Carteras en dispositivos incautados

Muchos casos de criptomonedas se ganan o se pierden en el momento en que se encuentran las claves: en una laptop incautada, un teléfono, un dispositivo pequeño en un cajón o una hoja de papel dentro de un libro. Un examinador que sabe qué deja cada tipo de wallet y dónde puede vincular a un sospechoso con la actividad en la cadena, localizar fondos que aún se pueden asegurar y evitar destruir el artefacto decisivo. Esta lección describe los artefactos de las wallets y los indicadores que permiten identificarlos; las tres lecciones siguientes cubren la escena, la adquisición y la recuperación.

Qué deja una wallet

Una wallet no almacena monedas. Almacena claves, o los medios para derivarlas, además de metadatos que el software conserva para comodidad del usuario. Para un examinador, los artefactos de una wallet se dividen en tres clases, y cada una responde a una pregunta distinta.

La distinción determina todas las decisiones posteriores. El material público, como una clave pública extendida, permite al examinador enumerar todas las direcciones de una cuenta sin poder mover nada; BIP-32 describe exactamente este uso de «solo consulta». El material de claves otorga control, por lo que quien lo vea puede gastar los fondos; su manejo se aborda en la lección Hashing, registro y cadena de custodia. Los rastros de uso rara vez prueban el control, pero permiten situar a una persona frente a una wallet en un momento determinado.

Tipos de wallet y dónde se encuentran sus artefactos

La ubicación de los artefactos depende del tipo de wallet, el sistema operativo y la versión del software. La tabla muestra el patrón general, no una lista de rutas; las herramientas forenses y la documentación de la propia wallet indican las ubicaciones exactas para cada versión.

Algunos ejemplos concretos de wallets de código abierto ilustran el patrón. Bitcoin Core guarda las wallets en su directorio de datos, en archivos que normalmente se llaman wallet.dat: las wallets antiguas de tipo heredado usan Berkeley DB, mientras que las wallets de descriptores, introducidas en la versión 0.21 y establecidas como predeterminadas desde la versión 23.0, usan SQLite. Desde la versión 30.0 (octubre de 2025), las wallets heredadas ya no se pueden cargar, solo migrar, por lo que tanto el formato del archivo como la versión del software utilizada para leerlo deben constar en el registro. Electrum guarda un archivo por cada wallet en una carpeta wallets del directorio de Electrum del usuario. En los navegadores basados en Chromium, el almacenamiento local de una extensión se encuentra en el perfil, en una carpeta con el nombre del ID de la extensión; por eso, el ID permite identificar qué wallet se instaló, aunque su bóveda esté cifrada.

De aquí se desprenden dos puntos prácticos. Primero, un archivo de wallet cifrado sigue siendo evidencia: su existencia, las marcas de tiempo y los metadatos sin cifrar suelen revelar direcciones y actividad antes de que se conozca cualquier contraseña. Segundo, la computadora host de una wallet de hardware puede contener las claves públicas extendidas del dispositivo, lo que puede exponer todo el historial de la cuenta sin tocar nunca el dispositivo.

Frases semilla fuera de la wallet

A menudo, el artefacto más valioso no está en ningún software de wallet. Una frase semilla BIP-39 (también llamada frase mnemónica o frase de recuperación) codifica de 128 a 256 bits de entropía más una suma de verificación mediante 12, 15, 18, 21 o 24 palabras de una lista de 2.048 palabras. Cualquiera que la tenga puede reconstruir la wallet con cualquier software compatible; por eso los usuarios la anotan y por eso aparece en lugares que no tienen nada que ver con la wallet:

• tarjetas de recuperación en cajas de wallets de hardware, cuadernos, notas adhesivas y márgenes de libros;
• placas y arandelas metálicas estampadas o grabadas, diseñadas para resistir incendios e inundaciones;
• fotos y capturas de pantalla en el carrete de la cámara, y sus copias en bibliotecas de fotos en la nube;
• aplicaciones de notas, archivos de texto, hojas de cálculo, administradores de contraseñas, borradores de correo electrónico y mensajes enviados a uno mismo.

La lista en inglés de BIP-39 está diseñada de modo que las primeras cuatro letras identifican cada palabra de forma única, por lo que muchas copias de respaldo metálicas llevan solo cuatro letras por palabra. El patrón que se debe reconocer es una lista de 12 a 24 palabras comunes y cortas en inglés, a menudo numeradas. No todas las frases son BIP-39: Electrum genera frases semilla con su propio sistema de números de versión, las wallets heredadas de Monero usan un formato de 25 palabras y las copias de respaldo Shamir que siguen SLIP-39 dividen un secreto en varias partes de 20 o 33 palabras. Registre el tipo de frase tal como se encontró y deje que la etapa de recuperación determine el estándar (véase la lección Recuperación de wallets bajo autoridad legal).

Una frase semilla también puede protegerse con una frase de contraseña, un secreto adicional que cambia la wallet derivada de las mismas palabras. Los usuarios suelen guardar la frase de contraseña por separado de las palabras, por lo que es común encontrar una sin la otra. Entre otros materiales de claves que conviene reconocer se encuentran las claves privadas en formato de importación de wallets (en la red principal de Bitcoin empiezan con 5, K o L), las claves privadas extendidas (xprv, zprv), los códigos QR en wallets de papel y las monedas o tarjetas físicas con una clave debajo de una etiqueta a prueba de manipulaciones.

Reconocer indicadores de wallets en una escena de registro

El personal de registro que no se especializa en criptomonedas necesita una lista breve de qué buscar y qué no tocar.

Dispositivos: dispositivos pequeños del tamaño de una memoria USB o una tarjeta, con pantalla o botones; sus cables y cajas; computadoras de placa única; teléfonos de repuesto o antiguos; unidades USB y tarjetas de memoria; hardware de minería.

Papel y metal: listas de palabras, tarjetas de recuperación, placas metálicas, códigos QR, direcciones impresas, notas con PIN o «palabras», libros con palabras marcadas.

Contexto: recibos de cajeros automáticos de criptomonedas, cartas y tarjetas de exchanges, tokens de autenticación de dos factores, cuadernos de operaciones, libros y manuales sobre wallets.

Pantallas: aplicaciones de wallet o sesiones de exchange abiertas en una computadora o teléfono encendido, que requieren las decisiones en el momento descritas en la lección Registro e incautación de criptomonedas en la escena.

Los dispositivos pequeños pueden estar ocultos en cualquier lugar. En un caso público de noviembre de 2021, los investigadores que ejecutaban una orden de registro recuperaron alrededor de 50.000 BTC robados del mercado Silk Road en 2012; el informe oficial indica que los bitcoins se encontraron en una caja fuerte subterránea y en una computadora de placa única escondida bajo mantas, dentro de una lata de palomitas de maíz en el armario de un baño. Un plan de registro para un caso de criptomonedas debe prever ocultamientos de ese tipo e informar al personal de registro qué puede significar una computadora inusual o una hoja con palabras.

Documentar indicadores sin destruirlos

La primera regla en la etapa de identificación de indicadores es actuar con cautela: encontrar, fotografiar en el lugar, documentar y embalar. No encienda una wallet de hardware, no introduzca PIN y nunca escriba una frase encontrada en ninguna wallet, sitio web o teléfono, porque esa acción modifica la evidencia, puede alertar a otras personas y puede exponer los fondos. Una foto de una frase semilla es, en sí misma, material de claves y debe almacenarse como tal; no debe dejarse en un teléfono personal que se sincronice con la nube.

Cada indicador recibe una entrada de registro que lo vincula con su ubicación, su estado y la persona que lo encontró:

{
  "item": "CASE-0417-I-012",
  "type": "seed_backup_metal_plate",
  "location": "Dormitorio 2, dentro de un libro hueco, estante B",
  "found_by": "Buscador 3",
  "found_at_utc": "2026-03-14T06:52:10Z",
  "observed": "24 líneas, 4 letras cada una; no se ve ninguna frase de contraseña",
  "photos": ["IMG_0451", "IMG_0452"],
  "photos_classified_as_key_material": true,
  "sealed_bag": "TE-88213",
  "words_transcribed": false
}

La entrada registra dónde y cuándo se encontró la placa y quién la encontró, qué se observó sin transcribir las palabras en el registro, qué fotos existen y que se clasifican como material de claves, además del número de la bolsa a prueba de manipulaciones. Dejar words_transcribed en false es deliberado: la transcripción, si se necesita, se realiza más adelante bajo control dual. La cadena de custodia continúa entonces según se describe en la lección Hashing, registro y cadena de custodia.

Enfoque del examen: las tres clases de artefactos (material de claves, material público, rastros de uso) y la pregunta que responde cada una; dónde suelen encontrarse los artefactos de las wallets de escritorio, móviles, de extensión de navegador, de hardware y de custodia; por qué un archivo de wallet cifrado y los xpubs de la computadora host siguen teniendo valor probatorio; longitudes de las frases BIP-39 (de 12 a 24 palabras, lista de 2.048 palabras) y la regla de las cuatro letras; formatos distintos de BIP-39 (Electrum, Monero heredado de 25 palabras, partes SLIP-39) y la frase de contraseña independiente; indicadores de escena para dispositivos, papel, metal y contexto; cautela en la etapa de identificación de indicadores y registro de cada hallazgo, tratando las fotos de frases semilla como material de claves.