Dispositivos y recuperación de billeteras · Lección 1 de 5
Billeteras en dispositivos incautados
10 min de lectura
Muchos casos relacionados con criptomonedas se ganan o se pierden en el momento de encontrar las claves: en una computadora portátil incautada, un teléfono, un pequeño dispositivo en un cajón o una hoja de papel dentro de un libro. Un examinador que sabe qué deja cada tipo de billetera y dónde puede vincular a un sospechoso con la actividad en la cadena, localizar fondos que aún pueden asegurarse y evitar destruir el único artefacto que importa. Esta lección presenta los artefactos de las billeteras y los indicadores que apuntan a ellos; las tres lecciones siguientes abordan el lugar del registro, la adquisición y la recuperación.
Qué deja una billetera
Una billetera no contiene monedas. Contiene claves, o los medios para derivarlas, además de los metadatos que el software conserva para comodidad del usuario. Para un examinador, los artefactos de las billeteras se dividen en tres clases, y cada una responde a una pregunta diferente.
| Clase de artefacto | Ejemplos | Pregunta que responde | Manejo |
|---|---|---|---|
| Material de claves | Frase semilla, claves privadas, claves privadas extendidas, archivos de billetera cifrados | Control: ¿se pueden asegurar los fondos? | Tratarlo como el propio activo; control de acceso estricto |
| Material público | Direcciones, claves públicas extendidas (xpub, zpub), libretas de direcciones | Atribución: ¿qué actividad en la cadena está vinculada a este dispositivo? | Evidencia; permite consultar la cadena de forma segura sin otorgar control |
| Rastros de uso | Cachés de transacciones, etiquetas, registros, configuraciones, historial del navegador, instaladores | Actividad: ¿cuándo y cómo se utilizó la billetera? | Evidencia para la cronología |
Esta distinción determina todas las decisiones posteriores. El material público, como una clave pública extendida, permite a un examinador enumerar todas las direcciones de una cuenta sin poder mover nada; BIP-32 describe exactamente este uso de «solo observación». El material de claves otorga control, por lo que cualquiera que lo vea puede gastar los fondos; su manejo se aborda en la lección Cálculo de hashes, registro, cadena de custodia y gestión de la calidad. Los rastros de uso rara vez demuestran control, pero sitúan a una persona ante una billetera en un momento determinado.
Tipos de billeteras y dónde se encuentran sus artefactos
La ubicación de los artefactos depende del tipo de billetera, del sistema operativo y de la versión del software. La tabla presenta el patrón general, no una lista de rutas; las herramientas forenses y la documentación de la propia billetera indican las ubicaciones exactas para cada versión.
| Tipo de billetera | Dónde se encuentran las claves | Artefactos habituales en el equipo anfitrión |
|---|---|---|
| Software de escritorio | Archivo de billetera en el directorio de datos de la aplicación, a menudo cifrado con contraseña | Archivos de billetera, configuración, registros, listas de servidores o pares, etiquetas; un nodo completo añade un directorio de cadena de bloques de gran tamaño |
| Aplicación móvil | Área de datos privados de la aplicación, a menudo protegida por el llavero o almacén de claves del sistema operativo | Bases de datos de la aplicación (a menudo SQLite), archivos de preferencias, saldos e historial en caché, notificaciones, copias de seguridad en la nube |
| Extensión del navegador | «Bóveda» cifrada en el almacenamiento de la extensión dentro de un perfil del navegador | Almacenamiento de la extensión (LevelDB o IndexedDB con el ID de la extensión como clave), listas de sitios conectados, direcciones e historial en caché |
| Billetera de hardware | En el dispositivo, en un elemento seguro o microcontrolador; nunca en el equipo anfitrión | Datos de la aplicación complementaria con xpub, nombres de cuentas e historial en caché; embalajes y tarjetas de recuperación |
| Cuenta con custodia | En el proveedor del servicio, no en el dispositivo | Cookies de sesión, correos electrónicos, aplicaciones de autenticación de dos factores, estados de cuenta; véase la lección Cuentas de exchange y en la nube como evidencia |
Algunos ejemplos concretos de billeteras de código abierto muestran este patrón. Bitcoin Core guarda las billeteras en su directorio de datos, en archivos normalmente denominados wallet.dat: las billeteras heredadas más antiguas utilizan Berkeley DB, mientras que las billeteras de descriptores, introducidas en la versión 0.21 y predeterminadas desde la versión 23.0, utilizan SQLite. Desde la versión 30.0 (octubre de 2025), las billeteras heredadas ya no pueden cargarse, solo migrarse, por lo que tanto el formato del archivo como la versión del software utilizada para leerlo deben constar en el registro. Electrum guarda un archivo por billetera en una carpeta wallets del directorio de Electrum del usuario. En los navegadores basados en Chromium, el almacenamiento local de una extensión se encuentra en el perfil, en una carpeta cuyo nombre es el ID de la extensión, por lo que el propio ID identifica qué billetera se instaló incluso cuando su bóveda está cifrada.
De ello se desprenden dos puntos prácticos. Primero, un archivo de billetera cifrado sigue siendo evidencia: su existencia, sus marcas de tiempo y sus metadatos sin cifrar suelen revelar direcciones y actividad antes de conocer cualquier contraseña. Segundo, la computadora anfitriona de una billetera de hardware puede contener las claves públicas extendidas del dispositivo, que pueden revelar todo el historial de la cuenta sin siquiera tocar el dispositivo.
Frases semilla fuera de la billetera
El artefacto más valioso a menudo no se encuentra en ningún software de billetera. Una frase semilla BIP-39 (también llamada frase mnemónica o de recuperación) codifica de 128 a 256 bits de entropía más una suma de comprobación como 12, 15, 18, 21 o 24 palabras de una lista de 2.048 palabras. Cualquiera que la posea puede reconstruir la billetera en cualquier software compatible, motivo por el que los usuarios la anotan y por el que aparece en lugares que no tienen nada que ver con la billetera:
- tarjetas de recuperación en cajas de billeteras de hardware, cuadernos, notas adhesivas, márgenes de libros;
- placas y arandelas metálicas estampadas o grabadas, diseñadas para resistir incendios e inundaciones;
- fotos y capturas de pantalla en la galería de la cámara, y sus copias en bibliotecas de fotos en la nube;
- aplicaciones de notas, archivos de texto, hojas de cálculo, gestores de contraseñas, borradores de correo electrónico y mensajes enviados a uno mismo.
La lista en inglés de BIP-39 está diseñada de modo que las primeras cuatro letras identifican cada palabra de forma unívoca, por lo que muchas copias de seguridad en metal solo contienen cuatro letras por palabra. El patrón que debe reconocerse es una lista de 12 a 24 palabras inglesas cortas y comunes, a menudo numeradas. No todas las frases son BIP-39: Electrum genera semillas con su propio sistema de números de versión, las billeteras heredadas de Monero utilizan un formato de 25 palabras y las copias de seguridad de Shamir conforme a SLIP-39 dividen un secreto en varias partes de 20 o 33 palabras. Registre el tipo de frase tal como se encuentre y deje que la etapa de recuperación determine el estándar (véase la lección Recuperación de billeteras con autorización legal).
Una frase semilla también puede estar protegida por una frase de contraseña, un secreto adicional que cambia la billetera derivada de las mismas palabras. Los usuarios suelen guardarla separada de las palabras, por lo que es común encontrar una sin la otra. Otro material de claves que debe reconocerse incluye claves privadas en Wallet Import Format (en la red principal de Bitcoin comienzan con 5, K o L), claves privadas extendidas (xprv, zprv), códigos QR en billeteras de papel y monedas o tarjetas físicas con una clave bajo una etiqueta que evidencia la manipulación.
Reconocer indicadores de billeteras en el lugar del registro
Quienes realizan el registro y no son especialistas en criptomonedas necesitan una lista breve de qué buscar y qué no tocar.
Dispositivos: dispositivos pequeños de tipo USB o del tamaño de una tarjeta con pantalla o botones; sus cables y cajas; computadoras de placa única; teléfonos de repuesto o antiguos; unidades USB y tarjetas de memoria; hardware de minería.
Papel y metal: listas de palabras, tarjetas de recuperación, placas metálicas, códigos QR, direcciones impresas, notas con PIN o «palabras», libros con palabras marcadas.
Contexto: recibos de cajeros automáticos de criptomonedas, cartas y tarjetas de exchange, tokens de autenticación de dos factores, cuadernos de operaciones, libros y manuales sobre billeteras.
Pantallas: aplicaciones de billetera o sesiones de exchange abiertas en una computadora o un teléfono en funcionamiento, que requieren las decisiones sobre sistemas encendidos descritas en la lección Registro e incautación de criptomonedas en el lugar de los hechos.
Los dispositivos pequeños pueden ocultarse en cualquier lugar. En un caso público de noviembre de 2021, los investigadores que ejecutaban una orden de registro recuperaron unos 50.000 BTC robados del mercado Silk Road en 2012; el relato oficial indica que los bitcoins se encontraron en una caja fuerte bajo el suelo y en una computadora de placa única oculta bajo mantas dentro de una lata de palomitas de maíz en un armario del baño. Un plan de registro para un caso relacionado con criptomonedas debe prever ese tipo de ocultamiento e informar a quienes realizan el registro sobre lo que puede significar una computadora inusual o una hoja con palabras.
Documentar los indicadores sin destruirlos
La primera regla en la etapa de identificación de indicadores es la cautela: encontrar, fotografiar en su ubicación original, documentar y embalar. No encienda una billetera de hardware, no introduzca PIN y nunca escriba una frase encontrada en ninguna billetera, sitio web o teléfono, porque esa acción modifica la evidencia, puede alertar a otras personas y puede exponer los fondos. Una foto de una frase semilla es en sí misma material de claves y debe almacenarse como tal, no dejarse en un teléfono personal que se sincroniza con la nube.
Cada indicador recibe una entrada de registro que vincula el elemento con su ubicación, su estado y la persona que lo encontró:
{
"item": "CASE-0417-I-012",
"type": "seed_backup_metal_plate",
"location": "Bedroom 2, inside hollow book, shelf B",
"found_by": "Searcher 3",
"found_at_utc": "2026-03-14T06:52:10Z",
"observed": "24 lines, 4 letters each; no passphrase visible",
"photos": ["IMG_0451", "IMG_0452"],
"photos_classified_as_key_material": true,
"sealed_bag": "TE-88213",
"words_transcribed": false
}La entrada registra dónde y cuándo se encontró la placa y quién la encontró, qué se observó sin incorporar las palabras al registro, qué fotos existen y que están clasificadas como material de claves, y el número de la bolsa con evidencia de manipulación. Dejar words_transcribed en false es deliberado: la transcripción, si es necesaria, se realiza más adelante bajo control dual. La cadena de custodia continúa después tal como se describe en la lección Cálculo de hashes, registro, cadena de custodia y gestión de la calidad.
Enfoque del examen: las tres clases de artefactos (material de claves, material público, rastros de uso) y la pregunta que responde cada una; dónde suelen encontrarse los artefactos de las billeteras de escritorio, móviles, de extensión del navegador, de hardware y con custodia; por qué un archivo de billetera cifrado y las xpub de una computadora anfitriona siguen teniendo valor probatorio; longitudes de las frases BIP-39 (de 12 a 24 palabras, lista de 2.048 palabras) y la regla de las cuatro letras; formatos distintos de BIP-39 (Electrum, Monero heredado de 25 palabras, partes SLIP-39) y la frase de contraseña separada; indicadores en el lugar del registro relativos a dispositivos, papel, metal y contexto; cautela en la etapa de identificación de indicadores y registro de cada hallazgo, tratando las fotos de frases semilla como material de claves.