Hashing, registro y cadena de custodia

La cadena de custodia es el registro documentado e ininterrumpido de quién tuvo un elemento de prueba, cuándo, dónde y por qué, desde la incautación hasta el tribunal. En los casos relacionados con criptomonedas, debe abarcar dos tipos de elementos de prueba a la vez: datos, cuya integridad puede demostrarse mediante un hash, y secretos como frases semilla y claves privadas, que son pruebas y también permiten controlar fondos. Una laguna en cualquiera de los dos registros plantea la pregunta que todo examinador teme: «¿Cómo sabe que esto es lo mismo que incautó?»

Hashes criptográficos para las pruebas

Una función hash criptográfica convierte cualquier entrada en un resumen de longitud fija. La misma entrada siempre produce el mismo resumen, y cambiar un solo bit de la entrada cambia el resumen hasta hacerlo irreconocible. Para las pruebas, las propiedades importantes son la resistencia a la segunda preimagen (dado un archivo, nadie puede crear otro archivo distinto con el mismo resumen) y la resistencia a colisiones (nadie puede crear dos archivos distintos cualesquiera con el mismo resumen).

SHA-256, definido en el Secure Hash Standard (FIPS 180-4), es la opción habitual hoy en día. Los algoritmos más antiguos siguen siendo comunes en herramientas heredadas y casos antiguos. En 2004, investigadores demostraron colisiones prácticas para MD5 y, en 2017, para SHA-1; en diciembre de 2022, NIST anunció que eliminaría gradualmente SHA-1 por completo para el 31 de diciembre de 2030. Un ataque de colisión permite que alguien prepare de antemano dos archivos distintos con el mismo resumen; no permite falsificar una coincidencia para un elemento de prueba cuyo hash se calculó correctamente en el momento de la incautación. Aun así, para los trabajos nuevos, use SHA-256 o un algoritmo más robusto; y si sus herramientas también registran MD5 o SHA-1 por compatibilidad, considere SHA-256 como el valor válido.

Entrada (UTF-8, sin salto de línea final): abc
SHA-256: ba7816bf8f01cfea414140de5dae2223b00361a396177a9cb410ff61f20015ad

Entrada: Exhibit CF-2026-041-03: hardware wallet, seal 0048213
SHA-256: eaa2d8a848521b2018364712b541d338781444a09a8b5f5778566057ea3ee481

Entrada: Exhibit CF-2026-041-03: hardware wallet, seal 0048218
SHA-256: 236a8c2809dedff8531466512bff46cd9ac8c59f5c7f7e31e28277735323e675

Entrada: the line above ending in 0048213, followed by one line feed
SHA-256: 0e8e8fe57a4425e010f8e399d1aba1ce793951c1cc8095569819ef54e3202ed6

El primer resumen es el valor de prueba estándar para «abc», que puede usar para verificar cualquier herramienta de hashing. Las dos entradas siguientes difieren en un dígito y sus resúmenes no tienen nada en común. La última muestra que un salto de línea invisible basta para cambiar el resumen. En la práctica, esto significa que debe calcular el hash del archivo exactamente como lo recibió, nunca de una copia que haya abierto y guardado con una hoja de cálculo o un editor de texto, porque al volver a guardarlo pueden cambiar los finales de línea, la codificación o los formatos de fecha.

Un hash coincidente demuestra que una copia es idéntica, bit por bit, a lo que se procesó anteriormente. No demuestra que el contenido sea auténtico, completo o esté correctamente interpretado. Una exportación de un proveedor con un hash perfecto puede aun así contener errores del proveedor; por eso, la lección Exchange y cuentas en la nube como evidencia trata la autenticación como un paso separado.

Cuándo calcular hashes

Calcule el hash en cada punto en el que posteriormente pueda cuestionarse la integridad:

1. En la adquisición: calcule el hash de la fuente cuando sea posible y de la copia, y confirme que coincidan. En una imagen sin procesar (flujo de bits) de una unidad, los dos valores son idénticos; los formatos contenedores almacenan el hash de la fuente dentro del contenedor.
2. Al recibir los archivos: calcule el hash de los archivos recibidos de proveedores, colegas u otras agencias en cuanto lleguen, y registre cómo llegaron (portal, transferencia cifrada o medio físico).
3. Antes y después del análisis: confirme que la copia de trabajo aún coincida con la copia maestra.
4. Al exportar y divulgar: calcule el hash del paquete de pruebas que entrega (consulte la lección Conservar pruebas en la cadena de bloques).
5. Periódicamente durante el almacenamiento: las comprobaciones de integridad detectan daños silenciosos en archivos y copias de seguridad.

El registro de pruebas

Cada elemento de prueba tiene un registro en el registro de pruebas, que se amplía a medida que el elemento se traslada y se examina. Un registro JSON mantiene la información estructurada y verificable por máquina.

{
  "exhibit_id": "CF-2026-041-01",
  "description": "Laptop, silver, serial ending 7Q2M",
  "authority_ref": "AUTH-2026-118",
  "seized": {"by": "Officer B", "utc": "2026-10-09T06:40:00Z", "seal": "0048211"},
  "acquisition": {
    "by": "Examiner E", "utc": "2026-10-11T08:12:00Z",
    "method": "SOP-IMG-02 v3, hardware write blocker WB-04",
    "tool": "imaging tool v4.2, validation record VAL-07",
    "image_file": "CF-2026-041-01.dd",
    "source_sha256": "1d89…ab85", "image_sha256": "1d89…ab85", "match": true
  },
  "custody": [
    {"utc": "2026-10-09T09:15:00Z", "from": "Officer B", "to": "Custodian D",
     "reason": "booked in", "seal_intact": true, "location": "Store 1, shelf 4"}
  ]
}

El registro vincula el elemento de prueba con la autoridad legal bajo la que se incautó, el sello aplicado en el lugar, el método y la herramienta validada utilizados para crear la imagen, y los hashes coincidentes de la fuente y la imagen (abreviados aquí para la impresión). El arreglo de custodia suma una entrada por cada transferencia. Mantenga la imagen maestra en un almacenamiento de solo escritura y analice únicamente copias de trabajo, volviendo a calcular sus hashes para compararlos con el de la copia maestra.

Transferencias de custodia

Una entrada de custodia debe responder seis preguntas: quién entregó, quién recibió, cuándo (UTC), dónde, por qué y en qué estado, incluso si el sello estaba intacto y cuál era su número. La norma ISO/IEC 27037 incluye un anexo informativo sobre la documentación mínima para las transferencias de pruebas. Ambas partes firman, en papel o electrónicamente.

Los elementos de prueba digitales complican la situación porque pueden copiarse. Registre qué copia se trasladó: la maestra, una copia de trabajo o una exportación. Cuando los datos se transmitan electrónicamente, use un canal cifrado, envíe el hash por separado y haga que el receptor calcule el hash al recibirlos y registre la coincidencia. Una copia que llega a su destino con un hash diferente no es «casi igual». Es un archivo distinto hasta que se explique la diferencia.

Almacenamiento y control de acceso

Los elementos de prueba físicos se guardan en un depósito controlado, con un registro de ingresos, llaves o credenciales de acceso restringido y bolsas con precintos de seguridad cuyos números figuran en el registro. Las pruebas digitales requieren medidas equivalentes:

• un depósito de pruebas dedicado, separado de los sistemas generales de oficina, con acceso basado en roles;
• almacenamiento de solo escritura o inmutable para las copias maestras y registro de acceso para cada lectura;
• cifrado en reposo, con claves en poder de la unidad y no de una sola persona;
• copias de seguridad en una segunda ubicación, verificadas con los mismos hashes;
• reglas de retención y eliminación, con registro de cada eliminación.

Frases semilla y claves como pruebas

Una frase semilla en una tarjeta, una clave privada en un archivo o una billetera de hardware son a la vez un elemento de prueba y un instrumento al portador: quien pueda leerlos puede mover los fondos. Las reglas de manejo se derivan de esa doble naturaleza.

• Asegure primero los fondos, bajo la autoridad de la que dispone, trasladándolos a una billetera controlada por la agencia (consulte la lección Asegurar criptoactivos incautados). Hasta entonces, toda persona que vea el secreto representa un riesgo para los activos y para las pruebas.
• Nunca copie las palabras ni las claves en notas, registros, informes o fotografías del caso. Fotografíe la bolsa sellada, no la tarjeta. En su lugar, registre un identificador que no sea secreto: por ejemplo, la primera dirección de recepción en una ruta de derivación especificada o la huella de la clave maestra de la billetera (consulte la lección Recuperación de billeteras bajo autoridad legal).
• Aplique control dual: deben estar presentes dos personas identificadas cada vez que se rompa un sello, y ambas deben quedar registradas; después, vuelva a sellar el elemento con un nuevo número de sello.
• Guárdelo como dinero en efectivo: en una caja fuerte dentro del depósito de pruebas, con su propio registro de acceso.
• Después de trasladar los fondos, el secreto conserva su valor probatorio (muestra quién podía controlar la billetera), pero debe tratarse como comprometido.

Registro de custodia de ejemplo

El elemento de prueba CF-2026-041-04 es una tarjeta con una frase semilla encontrada junto con la billetera de hardware.

Lectura desde la perspectiva de quien revisa el registro:

1. Las entradas 1 a 3 están completas: cada transferencia indica dos partes, una hora y una comprobación del sello.
2. La entrada 4 es el punto débil. El sello se rompió con una sola firma, en contra del requisito de control dual. O bien había una segunda persona presente y no quedó registrada, o no había nadie más.
3. Entre las entradas 4 y 5, la tarjeta estuvo más de dos días con el examinador, sin que se registrara su ubicación.
4. La solución no es volver a escribir el registro. El examinador añade una entrada complementaria fechada: quién más estaba presente a las 14:05 (si había alguien, se incluye la declaración de esa persona), dónde se guardó la tarjeta hasta el 12 de octubre y el registro de acceso a esa caja fuerte. El informe indica la laguna y su explicación, y el txid de la transferencia permite a cualquiera confirmar en la cadena de bloques cuándo se movieron los fondos.

Por lo general, una laguna que se revela y explica puede superarse. Una laguna que la defensa descubre primero es mucho más perjudicial.

Enfoque del examen: qué debe demostrar la cadena de custodia; las propiedades de los hashes para las pruebas (resistencia a la segunda preimagen y resistencia a colisiones) y SHA-256 según FIPS 180-4; las colisiones de MD5 y SHA-1 y el plan de NIST para retirar SHA-1 para 2030; por qué un solo byte modificado o un final de línea distinto cambia el resumen, y por qué se deben calcular hashes de los archivos tal como se reciben; qué demuestra y qué no demuestra un hash coincidente; cuándo calcular hashes; los campos de un registro de pruebas; las seis preguntas de una transferencia de custodia y las comprobaciones de hashes para las transferencias electrónicas; las frases semilla como instrumentos al portador (asegurar primero los fondos, nunca registrar el secreto, aplicar control dual y usar identificadores que no sean secretos); cómo detectar y subsanar una laguna en la cadena de custodia sin reescribir el registro.