección de datos consideran que la información identificativa es un dato personal, incluso cuando es pública. Las prácticas siguientes constituyen una base profesional con independencia de la legislación local; el equipo jurídico determina cómo se aplican en cada jurisdicción.

Necesidad, proporcionalidad y minimización

Toda medida intrusiva debe superar dos pruebas. Necesidad: ¿es necesaria esta medida para responder a una pregunta comprendida en el alcance, o bastaría una medida menos intrusiva? Proporcionalidad: ¿es razonable la intromisión en la privacidad, incluida la de terceros, dada la gravedad del asunto y el valor de lo que podría obtenerse? El derecho internacional de los derechos humanos y las salvaguardias de ambos convenios sobre ciberdelincuencia (artículo 15 del Convenio de Budapest, artículo 24 de la Convención de las Naciones Unidas contra la Ciberdelincuencia) se basan en estas ideas. Rastrear una explotación de vulnerabilidades por un importe de nueve cifras hasta direcciones de depósito de un exchange es proporcional; elaborar perfiles de cada pequeña contraparte por el camino no lo es.

La minimización de datos significa recopilar y conservar solo lo que requiere la pregunta. Aparece en las Directrices de la OCDE sobre privacidad (1980, revisadas en 2013) como el principio de limitación de la recopilación, y el Protocolo de Berkeley sobre Investigaciones en Fuentes Abiertas Digitales (Centro de Derechos Humanos de UC Berkeley junto con la Oficina de Derechos Humanos de las Naciones Unidas, 2020) la incluye como principio metodológico: recopilar y tratar únicamente lo que esté justificado por una finalidad que pueda explicitarse, sea necesario para ella y sea proporcional a ella.

Documente el razonamiento en el expediente del caso. «Lo necesitábamos» no es una justificación; «No se puede responder a la pregunta 3 sin las IP de inicio de sesión del período de las transferencias» sí lo es.

Datos colaterales

Casi toda respuesta a una solicitud contiene datos colaterales: información sobre personas ajenas a la investigación. El registro contable de un exchange muestra las contrapartes de cada transferencia interna; un teléfono incautado contiene los mensajes de familiares y amigos; la base de datos de un servidor incautado contiene información de miles de usuarios, la mayoría de los cuales nunca fueron sospechosos. Buenas prácticas:

• minimizar: solicitar, extraer y conservar solo lo que requiere el alcance;
• segregar: mantener los datos colaterales separados del conjunto de trabajo, con las identidades en un anexo restringido que solo puedan consultar quienes lo necesiten;
• usar para la finalidad prevista: no buscar en ellos pistas ajenas al caso sin una nueva autorización y una decisión documentada;
• conservar y eliminar conforme a las normas: aplicar el período de conservación establecido por la política y confirmado al cierre.

Una vez que una dirección se vincula a una persona identificada por su nombre, su historial se convierte en datos financieros personales, por lo que los informes y apéndices solo muestran direcciones e identidades de terceros cuando un hallazgo las requiere.

Sesgos y visión de túnel

El sesgo de confirmación lleva a los investigadores a buscar y valorar evidencia que respalda lo que ya creen. El anclaje hace que resulte difícil abandonar la primera etiqueta o al primer sospechoso. El sesgo contextual surge cuando un examinador conoce información irrelevante para la pregunta técnica, como que el sospechoso ha confesado, e interpreta los datos desde esa perspectiva. La visión de túnel es el resultado a nivel del caso: una sola teoría, que se sigue con exclusión de las demás. El rastreo de criptoactivos está especialmente expuesto, porque las heurísticas generan vínculos plausibles y una presentación categórica de una herramienta parece un hecho.

Controles que funcionan:

1. Redactar hipótesis alternativas durante la planificación y documentar qué evidencia descartaría cada una (lección 1.2).
2. Dar a los examinadores solo la información que requiere su tarea. El desenmascaramiento secuencial lineal, propuesto en las ciencias forenses por Dror y sus colaboradores en 2015, pide a los examinadores analizar y documentar la evidencia antes de ver material de referencia o contexto del caso que pudiera influir en ellos.
3. Usar la verificación a ciegas para los hallazgos clave: un segundo examinador repite el trabajo sin conocer el primer resultado.
4. Documentar la evidencia que contradice la hipótesis y cómo se abordó. Un expediente que solo contiene evidencia de apoyo invita a preguntarse qué se dejó fuera.

Seguridad operativa y fuentes abiertas

Los investigadores también dejan rastros. La investigación atribuible se realiza abiertamente en nombre del organismo o la empresa, como al enviar una solicitud a un proveedor. La investigación no atribuible oculta la identidad del investigador, como al consultar un sitio de estafas o el foro de un sujeto, y utiliza equipos e identidades de investigación dedicados y aprobados por la política. Adivinar contraseñas o iniciar sesión en cuentas ajenas nunca es investigación en fuentes abiertas. Cualquier actividad que vaya más allá de la consulta pasiva, como interactuar con un sujeto o crear identidades ficticias, es trabajo encubierto que requiere autorización específica; los analistas privados no deben realizarlo en absoluto, porque puede perjudicar el caso e infringir la ley.

Riesgos específicos de los criptoactivos:

• Interactuar con direcciones de sujetos investigados. Enviar una transacción de «prueba» a la dirección de un sospechoso, firmar mensajes o conectar una billetera a un sitio de estafas alerta al sujeto y puede comprometer los propios sistemas del investigador. No lo haga.
• Consultas que filtran información. Los exploradores públicos, los proveedores de RPC y las API de terceros ven qué se consulta y desde dónde; las consultas repetidas sobre un conjunto reducido de direcciones pueden revelar interés. Consultar su propio nodo evita esto y también mejora la reproducibilidad.
• Alertar al sujeto. Congelar fondos de forma prematura, contactar con personas relacionadas, seguir cuentas de redes sociales o publicar direcciones puede advertir a un sujeto antes de que se incauten dispositivos o se aseguren fondos. Coordine los tiempos con el responsable de la investigación.
• Exposición personal. Los investigadores identificados en informes o documentos judiciales pueden convertirse en objetivos de acoso, divulgación maliciosa de datos personales o phishing. Mantenga las cuentas personales separadas y privadas.

En el caso del material de fuentes abiertas, preserve cada elemento con su URL, la hora de captura en UTC y un hash criptográfico del archivo guardado, y verifíquelo de forma independiente: una captura de pantalla de una publicación es una afirmación, no un hecho, hasta que la corroboren una segunda fuente o datos en cadena que la publicación no pudiera haber falsificado. Evite los datos procedentes de filtraciones, como bases de datos de clientes filtradas, salvo que la organización tenga una base jurídica y una política claras para utilizarlos. Un registro de un servicio de nombres que se resuelve en un nombre aparentemente personal puede pertenecer a esa persona, a un suplantador o a alguien que después vendió el nombre: es una pista que verificar, nunca una atribución que publicar. El Protocolo de Berkeley también establece medidas de seguridad digital, física y psicosocial para investigadores en línea; la lección 4.7 lo aplica.

Compartir hallazgos de forma responsable

Qué puede aparecer y cómo ocultar datos

La regla general para cualquier documento que salga del equipo es no incluir direcciones, identificadores ni nombres que apunten a una persona particular, salvo que el lector los necesite para actuar (un exchange que congela una cuenta, una autoridad que ejecuta un procedimiento legal) y los reciba a través de un canal restringido. Generalmente aceptable en un informe público: nombres de servicios, protocolos y empresas; direcciones que hayan publicado las autoridades, los tribunales o la organización víctima; contratos de explotación de vulnerabilidades y las direcciones que recibieron directamente fondos robados en un incidente informado públicamente. No aceptable: direcciones de víctimas, contrapartes no involucradas y particulares vinculados únicamente mediante inferencias.

Ocultar datos es más difícil de lo que parece. Truncar una dirección (bc1q…7k3f) no basta si el informe también proporciona el importe exacto y el minuto de la transacción: cualquiera puede buscar una salida de 0,95000000 BTC en ese bloque y recuperar la dirección completa. Redondee también los importes, reduzca la precisión temporal al día o sustituya los detalles por una etiqueta.

Alertas de fondos robados

Después de un robo, los minutos cuentan: a veces es posible congelar los fondos en un servicio, y los emisores pueden congelar las stablecoins de emisión centralizada a nivel de contrato. Pero una alerta errónea puede congelar los fondos de un cliente inocente. Notifique directamente a los servicios receptores a través de sus canales publicados de cumplimiento normativo o de atención a las fuerzas del orden antes de publicar nada. Comparta lo mínimo: direcciones, hashes de transacción, importes, marcas de tiempo y la probabilidad y el nivel de confianza de cada vínculo (lección 9.2). Identifique los vínculos inferidos como tales: una coincidencia de importe y tiempo es un motivo para examinar, no para congelar. Sopese las alertas públicas: una publicación llega a servicios con los que no ha contactado, pero indica al ladrón qué direcciones se vigilan; coordínese con la organización víctima y corrija rápidamente los vínculos erróneos.

Vulnerabilidades

El análisis de una explotación de vulnerabilidades a veces revela que una falla sigue sin corregirse, o que las bifurcaciones copiaron el código vulnerable y aún mantienen fondos. La divulgación coordinada significa informar primero, en privado, a quienes pueden corregirla y publicar solo después de que hayan tenido una oportunidad razonable de actuar. ISO/IEC 29147 (divulgación de vulnerabilidades), ISO/IEC 30111 (gestión de vulnerabilidades) y RFC 9116, que define el archivo security.txt que indica el contacto de seguridad de un proyecto, son referencias útiles. Informe de lo mínimo necesario para corregir la falla, acuerde un plazo, no publique ninguna vía de explotación funcional mientras los contratos vulnerables mantengan fondos y no «rescate» fondos por su cuenta salvo que lo haga en virtud de un acuerdo de hacking ético establecido y documentado con el proyecto; la situación jurídica varía según la jurisdicción.

Trabajar con víctimas

Las víctimas son testigos, fuentes de evidencia y personas que a menudo han perdido sus ahorros. Trátelas con paciencia y respeto, explique qué ocurrirá y qué no, y documente qué proporcionan y cómo.

• No prometa la recuperación. En muchos casos no se recupera nada; las falsas esperanzas causan daño y pueden utilizarse después contra la investigación.
• Recopile evidencia con consentimiento y documente su procedencia. Pida permiso antes de examinar el dispositivo o la cuenta de una víctima y explique qué se va a examinar.
• Advierta sobre las estafas de recuperación. Las víctimas vuelven a ser el objetivo de personas que ofrecen recuperar fondos a cambio de una tarifa, a menudo haciéndose pasar por abogados, investigadores o autoridades (lección 10.4).
• Proteja su privacidad en los informes y la divulgación.

Bienestar y contenido dañino

Algunos casos requieren revisar material de abuso sexual infantil, contenido extremista violento o el sufrimiento de las víctimas. En la investigación de Welcome to Video, hecha pública en 2019, los investigadores rastrearon pagos en bitcoin hasta un sitio de la darknet que distribuía material de abuso infantil, un trabajo que combinó el rastreo con la exposición al contenido. La exposición repetida causa un daño que se acumula con el tiempo. Las unidades lo limitan desde el diseño del trabajo: ver solo lo que requiere la tarea, revisar el material con tamaño reducido, en escala de grises o sin audio, rotar las tareas, evitar trabajar a solas con ese material y ofrecer apoyo psicológico confidencial con controles periódicos. El bienestar también es una cuestión relacionada con la evidencia: los examinadores agotados y angustiados cometen más errores.

Conflictos de intereses

Un examinador debe ser independiente y parecerlo. Conflictos habituales en el trabajo con criptoactivos:

• poseer el activo o token cuyo emisor, exchange o protocolo está bajo investigación;
• haber trabajado anteriormente para una parte, un exchange o un protocolo involucrado en el caso;
• tener vínculos personales con la víctima, el sujeto investigado o un experto de la parte contraria;
• percibir honorarios que dependan del resultado, como una parte de los fondos recuperados, lo cual es difícil de conciliar con el deber de un perito hacia el tribunal.

Declare los posibles conflictos al inicio, documente la decisión sobre si continuar y siga la política de la unidad sobre la tenencia personal de criptoactivos. Un conflicto declarado a tiempo es manejable; uno descubierto durante el contrainterrogatorio puede hundir la evidencia. La lección 9.1 profundiza en este tema para los peritos.

Enfoque del examen: espere situaciones que evalúen si una medida o divulgación es necesaria, proporcional y mínima, y cómo se documenta el razonamiento. Conozca la vinculabilidad, la permanencia y la agregación, y por qué la atribución convierte los datos de la cadena en datos personales; el tratamiento de datos colaterales; el sesgo contextual y sus controles (desenmascaramiento secuencial lineal, verificación a ciegas); la investigación atribuible, no atribuible y encubierta, y por qué los investigadores nunca realizan transacciones con direcciones de sujetos investigados; la reidentificación a partir de una dirección truncada junto con el importe y la hora exactos; las alertas de fondos robados directas, mínimas y etiquetadas con su nivel de confianza; la divulgación coordinada de vulnerabilidades; la atención a las víctimas; la limitación de la exposición a contenido dañino; y la declaración de conflictos, incluidos los honorarios sujetos al resultado.