Registro e incautación de criptoactivos en el lugar de la intervención

Un registro en un caso relacionado con criptoactivos tiene dos relojes en marcha a la vez. Uno es el reloj probatorio habitual: preservar los dispositivos y los datos para que los hallazgos puedan defenderse posteriormente. El otro es el reloj de los activos: cualquier otra persona que tenga una copia de una frase semilla puede mover los fondos en cuestión de minutos, esté donde esté. Esta lección aborda cómo planificar el registro, tomar decisiones sobre adquisiciones en vivo y con el equipo apagado, manejar billeteras de hardware y copias de seguridad de la semilla, solicitar acceso de forma lícita y documentar el lugar de la intervención para tener en cuenta ambos relojes.

Planificación antes de la entrada

La mayoría de los fallos en el lugar de la intervención son fallos de planificación. Antes de entrar, el equipo debe saber qué espera encontrar, qué está autorizado a hacer y quién decide cuando ocurre algo imprevisto.

La billetera del organismo y el procedimiento de transferencia deben formar parte del plan, no improvisarse en la mesa de la cocina; la lección Protección de los criptoactivos incautados explica cómo se preparan.

Decisiones sobre adquisiciones en vivo frente a adquisiciones con el equipo apagado

Una adquisición con el equipo apagado examina un dispositivo que está apagado. Una adquisición en vivo captura datos de un sistema en funcionamiento. La elección sigue el orden de volatilidad establecido en RFC 3227, Directrices para la recopilación y el archivo de evidencias: recopilar primero los datos de menor duración, como la memoria, el estado de la red y los procesos en ejecución, antes que los datos del disco. En los casos relacionados con criptoactivos, los datos volátiles pueden ser decisivos, porque una billetera en ejecución puede contener claves descifradas en la memoria y el cifrado de disco completo puede hacer que el disco resulte ilegible cuando el equipo está apagado.

Dos observaciones sobre dispositivos móviles proceden de Buenas prácticas para la recopilación y preservación, el manejo y la adquisición de evidencia de dispositivos móviles de SWGDE (versión 2.0, 2025). El modo avión puede dejar activos el Wi-Fi o el Bluetooth, por lo que hay que confirmar el aislamiento o utilizar blindaje. Además, un reinicio puede hacer que un teléfono pase del estado después del primer desbloqueo (AFU) al estado antes del primer desbloqueo (BFU), en el que muchos más datos están cifrados y pueden volverse irrecuperables, por lo que es importante contar con una alimentación externa estable.

Toda actuación en vivo modifica el sistema. ISO/IEC 27037 acepta esto cuando está justificado, siempre que el examinador minimice los cambios y registre cada actuación con su hora y motivo. Por tanto, el registro de actuaciones en vivo es obligatorio, no opcional.

Datos volátiles importantes en los casos relacionados con criptoactivos

Cuando un sistema está en funcionamiento, lo siguiente puede perderse al apagarlo o bloquearlo:

• Memoria: claves de billeteras o semillas descifradas que mantiene el software de billetera en ejecución, contraseñas, contenido del portapapeles (a menudo, una dirección que acaba de copiarse).
• Sesiones abiertas: sesiones iniciadas en cuentas de exchanges, billeteras de extensiones del navegador desbloqueadas, correo web que muestra notificaciones de exchanges.
• Estado de la pantalla: saldos, direcciones e historiales de transacciones que muestra una billetera abierta.
• Estado de la red: conexiones a servidores de billeteras, pares de nodos, escritorios remotos u otros equipos controlados por el sujeto.
• Códigos de autenticación de dos factores en aplicaciones de autenticación de un teléfono desbloqueado.

Documentar lo que muestra una billetera abierta, mediante fotografías o una grabación de pantalla, es muy distinto de operarla. El examinador registra lo que se muestra; cualquier transferencia de fondos se realiza únicamente conforme al plan y a la autorización, con los controles descritos a continuación.

Un ejemplo público muestra por qué es importante planificar teniendo en cuenta el estado en vivo. En la detención de Silk Road de 2013, los investigadores organizaron la detención de modo que la computadora portátil del operador se tomara mientras estaba abierta y con la sesión iniciada, lo que preservó el acceso a datos que, de otro modo, el cifrado habría protegido.

Billeteras de hardware y copias de seguridad de la semilla

Una billetera de hardware está diseñada para resistir precisamente lo que una persona curiosa podría intentar durante un registro. Muchos dispositivos borran su contenido tras un número reducido de introducciones de PIN incorrectos, por lo que nadie en el lugar de la intervención debe intentar introducir un PIN, ni siquiera uno escrito en una nota cercana; hay que documentar la nota e incautarla. Incaute el dispositivo junto con su cable, su caja y cualquier tarjeta de recuperación.

El dispositivo suele ser menos importante que su copia de seguridad de la semilla, porque esta permite restaurar la billetera sin el dispositivo. Búsquela como se describe en la lección Billeteras en dispositivos incautados. Cuando se encuentre una:

1. fotografíela donde se encuentre con una cámara del organismo, nunca con un teléfono personal;
2. clasifique las fotografías como material de claves y restrinja quién puede verlas;
3. selle la copia de seguridad en una bolsa con precinto de seguridad sin transcribirla en el lugar de la intervención, a menos que el plan exija una transferencia inmediata;
4. registre el hallazgo, el número de precinto y todas las personas que hayan visto las palabras.

Cualquier persona que vea una frase semilla podría mover los fondos posteriormente, por lo que limitar la exposición protege tanto los activos como a los agentes frente a acusaciones posteriores.

Solicitud de acceso con autorización legal

Las personas presentes en el lugar de la intervención pueden proporcionar códigos PIN, contraseñas, frases de contraseña o la ubicación de copias de seguridad. La posibilidad de exigir que una persona los proporcione y la protección aplicable contra la autoincriminación varían según la jurisdicción; el equipo debe conocer la norma aplicable antes de entrar. Sea cual sea la norma, hay tres prácticas comunes a las buenas investigaciones:

• Registrar con exactitud qué se preguntó, qué se dijo y qué se proporcionó, con las horas correspondientes.
• No permitir que el sujeto opere un dispositivo. Un usuario puede introducir un PIN de coacción, activar un borrado o abrir una billetera señuelo con una frase de contraseña diferente mientras aparenta cooperar.
• Verificar, no confiar. Una frase de contraseña que abre una billetera con un saldo pequeño no demuestra que no exista otra billetera protegida por una frase de contraseña con las mismas palabras semilla.

Las preguntas sobre cuentas, exchanges y otros dispositivos son tan útiles como las contraseñas: una respuesta que identifique un exchange puede convertirse en una solicitud de congelamiento en cuestión de minutos.

Protección de los fondos y documentación del lugar de la intervención

Poseer una frase semilla no garantiza que los fondos estén seguros, porque un cómplice puede tener una copia. Cuando la autorización lo permita y el plan lo contemple, los fondos se transfieren sin demora a una billetera controlada por el organismo bajo control dual, con una transacción de prueba, como se describe en la lección Protección de los criptoactivos incautados. En cambio, los saldos mantenidos en servicios de custodia se protegen mediante solicitudes inmediatas de congelamiento o preservación.

La documentación del lugar de la intervención integra todos los elementos: fotografías y video antes de mover cualquier objeto, un croquis, el registro de elementos y el registro de actuaciones en vivo. Cada actuación en vivo se registra con la misma estructura:

{
  "case": "CASE-0417",
  "action_id": "LA-006",
  "time_utc": "2026-03-14T07:18:40Z",
  "device": "CASE-0417-I-003 laptop, on, unlocked",
  "action": "Screen video of open desktop wallet; no clicks on send or settings",
  "reason": "Displayed balances and addresses lost at lock or shutdown",
  "performed_by": "Examiner 1",
  "witness": "Examiner 2",
  "output": "VID_0009.mp4, SHA-256 3c7e…b1d9",
  "system_changes": "Mouse moved to prevent sleep"
}

El registro identifica el dispositivo y su estado, lo que se hizo y lo que se evitó deliberadamente, por qué era necesaria la actuación, quién la realizó y quién la presenció, el archivo de salida con su hash y los cambios que la actuación produjo en el sistema. Un perito de la defensa que lo revise posteriormente puede comprobar que la actuación en vivo estaba justificada y controlada. El cálculo de hashes y la custodia de los archivos de salida continúan como se describe en la lección Cálculo de hashes, registro, cadena de custodia y gestión de la calidad.

Enfoque del examen: los dos relojes (preservación de la evidencia y movimiento de los activos) y los elementos de planificación que atienden a ambos, incluidos el alcance de la autorización, los especialistas, el equipo y una billetera del organismo preparada de antemano; decisiones sobre adquisiciones en vivo frente a adquisiciones con el equipo apagado y el orden de volatilidad (RFC 3227); aislamiento de dispositivos móviles, alimentación externa y AFU frente a BFU; datos volátiles relevantes para los criptoactivos (memoria, sesiones abiertas, pantallas, portapapeles, códigos de autenticación de dos factores); no introducir nunca códigos PIN en una billetera de hardware; tratar las copias de seguridad de la semilla y sus fotografías como material de claves; registrar y verificar la información de acceso sin permitir que el sujeto opere los dispositivos; transferencia rápida a una billetera del organismo bajo control dual, documentada en el registro de actuaciones en vivo.