Estudio de caso integrador: del primer rastro a la recuperación

Los casos reales exigen utilizar simultáneamente todas las habilidades de este curso, bajo presión de tiempo y con datos incompletos. Este caso integrador sigue un robo ficticio desde la primera alerta hasta la devolución de los fondos. En cada paso, plantéese tres preguntas: de qué lección procede la actuación, qué registro deja y hasta qué punto se puede confiar en el resultado. Todos los nombres, direcciones y cifras son inventados, y las cifras cuadran, por lo que el caso también sirve como ejercicio de conciliación (se omiten las comisiones de red, salvo los costos del swap en Chain B).

El caso de un vistazo

A las 02:10 UTC del 14 de marzo de 2026, un atacante que había comprometido una computadora portátil utilizada para firmar transacciones en Nordhaven Exchange (país A) vació tres billeteras calientes. Los precios en ese momento eran de USD 2.500 por ETH y USD 80.000 por BTC.

Otras partes: Brightwater OTC, un intermediario registrado en el país B; Lumen Exchange, en el país C; un emisor de stablecoins; un mezclador basado en contratos inteligentes con pools de importe fijo de 100 ETH; y un puente de bloqueo y acuñación hacia Chain B, un rollup EVM.

Primera hora: la pregunta, la preservación y el primer bloqueo

El sistema de monitoreo de Nordhaven emitió una alerta a las 02:31 y su responsable del incidente llamó a la unidad policial de ciberdelincuencia a las 02:40. El investigador de guardia abrió un expediente y registró los puntos de partida: los txids de las tres transacciones del robo, las direcciones del atacante en dos cadenas y los importes por activo (lección 1.2). Antes de ejecutar la primera consulta, la solicitud «encuentren el dinero» se reformuló como una pregunta con un alcance definido: ¿adónde fueron los activos robados en estas tres transacciones, hasta los bloques de corte registrados en cada cadena; qué servicios de custodia recibieron parte de ellos; y qué grado de confianza tenemos en cada vínculo? El alcance fijó las cadenas (Ethereum, Chain B y Bitcoin), un límite de saltos para las cadenas de desprendimiento y una regla de parada en cualquier servicio de custodia. Se pidió a los ingenieros de Nordhaven que no borraran la computadora portátil comprometida; se obtuvo una imagen forense y se registró su hash antes del análisis (lección 8.3).

Las dos transacciones del robo en Ethereum se leyeron a partir de sus recibos, no del resumen de un explorador: estado 1 (éxito) y, para el robo de USDT, el registro Transfer decodificado (lecciones 2.4 y 2.9), con las unidades normalizadas de inmediato: USDT tiene 6 decimales, por lo que un valor bruto de 4.000.000.000.000 equivale a 4.000.000 USDT (lección 2.6). La dirección principal de Ethereum del atacante había recibido fondos dos días antes mediante un retiro de 1,0 ETH de un pool de 1 ETH de un mezclador basado en contratos inteligentes, antes de haber enviado ninguna transacción; se trata de fondos propios del atacante para pagar el gas, no de valor robado, por lo que quedan fuera de la conciliación. Esa financiación dice muy poco sobre quién está detrás, así que se registró como una vía sin salida, no como una pista (lección 6.3).

Los activos susceptibles de bloqueo tuvieron prioridad. A las 02:48, el atacante intercambió 1.500.000 USDT por 600 ETH en un exchange descentralizado, a un tipo de cambio de 2.500 USDT por ETH que coincidía con el mercado (lección 5.2). Los 2.500.000 USDT restantes permanecían en una dirección, por lo que el investigador envió una solicitud urgente de bloqueo al emisor, que bloqueó la dirección a las 03:05 (lección 10.1). Para las 03:30, los indicadores ya se habían difundido por canales de cooperación policial y una red de alertas del sector.

El mensaje en cadena que Nordhaven proponía enviar al atacante para ofrecerle una recompensa se retuvo hasta que el equipo del caso acordó una redacción que no revelara lo que sabían los investigadores (lección 1.5).

Días 1–12: rastreo de la división

El atacante tenía ahora 3.000 ETH (2.400 robados más 600 del swap) y 50 BTC, y los dividió. Cada vínculo se calificó según la escala A–D (lección 3.2).

En el paso del puente se aplicó el cotejo de siete comprobaciones de la lección 5.4: ambos txids, el ID del mensaje, el destinatario y el importe coincidente se incorporaron al rastro. En el paso del mezclador se siguió la lección 6.3: el patrón de financiación para gas se registró como una inferencia, con su fundamento y sus limitaciones, y los 600 ETH se registraron como no rastreados en lugar de «probablemente del atacante».

La cadena de desprendimiento se siguió mediante una consulta recursiva sobre las tablas de entradas y salidas (lección 2.9) que, en cada salto, une la salida de cambio con la transacción que la gasta y conserva la salida de mayor importe de esa transacción. La «salida de mayor importe» es solo una regla orientativa, por lo que cada salto se comprobó con las señales de detección de cambio de la lección 4.2: el cambio siempre iba a una dirección nueva del mismo tipo de script que la entrada, los pagos eran importes redondos y el cambio no, y todas las transacciones compartían la misma versión, tasa de comisión y patrón de locktime, una huella de billetera coherente. La coincidencia hace más sólida cada identificación de cambio, pero todas son señales de detección de cambio extraídas de las mismas transacciones, no pruebas independientes, por lo que el control del cambio permanece en el grado C (lección 3.2), por muchas que coincidan.

La etiqueta de Lumen se basaba en lo que ocurrió después: los fondos de cada dirección de depósito se consolidaron posteriormente junto con los de más de 100 direcciones en una única billetera caliente (lecciones 4.1 y 3.4), y esa billetera caliente tenía una sola etiqueta de terceros. Un segundo examinador repitió cada rastreo a partir de datos de nodos, y se registraron las versiones de las herramientas y las instantáneas de las etiquetas (lecciones 3.6 y 8.2).

Puesta a prueba de una hipótesis: ¿quién controla bc1q…9tm4?

Los 18 BTC restantes no se habían movido. El analista planteó tres hipótesis: la billetera del propio atacante (H1), una dirección de un servicio de custodia (H2) o un tercero al que el atacante había pagado (H3). El flujo es compatible con las tres: demuestra adónde fueron los fondos, no quién controla la dirección. Los elementos discriminantes fueron las señales de cambio en cada salto, que apuntan a la misma billetera que en los saltos anteriores (en contra de H3); la falta de historial de la dirección antes de la cadena de desprendimiento y la ausencia de una consolidación hacia una billetera caliente (en contra de H2). H1 se mantuvo; H3 se conservó como opinión minoritaria, porque los argumentos en su contra se basaban únicamente en señales heurísticas (lección 1.2). La valoración provisional, expresada con probabilidad y confianza por separado, como exige la lección 9.2: Es probable que el atacante controle bc1q…9tm4. La confianza es moderada, porque el vínculo se basa en heurísticas de cambio que coinciden, pero no constituyen registros independientes.

Del servicio de conversión a dinero al sospechoso

La atribución de Brightwater se basó en dos indicadores independientes: sus propias instrucciones de depósito publicadas, una fuente autoidentificada que no enumera las direcciones de depósito de clientes individuales, y una etiqueta en dos conjuntos de datos independientes, verificada y fechada (lección 4.6). Por eso la etiqueta de Brightwater comenzó en el grado B y la de Lumen solo en el C: una fuente que habla en nombre de la entidad puede sustentar por sí sola el grado B, mientras que una única etiqueta de terceros es un indicador con posibles fallos conocidos (lección 4.5). Como proveedor registrado en el país B, se podía solicitar a Brightwater que preservara los registros de inmediato por canales policiales y de la unidad de inteligencia financiera (UIF), seguido de una solicitud de asistencia jurídica mutua del país A (lecciones 1.3 y 1.4). Los países A y B crearon un equipo conjunto de investigación.

Los registros de Brightwater mostraron que los 4.980.000 USDC y los cuatro retiros del mezclador (400 ETH, o USD 1.000.000 a USD 2.500) se abonaron a una misma cuenta corporativa cuyo director denominamos Sospechoso 1. Brightwater ya había pagado USD 2.980.000 (1.980.000 por USDC y 1.000.000 por ETH) a una cuenta bancaria del país B; aún quedaban 3.000.000 USDC en la cuenta. Los registros, autenticados como se describe en la lección 7.5, corroboraron de forma independiente la inferencia del mezclador, que pasó del grado D al B, conservándose el historial de grados.

Los registros de Lumen mostraron que los seis depósitos fueron a cuentas abiertas por tres mulas de dinero, lo que elevó la etiqueta de Lumen al grado B. Los identificadores de los dispositivos utilizados para iniciar sesión en esas cuentas coincidían con un dispositivo que había iniciado sesión en la cuenta de Brightwater del Sospechoso 1 (lección 4.7). La cadena de atribución siguió la secuencia dirección → clúster → servicio → cuenta → persona, con pruebas propias para cada capa (lección 4.5).

Evidencia de dispositivos

El 4 de abril, agentes del país B registraron el domicilio del Sospechoso 1 con una orden judicial (lección 7.2). Los examinadores obtuvieron una imagen forense del teléfono y encontraron una foto de una frase semilla en una copia de seguridad de una aplicación de notas (lecciones 7.1 y 7.3). Restaurada en un dispositivo aislado del examinador con autorización legal, permitió derivar bc1q…9tm4 (lección 7.4). Esa misma mañana, los 18 BTC se transfirieron íntegramente a una billetera multifirma 2 de 3 controlada por el organismo (lección 10.2). Las palabras de la semilla no aparecen en ninguna nota, registro, informe o fotografía del caso; el expediente registra la dirección derivada como identificador no secreto, dos personas identificadas estuvieron presentes y quedaron registradas cada vez que se abrió, visualizó o restauró el elemento probatorio que contenía la semilla, y este se volvió a precintar con un nuevo número de precinto (control dual); además, el txid de la transferencia permite a cualquiera confirmar cuándo se movieron los fondos (lección 8.3).

El hallazgo en el dispositivo logró lo que ninguna heurística podía: la valoración provisional sobre bc1q…9tm4 fue sustituida por un registro, una semilla en el teléfono del Sospechoso 1 que permite derivar la dirección, con grado A para el control de la dirección (lección 4.5). Quién utilizó esa semilla sigue siendo una cuestión de la capa individual, que se responde con el resto de las pruebas del dispositivo y de las cuentas. El análisis heurístico permanece en el expediente como el razonamiento que condujo hasta allí.

Bloqueos e incautaciones

La cuenta bancaria se había abierto dos semanas antes del robo y no había recibido ningún otro dinero, por lo que no fue necesario aplicar ningún método de asignación; el informe lo indicó expresamente en lugar de dejar la cuestión abierta (lección 3.3). Cada incautación se valoró en el momento de la transferencia, indicando la fuente del precio (lección 10.3). Nordhaven pidió que se le devolviera el bitcoin en especie, por lo que no se solicitó una venta provisional.

Notificación, informe y testimonio

Se notificó a Lumen y a Brightwater a través de sus canales de cumplimiento, incluyendo únicamente sus propias direcciones de depósito, txids, importes y el grado de cada vínculo. Una dirección del historial anterior de Ethereum del atacante, fuera del rastro de los fondos robados, se resolvía mediante un servicio de nombres a lo que parecía ser el nombre de una persona particular; se excluyó de todos los documentos compartidos y se incorporó únicamente a un anexo restringido para actuaciones legales (lección 1.5).

El informe del examinador principal siguió la lección 9.2: instrucciones, materiales con los valores hash de cada entrega de datos de los proveedores y de cada imagen, métodos, hallazgos por vínculo con sus grados, limitaciones y apéndices con tablas de txids generadas mediante consultas. Siguiendo la lección 9.3, incluyó un diagrama de Sankey por activo en lugar de uno que mezclara unidades; un diagrama de flujo que mostraba el valor rastreado, inferido y no rastreado con distintos estilos de línea; y una cronología con un carril por cadena. Antes del juicio, se reveló el material no utilizado, incluidas las fuentes de las etiquetas y las investigaciones publicadas sobre las tasas de error de la heurística del mezclador (lección 8.4).

Durante el contrainterrogatorio, el abogado defensor planteó al examinador que las heurísticas del mezclador no eran fiables. El examinador reconoció que el patrón de financiación para gas por sí solo es únicamente una inferencia (grado D), señaló la corroboración independiente en los registros de Brightwater que lo elevó al grado B e indicó que el vínculo afectaba a USD 1.000.000 de los USD 14.000.000 y que ningún otro hallazgo dependía de él (lección 9.4). Reconocer la limitación hizo más creíble el resto de las pruebas.

Devolución de fondos y conciliación

Nordhaven había reembolsado a sus clientes con sus reservas, por lo que se constituyó como reclamante. Los países B y C devolvieron lo que tenían al país A en virtud de acuerdos de devolución de activos del tipo previsto por la Recomendación 38 del GAFI, y cada dirección de pago se verificó mediante un mensaje firmado antes de la transferencia (lección 10.4). Mientras tanto, falsos «agentes de recuperación» contactaron a los clientes de Nordhaven; la policía publicó una advertencia de que nunca cobraría comisiones.

Se recuperó el 72,9 % de la pérdida a precios del momento del robo, y el bitcoin, devuelto en especie, se restituyó por completo. Las pérdidas de ETH y USDT (USD 6.000.000 + 4.000.000 = 10.000.000) se cubrieron en un 62 % con las recuperaciones cuyo origen se remonta a ellas: los USDT reemitidos, los USDC incautados y los fondos bancarios bloqueados (2.500.000 + 3.000.000 + 700.000 = USD 6.200.000). Cada unidad de valor robado tiene un destino en la tabla, la comprobación final de que el rastreo está completo.

Enfoque del examen: prioridades de la primera hora (puntos de partida, una pregunta con alcance definido, preservación, prioridad a los activos susceptibles de bloqueo, difusión de indicadores y comunicación controlada con el atacante); lectura de recibos y normalización de unidades de tokens; por qué una dirección del atacante financiada por un mezclador es una vía sin salida; calificación de cada vínculo en la escala A–D y conservación del historial de grados cuando los registros elevan una inferencia; cotejo de depósitos en puentes con liberaciones; seguimiento de una cadena de desprendimiento y confirmación del cambio mediante varias heurísticas; atribución de direcciones de depósito mediante consolidaciones y por qué una etiqueta autoidentificada tiene mayor peso que una única etiqueta de terceros; puesta a prueba de hipótesis de control y expresión por separado de la probabilidad y la confianza; cómo la evidencia de dispositivos convierte una inferencia de control en un registro, y manejo de semillas sin registrarlas; atribución capa por capa desde el clúster hasta la persona; elección del mecanismo para cada activo (emisor, proveedor, banco, claves); divulgación mínima a los servicios y un anexo restringido para los datos personales; reconocimiento de limitaciones durante el contrainterrogatorio; conciliación de los importes recuperados y perdidos con la pérdida total.