Principios de la evidencia digital

Un resultado de rastreo solo es tan sólido como el manejo que lo respalda. Los expertos de la defensa y los tribunales rara vez cuestionan los cálculos de un rastreo; cuestionan cómo se obtuvieron los datos, si otra persona podría llegar al mismo resultado y si el examinador puede demostrar lo que hizo en cada paso. Esta lección establece los principios en los que se basa cada lección posterior de este módulo y explica por qué la evidencia de blockchain se ajusta bien a ellos en algunos aspectos y mal en otros.

La familia de estándares ISO/IEC sobre análisis forense

Cuatro estándares ISO/IEC del comité de seguridad de la información abarcan la evidencia digital, y un estándar de evaluación de la conformidad abarca el laboratorio que la maneja. En este módulo conocerás los cinco.

ISO/IEC 27037 es el tema de esta lección. Su resumen también indica que busca facilitar «el intercambio de posible evidencia digital entre jurisdicciones», algo importante cuando un caso depende de la asistencia jurídica mutua. ISO/IEC 27041, 27042 y 17025 se retoman en la lección Gestión de calidad en la unidad forense. ISO/IEC 27043 se corresponde con las etapas que se enseñan en la lección El ciclo de vida de la investigación.

Los cuatro procesos de manejo

ISO/IEC 27037 divide el manejo de evidencia en cuatro procesos. Se redactó pensando en computadoras, teléfonos, medios de almacenamiento y redes, y enumera esos dispositivos como ejemplos, no como una lista exhaustiva. Los procesos se aplican sin dificultad a los casos relacionados con criptomonedas.

1. Identificación: reconocer qué podría contener evidencia pertinente. En una escena de registro, esto incluye billeteras de hardware, copias de seguridad de frases semilla en papel o metal, teléfonos con aplicaciones de billetera y notas con direcciones (consulta la lección Billeteras en dispositivos incautados). En un caso en línea, incluye los ID de transacción, las direcciones, las cuentas de exchange y las páginas web pertinentes para las preguntas.
2. Recolección: tomar posesión de objetos físicos, como una computadora portátil, una billetera de hardware o un cuaderno con palabras de la frase semilla.
3. Adquisición: hacer una copia de los datos, como una imagen forense de una unidad, una exportación de una cuenta de exchange o transacciones sin procesar obtenidas de un nodo.
4. Preservación: proteger la integridad de lo que se recolectó o adquirió, desde el momento de la captura hasta el cierre del caso. El cálculo de hashes, el sellado, el almacenamiento controlado y los registros de custodia forman parte de este proceso.

El estándar también define dos funciones. Un primer interviniente en evidencia digital (DEFR, por sus siglas en inglés) está autorizado y capacitado para actuar primero en la escena. Un especialista en evidencia digital (DES, por sus siglas en inglés) cuenta con conocimientos técnicos más profundos y realiza el trabajo más complejo. Un agente de patrulla que embala una billetera de hardware y una tarjeta con la frase semilla actúa como DEFR. El examinador que posteriormente crea una imagen de la computadora portátil del propietario y reconstruye las rutas de transacción a partir de un nodo actúa como DES. Cada función debe desempeñarse dentro de las propias competencias y dejar constancia de lo realizado.

Pertinencia, confiabilidad y suficiencia

ISO/IEC 27037 considera que tres cualidades son fundamentales para la evidencia digital.

• Pertinencia: el material es relevante para una pregunta del caso. Recopilar todas las transacciones que haya realizado una billetera grande de exchange no constituye una recolección pertinente. Sí lo es recopilar los 14 depósitos que coinciden con los pagos de la víctima.
• Confiabilidad: el material es lo que afirma ser y se puede verificar el proceso que lo produjo. Una transacción sin procesar obtenida de un nodo, cuyo hash de bloque quedó registrado, es confiable en este sentido. Una captura de pantalla de una página del explorador sin URL ni hora es poco sólida.
• Suficiencia: se ha reunido material suficiente para respaldar o poner a prueba la conclusión. La suficiencia no significa «todo lo posible». Significa que también buscaste lo que podría contradecir tu hipótesis, además de lo que la respalda.

A continuación, el estándar establece cuatro requisitos para el propio proceso de manejo:

Observa la diferencia entre las dos filas centrales: la repetibilidad mantiene todo igual, mientras que la reproducibilidad conserva el método, pero cambia deliberadamente las herramientas, las condiciones y, por lo general, a la persona. Los datos de blockchain hacen que la reproducibilidad sea especialmente factible, como se explica en la última sección.

Las notas del examinador

Todos los requisitos anteriores dependen de un hábito: tomar notas contemporáneas, es decir, en el momento de realizar el trabajo, no reconstruirlas después. Unas buenas notas permiten que otro examinador retome el caso y obtenga los mismos resultados. También te permiten responder, meses después, una pregunta que no esperabas.

Una entrada de notas debe registrar:

• la fecha y hora en UTC, y quién hizo la entrada;
• qué se hizo, con qué elemento de evidencia o fuente de datos, y con qué herramienta y versión;
• las entradas (direcciones semilla, txid, rango de bloques) y dónde se guardaron los resultados, junto con sus hashes;
• las decisiones y sus motivos, incluidas las rutas que se decidió no seguir;
• los resultados negativos («no hay más salidas de esta dirección después del bloque 966,410») y las anomalías;
• cualquier desviación del procedimiento de la unidad y el motivo.

2026-10-14T09:42Z  A. Examiner  Case CF-2026-041
Source: own Bitcoin node, client v30.x, fully synced to height 971,031
Action: retrieved tx 4f3a…c21e (block 966,204, hash 0000…3b9e), 6 outputs
Output saved: raw/4f3a_c21e.json  SHA-256 recorded in evidence log
Decision: output 2 treated as change (same script type as inputs, non-round);
          output 4 (0,30 BTC) is the payment of interest. Outputs 1, 3, 5, 6 left
          for later review: amounts and timing do not match the victim's payment (note 17)

La entrada registra la fuente, el bloque exacto, el archivo de resultados y por qué se dejaron de lado algunas salidas. La decisión se identifica como un juicio, no como un hecho, para que quien revise sepa que debe ponerla a prueba. Las notas forman parte del expediente del caso y, por lo general, pueden divulgarse, así que redacta como si la defensa fuera a leerlas (consulta la lección Divulgación y escrutinio de la defensa).

Qué diferencia a la evidencia de blockchain

La mayor parte de la evidencia digital reside en un dispositivo que debe incautarse y obtenerse en imagen antes de que alguien pueda examinarlo. Los datos de una blockchain pública se comportan de manera diferente en tres aspectos.

Es pública. No se necesita una orden judicial para leer el libro mayor, y ninguna copia individual es «la original». Cada nodo completo conserva el mismo historial. Esto no significa que todos los hechos sean públicos: la persona detrás de una dirección, el libro mayor interno de un exchange y el dispositivo que firmó una transacción están fuera de la cadena, y para obtenerlos aún se requiere una incautación o un proceso legal.

Es replicable. El ID de una transacción es en sí mismo un hash de los datos de la transacción, y cada encabezado de bloque compromete sus transacciones y el bloque anterior. Cualquier persona con un nodo puede recuperar la misma transacción y comprobar que coincide con su ID y con su bloque. Dos examinadores en continentes distintos y con software diferente pueden confirmar los mismos hechos sin procesar. Esto hace que la reproducibilidad, el requisito más difícil de cumplir para la mayoría de las pruebas obtenidas de dispositivos, sea casi automática para los datos sin procesar de la cadena, siempre que el examinador registre los hashes de los bloques y espere a que se alcance la finalidad (consulta la lección Preservación de evidencia en la cadena).

Se interpreta. Los datos sin procesar indican que hubo una transferencia de valor entre direcciones. No indican quién las controla, cuál salida es el cambio ni si un depósito pertenece a una persona sospechosa. Esas afirmaciones se basan en heurísticas, etiquetas e inferencias, y ahí es donde se producen los errores. ISO/IEC 27042 aborda precisamente esta capa.

Un informe sólido mantiene estas capas claramente diferenciadas. La lección de IDFE-BA Calidad, normalización y procedencia de los datos explica cómo registrar la capa sin procesar. La lección Rastreo según un estándar probatorio explica cómo evaluar los vínculos construidos sobre ella.

Enfoque del examen: el alcance de ISO/IEC 27037, 27041, 27042, 27043 y 17025, según se indica en sus resúmenes; los cuatro procesos de 27037 (identificación, recolección, adquisición y preservación) y la diferencia entre recolección y adquisición; las funciones DEFR y DES; la pertinencia, confiabilidad y suficiencia, incluida la suficiencia como puesta a prueba de una hipótesis, no como volumen; la auditabilidad, repetibilidad, reproducibilidad y justificabilidad, y la diferencia entre repetibilidad y reproducibilidad; qué deben registrar las notas contemporáneas, incluidas las decisiones y los resultados negativos; por qué los datos de blockchain son públicos y replicables, pero su significado se interpreta; mantener separadas las capas de datos sin procesar, datos decodificados, heurísticas, etiquetas y conclusiones.