El proceso de investigación del robo de criptomonedas

De la denuncia a la identificación del responsable: titularidad, trazabilidad on-chain e identificación en exchanges.

1. Planteamiento del problema

El robo o la sustracción fraudulenta de criptoactivos plantea una paradoja aparente: la misma tecnología que permite el anonimato relativo del delincuente es la que, bien explotada, permite reconstruir con un nivel de detalle inalcanzable en el mundo financiero tradicional el itinerario completo de los fondos sustraídos. Mientras que una transferencia bancaria fraudulenta se pierde a menudo en la opacidad de sistemas privados y en la cooperación limitada entre entidades, cada movimiento de una criptomoneda queda inscrito de forma permanente e inmutable en un libro contable público: la blockchain.
Investigar un robo de criptomonedas no es, sin embargo, un ejercicio puramente técnico de «seguir flechas en un grafo». Es un proceso técnico-jurídico que exige, de forma simultánea: (i) acreditar que las criptomonedas sustraídas pertenecían efectivamente a la víctima; (ii) reconstruir el camino que siguieron los fondos hasta sus destinos finales; y (iii) traducir esa trazabilidad on-chain en la identidad civil de una persona física o jurídica, lo cual solo es posible quebrando el pseudonimato en el punto en que la cadena de bloques entra en contacto con el mundo regulado. Este artículo desarrolla esas tres fases, junto con el marco procedimental aplicable en los países de habla hispana y los obstáculos reales que el investigador encontrará en el camino.

2. La blockchain como escena del crimen

A diferencia de la banca tradicional, la mayoría de las blockchains públicas (Bitcoin, Ethereum y la práctica totalidad de las redes que operan sobre EVM) son, por diseño, transparentes, inmutables y verificables por cualquiera sin necesidad de autorización. Cada transacción queda registrada con la dirección de origen, la dirección de destino, el importe, una marca temporal exacta (timestamp) y las comisiones de red aplicadas, y ese registro no puede alterarse ni borrarse una vez confirmado por la red. Esta combinación de propiedades es la que convierte a la cadena de bloques en una fuente de prueba de una fiabilidad muy superior a la de buena parte de la evidencia digital convencional.
Lo que la blockchain no ofrece por sí sola es la identidad civil de los titulares de las direcciones. Bitcoin y Ethereum son sistemas pseudónimos, no anónimos: cualquiera puede consultar qué hizo una dirección, pero no quién hay detrás de ella. La investigación consiste precisamente en cerrar esa brecha, y el punto en el que habitualmente se cierra es aquel en que los fondos entran en contacto con un intermediario regulado que sí conoce a sus clientes.

3. Primeros pasos: preservación de la evidencia

Antes de iniciar cualquier análisis de trazabilidad conviene fijar la evidencia disponible con el mismo rigor que en cualquier otra pericia informática, porque de ella dependerá tanto la prueba de titularidad como el punto de partida del rastreo. En la práctica, esto exige recopilar y documentar, con capturas fechadas y, siempre que sea posible, con hash de integridad (SHA-256) de cada elemento:

• El hash de la transacción (o transacciones) mediante la cual salieron los fondos de la wallet de la víctima.
• La dirección de origen (wallet de la víctima) y, si existe, evidencia de su control sobre ella con anterioridad al incidente.
• Capturas de pantalla de la aplicación de wallet, del exchange o del monedero hardware en el momento del descubrimiento del robo, incluyendo saldos, historial y metadatos visibles.
• Comunicaciones relacionadas con el incidente: correos de phishing, mensajes del presunto estafador, contratos, capturas de conversaciones.
• Un relato cronológico y detallado de los hechos redactado por la víctima lo antes posible, mientras el recuerdo es más fiable.

Esta fase es también el momento de plantearse la cadena de custodia: quién recoge la evidencia, cómo se preserva, con qué herramientas se genera cada captura o exportación y cómo se garantiza que el material aportado al procedimiento no ha sido alterado desde su obtención. Un informe pericial que no acredite una cadena de custodia sólida es más vulnerable a la impugnación de la parte contraria, con independencia de lo correcto que sea el análisis técnico subyacente.

4. Cómo demostrar la titularidad de las criptomonedas robadas

Acreditar que unos criptoactivos concretos pertenecían a la víctima antes de la sustracción es, con frecuencia, el primer obstáculo probatorio, especialmente cuando la wallet es de autocustodia y no existe un tercero regulado que certifique la titularidad. Existen varias vías, complementarias entre sí, para construir esta prueba.

4.1. Evidencia de custodia y control previos

Cuando los fondos procedían de un exchange (Binance, Coinbase, Kraken, Bit2Me, etc.), el extracto de cuenta del exchange —con el historial de depósitos, compras, retiradas y las direcciones asociadas— constituye la prueba más sólida, porque procede de un tercero que ha verificado la identidad del titular (KYC) y que puede certificar documentalmente el movimiento de los fondos hacia la wallet de autocustodia de la víctima. Cuando la wallet es de autocustodia desde su origen, la prueba se construye con el historial completo de transacciones entrantes visible en la propia blockchain, correlacionado con capturas de pantalla, copias de seguridad de la wallet (seed phrase, archivos keystore con fecha de creación) y, si existen, facturas de compra de equipos mineros o de intercambio peer-to-peer que documenten el origen de los fondos.

4.2. Prueba criptográfica: firma de mensaje con la clave privada

La forma técnicamente más rigurosa de probar el control sobre una dirección —y, por extensión, la titularidad de los fondos que contenía— es la firma criptográfica de un mensaje con la clave privada asociada a esa dirección (message signing). Quien posee la clave privada puede generar una firma que cualquiera puede verificar públicamente frente a la dirección pública, sin que ello exponga la clave privada ni mueva fondos. Es importante distinguir esta prueba de control de la titularidad histórica de fondos que ya han salido de la wallet: la firma demuestra quién controla la dirección en el momento de firmar, por lo que resulta especialmente útil cuando la víctima conserva el control de la dirección de origen (por ejemplo, cuando solo una parte de los fondos fue sustraída) y quiere acreditar de forma indiscutible que esa dirección es suya.

4.3. Consistencia temporal y coherencia del relato

Un elemento probatorio a menudo infravalorado es la correlación temporal entre el relato de la víctima y los timestamps exactos que ofrece la blockchain: el momento de la denuncia, el momento de la pérdida de acceso a la wallet o del engaño (por ejemplo, la instalación de un software malicioso o la firma de una transacción fraudulenta en una dApp) y el momento exacto de la salida de fondos deben ser coherentes entre sí. Esta correlación refuerza —o, en su caso, debilita— la credibilidad del conjunto de la prueba y suele ser objeto de escrutinio tanto por la parte contraria como por el propio órgano judicial.

4.4. Cadena de custodia forense de la evidencia digital

Toda la evidencia anterior debe integrarse en un informe pericial que documente el método de obtención de cada elemento, las herramientas empleadas (exploradores de bloques, software de wallet, herramientas de análisis blockchain), los hashes de verificación de los archivos aportados y las capturas con sello de tiempo. La solidez de la prueba de titularidad depende tanto del contenido técnico como de la trazabilidad del propio proceso de obtención de esa prueba.

5. Trazabilidad de las direcciones de destino

5.1. Fundamentos técnicos: UTXO frente a modelo de cuentas

El modelo de datos subyacente condiciona la metodología de rastreo. Bitcoin y las redes derivadas emplean el modelo UTXO (Unspent Transaction Output), en el que cada transacción consume «salidas» previas no gastadas y genera nuevas salidas: es, en cierto modo, como seguir el rastro de billetes marcados, ya que resulta posible determinar el origen exacto de cada fracción de una moneda (incluso a nivel de satoshi). Ethereum y las redes compatibles con la EVM, en cambio, funcionan con un modelo de cuentas y saldos, más parecido a una cuenta bancaria, en el que el rastreo se apoya en el historial secuencial de transacciones de cada dirección y, de forma creciente, en el análisis de contratos inteligentes (swaps en exchanges descentralizados, puentes entre cadenas, protocolos de préstamo) que intervienen en el itinerario de los fondos.

5.2. Metodología de rastreo

El análisis de trazabilidad combina, en la práctica, cinco técnicas complementarias:

1. Clustering (agrupación de direcciones). Se identifican direcciones que, con alta probabilidad, pertenecen a la misma entidad, a partir de heurísticas como el gasto conjunto de varias entradas en una misma transacción (common-input-ownership) o los patrones de generación de direcciones de cambio.
2. Seguimiento de flujos (fund flow tracing). Se reconstruye el itinerario de los fondos a través de transacciones sucesivas, incluyendo bifurcaciones cuando el importe se fracciona entre varias direcciones o se combina con fondos de otro origen.
3. Identificación de servicios (attribution). Se contrasta cada dirección relevante contra bases de datos y listas de atribución (propias o de proveedores especializados) que permiten reconocer si pertenece a un exchange, una casa de cambio, un mixer, un servicio de apuestas o cualquier otro proveedor de servicios de activos virtuales (VASP).
4. Correlación off-chain. Se enlaza la información on-chain con fuentes externas: direcciones publicadas por el propio exchange, información de otras causas judiciales, inteligencia de fuentes abiertas (OSINT) o datos aportados voluntariamente por proveedores de análisis blockchain.
5. Análisis de patrones de comportamiento. Se documentan patrones característicos de blanqueo, como el fraccionamiento sistemático en pequeñas cantidades (peel chain), el uso de «hopping» entre múltiples exchanges en un corto periodo de tiempo, o el paso por mixers y puentes entre cadenas (cross-chain bridges).

El resultado de este proceso suele plasmarse en un grafo de trazabilidad que representa visualmente las direcciones, los importes y las conexiones relevantes, señalando con claridad los «puntos de apalancamiento»: aquellos nodos de la red en los que los fondos entran en contacto con un servicio que sí identifica a sus usuarios y que, por tanto, constituyen el objetivo natural de la siguiente fase de la investigación.

5.3. Herramientas de análisis

Los cuerpos y fuerzas de seguridad y los despachos especializados recurren habitualmente a plataformas comerciales de inteligencia blockchain —entre las más extendidas, Chainalysis Reactor, TRM Labs y Elliptic— que automatizan buena parte del clustering y de la atribución mediante bases de datos propias y algoritmos de agrupación, además de ofrecer visualización gráfica del itinerario de fondos. Existen también herramientas de código abierto y exploradores de bloques (Blockchain.com, Etherscan, mempool.space, OXT, GraphSense) que permiten reconstruir manualmente buena parte del recorrido cuando no se dispone de licencia comercial, si bien con mayor esfuerzo manual y sin las bases de atribución privativas de los proveedores comerciales.

5.4. Obstáculos habituales en el rastreo

El rastro no siempre es lineal. Los actores maliciosos emplean, cada vez con mayor sofisticación, técnicas de ofuscación entre las que destacan los mixers o tumblers (servicios que combinan fondos de múltiples usuarios para romper la trazabilidad directa), los puentes entre cadenas (cross-chain bridges), que trasladan valor de una blockchain a otra y dificultan el seguimiento cuando las herramientas de análisis no cubren ambas redes, el uso de criptomonedas orientadas a la privacidad (Monero, Zcash en su modalidad blindada) y el recurso a exchanges no regulados o radicados en jurisdicciones con escaso control. Ninguno de estos obstáculos hace imposible la investigación, pero sí incrementa su duración y su coste, y en ocasiones exige combinar el análisis on-chain con otras fuentes de inteligencia.

6. Cómo identificar al titular en un exchange

El momento decisivo de toda investigación de este tipo llega cuando los fondos rastreados alcanzan la wallet de depósito de un exchange u otro proveedor de servicios de activos virtuales (VASP) sujeto a obligaciones de identificación de clientes (KYC) y de prevención del blanqueo de capitales (AML). A partir de ahí, la identificación del titular deja de ser un problema técnico de análisis blockchain para convertirse en un problema de obtención de información de un tercero, con dos vías principales.

6.1. Vía extrajudicial: contacto directo con el exchange

La mayoría de los exchanges relevantes cuentan con equipos de cumplimiento (compliance) y con procedimientos —a menudo denominados Law Enforcement Response Systems o portales equivalentes— para atender solicitudes urgentes de congelación de fondos ante indicios de fraude, incluso antes de que exista una resolución judicial. Una comunicación temprana y bien documentada al exchange, adjuntando la denuncia y la evidencia de trazabilidad, puede lograr el bloqueo cautelar de la cuenta de destino y evitar que los fondos continúen moviéndose mientras se tramita la vía judicial. Esta actuación no sustituye a la denuncia, pero puede ser determinante por la rapidez con la que se mueven los fondos ilícitos.

6.2. Vía judicial: requerimiento, comisión rogatoria y MLAT

La entrega de datos de identificación del titular (KYC), del historial de transacciones, de direcciones IP, de información de dispositivo y de cuentas vinculadas exige, salvo colaboración voluntaria del exchange, un requerimiento judicial dirigido a la entidad. Cuando el exchange está radicado en la misma jurisdicción que el procedimiento, este requerimiento se tramita como cualquier otra diligencia de investigación tecnológica. Cuando el exchange se encuentra en otro país —el supuesto más frecuente—, es necesario acudir a mecanismos de cooperación judicial internacional: la comisión rogatoria tradicional o, con Estados Unidos y otros países con los que exista tratado bilateral, el procedimiento de asistencia judicial mutua (MLAT, Mutual Legal Assistance Treaty).

Conviene ser realista sobre los plazos: los datos disponibles en España sitúan el tiempo medio de respuesta de una solicitud MLAT dirigida a Estados Unidos por encima de los catorce meses, con horquillas habituales de entre diez y dieciocho meses salvo en supuestos de riesgo vital inminente o terrorismo, en los que existen canales acelerados. Este desfase temporal es, en la práctica, uno de los mayores condicionantes de la recuperación efectiva de fondos, porque durante ese periodo los criptoactivos pueden seguir moviéndose, fraccionándose o convirtiéndose en efectivo.

6.3. Qué información puede obtenerse

Un requerimiento judicial correctamente dirigido a un exchange puede obtener, entre otros elementos:

• Documentación de verificación de identidad (KYC): documento de identidad, prueba de domicilio, selfie de verificación.
• Datos de registro: nombre, correo electrónico, número de teléfono asociado.
• Direcciones IP y metadatos de dispositivo utilizados en el acceso y en las operaciones relevantes.
• Historial completo de transacciones y saldos de la cuenta.
• Identificación de otras cuentas asociadas al mismo titular o al mismo dispositivo/IP.
• Métodos de entrada y salida de fondos hacia el sistema financiero tradicional (cuentas bancarias o tarjetas vinculadas).

6.4. Límites de la identificación

Obtener la identidad registrada en el exchange no equivale, necesariamente, a identificar al autor del delito. Es frecuente que la cuenta de destino esté abierta a nombre de un tercero ajeno a los hechos cuya identidad ha sido usurpada, de una identidad sintética, o de una «cuenta mula» (una persona captada para prestar su cuenta a cambio de una comisión, a menudo sin ser plenamente consciente del origen ilícito de los fondos). En estos casos, la investigación debe continuar a partir de esa identidad —mediante el cruce de la dirección IP, el dispositivo, otras cuentas vinculadas o la propia declaración del titular registral— hasta alcanzar al responsable real. La falta de cooperación de determinados exchanges, señalada de forma reiterada por autoridades europeas y estadounidenses en los últimos años respecto de algunas plataformas, es otro factor que puede ralentizar significativamente esta fase.

7. Marco legal y procedimental

7.1. España

En el ordenamiento español, la sustracción de criptoactivos se encauza penalmente, según las circunstancias del caso, a través de los delitos de estafa informática (artículo 248.2 del Código Penal), apropiación indebida o, cuando concurre el uso de sistemas informáticos para acceder a la wallet o a las claves de la víctima sin su consentimiento, delitos relativos al acceso ilícito a sistemas informáticos, pudiendo concurrir con blanqueo de capitales cuando los fondos se integran en el sistema financiero. El procedimiento se inicia mediante denuncia o querella ante el juzgado de instrucción competente, siendo recomendable —cuando la cuantía y la complejidad lo justifican— aportar desde el primer momento un informe pericial de trazabilidad que sustente la solicitud de diligencias urgentes, en particular las medidas cautelares de congelación de activos.

España cuenta, además, con unidades especializadas —la Unidad de Delitos Económicos y Fiscales (UDEF) de la Policía Nacional, las unidades de delitos telemáticos de la Guardia Civil, la Oficina de Recuperación y Gestión de Activos (ORGA) y el Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales (SEPBLAC)— y viene desarrollando, de forma creciente, un modelo de colaboración público-privada en el que la acusación particular (la propia víctima, personada en el procedimiento con asistencia letrada) puede proponer diligencias de investigación, aportar peritajes propios y coordinarse con las unidades especializadas para agilizar la localización y el bloqueo cautelar de los criptoactivos, lo que en la práctica reciente se ha asociado a mayores tasas de recuperación y a plazos más cortos que los procedimientos que dependen en exclusiva de la instrucción de oficio.

7.2. Colombia

En Colombia, la ausencia de una regulación específica e integral sobre criptoactivos obliga a encuadrar estos hechos en los tipos penales generales del Código Penal: estafa (artículo 246), hurto, abuso de confianza o, cuando la operativa alcanza a un número relevante de víctimas mediante esquemas de captación, el delito de captación masiva y habitual de dineros, con frecuencia en concurso con lavado de activos. La denuncia se presenta ante la Fiscalía General de la Nación, correspondiendo la investigación al Cuerpo Técnico de Investigación (CTI) o a unidades especializadas en delitos informáticos, sin perjuicio de la eventual intervención de la Superintendencia Financiera en los aspectos de supervisión de actividades que puedan calificarse como captación no autorizada.

La ausencia de un régimen de licencia y supervisión específico para los proveedores de servicios de activos virtuales que operan en o desde Colombia añade una dificultad práctica adicional: cuando el destino de los fondos es un exchange no domiciliado en el país, la obtención de la información de titularidad exige, igualmente, acudir a los mecanismos de cooperación judicial internacional descritos en el apartado siguiente, con los mismos condicionantes de plazo que en el caso español.

Junto a España y Colombia, conviene apuntar brevemente, sin ánimo exhaustivo, el marco aplicable en el resto de países de habla hispana, cuyo denominador común suele ser la ausencia de tipos penales específicos —salvo excepciones— y de un régimen de registro homogéneo para los proveedores de servicios de activos virtuales.

7.3. México

México carece de una regulación penal específica sobre criptoactivos, por lo que la sustracción o el fraude con criptomonedas se encauza a través de los tipos generales de fraude del Código Penal Federal o de los códigos penales estatales, según el fuero que resulte competente. La denuncia se presenta ante el Ministerio Público —la Fiscalía General de la República si existe conexión federal, o la fiscalía estatal correspondiente—, pudiendo apoyarse en las unidades de Policía Cibernética estatales para la investigación técnica. Cuando la plataforma implicada se presentó como una entidad financiera regulada cabe además reportar los hechos ante la Comisión Nacional Bancaria y de Valores (CNBV) o la Condusef, y la Unidad de Inteligencia Financiera (UIF) puede intervenir cuando existan indicios de blanqueo de capitales. La Ley Fintech (2018) regula a los exchanges que operan formalmente en el país, pero deja fuera a la mayoría de las plataformas extranjeras a las que suelen dirigirse los fondos sustraídos.

7.4. Argentina

En Argentina, la sustracción de criptoactivos se persigue habitualmente como estafa o defraudación del Código Penal y, cuando los fondos se reintroducen en el sistema financiero, puede concurrir el delito de lavado de activos (artículo 303 del Código Penal). La denuncia se presenta ante el Ministerio Público Fiscal, existiendo unidades especializadas en cibercrimen —como la UFECI, a nivel federal— que asisten en la investigación técnica. La Comisión Nacional de Valores (CNV) exige desde 2024 el registro de los proveedores de servicios de activos virtuales que operan en el país, lo que facilita, cuando el exchange implicado está registrado, dirigirle requerimientos de información; la Unidad de Información Financiera (UIF), por su parte, puede solicitar datos a los sujetos obligados en el marco de la prevención del lavado de activos.

7.5. Chile

Chile tipifica el fraude informático en la Ley N.º 21.459, de Delitos Informáticos (2022), que sustituyó a la antigua Ley N.º 19.223, sin perjuicio de que la estafa tradicional (artículo 468 del Código Penal) siga siendo aplicable cuando el engaño se produce sin intermediación puramente técnica. La denuncia se presenta ante el Ministerio Público, que dirige la investigación con el apoyo de la Brigada Investigadora del Cibercrimen (Bricib) de la Policía de Investigaciones, especializada en el peritaje de trazabilidad de direcciones IP y de activos digitales. La Comisión para el Mercado Financiero (CMF) no supervisa aún de forma directa a los exchanges de criptomonedas, si bien la Ley Fintech (Ley N.º 21.521, de 2023) sienta las bases para su futura regulación y registro.

7.6. Perú

En Perú, la estafa (artículo 196 del Código Penal) y, en su caso, el lavado de activos son los tipos penales de referencia, correspondiendo la denuncia al Ministerio Público, con el apoyo técnico de la División de Investigación de Delitos de Alta Tecnología (Divindat) de la Policía Nacional. Desde 2024, la Resolución SBS N.º 2648-2024 obliga a los proveedores de servicios de activos virtuales que operan en el país a registrarse ante la Superintendencia de Banca, Seguros y AFP (SBS) y a cumplir obligaciones de prevención de lavado de activos, lo que —cuando el exchange implicado está sujeto a esta norma— facilita obtener información sobre sus usuarios por la vía judicial o mediante la colaboración de la Unidad de Inteligencia Financiera (UIF).

7.7. Venezuela

El marco penal venezolano permite encauzar estos hechos a través de la legitimación de capitales, el acceso indebido a sistemas informáticos y el fraude electrónico previstos en la Ley Especial contra los Delitos Informáticos, correspondiendo la investigación al Cuerpo de Investigaciones Científicas, Penales y Criminalísticas (CICPC), a través de su división de delitos informáticos, bajo la dirección del Ministerio Público. La Superintendencia Nacional de Criptoactivos (Sunacrip), que desde 2019 concentraba las competencias de regulación y supervisión del sector, atraviesa desde marzo de 2023 un proceso de reestructuración que ha generado un vacío regulatorio de facto, lo que dificulta especialmente la identificación de titulares cuando los fondos se dirigen a plataformas nacionales y obliga con frecuencia a recurrir a exchanges y mecanismos de cooperación internacionales.

7.8. Ecuador

En Ecuador, el Código Orgánico Integral Penal (COIP) tipifica la estafa (artículo 186) y la apropiación fraudulenta por medios electrónicos (artículo 190), pudiendo concurrir el lavado de activos cuando los fondos se integran en el sistema financiero. La denuncia se presenta ante la Fiscalía General del Estado, que dirige la investigación con el apoyo de la Policía Nacional. El Banco Central del Ecuador no reconoce a las criptomonedas como medio de pago de curso legal, y el país carece de un registro o regulación específica de proveedores de servicios de activos virtuales, por lo que la identificación del titular en un exchange depende, en la inmensa mayoría de los casos, de la cooperación con plataformas y autoridades extranjeras.

7.9. Bolivia

Bolivia mantuvo durante años una prohibición general de las criptomonedas dictada por el Banco Central (Resolución de Directorio N.º 044/2014), flexibilizada solo parcialmente desde 2024 para permitir su uso a través de canales bancarios autorizados. La sustracción de criptoactivos se encuadra en el delito de estafa del Código Penal, denunciándose ante el Ministerio Público con el apoyo técnico de la Fuerza Especial de Lucha Contra el Crimen (Felcc). La Autoridad de Supervisión del Sistema Financiero (ASFI) emite alertas periódicas sobre esquemas piramidales y fraudes vinculados a criptoactivos, pero no ejerce una supervisión regulatoria propia sobre exchanges, lo que —unido a la ambigüedad regulatoria general— dificulta significativamente la identificación de titulares dentro del país.

7.10. Paraguay

Paraguay no cuenta con una ley integral sobre criptoactivos —un proyecto en este sentido fue vetado por el Poder Ejecutivo— y regula con mayor detalle la minería que el intercambio de criptomonedas. La sustracción fraudulenta se persigue como estafa conforme al Código Penal, correspondiendo la denuncia al Ministerio Público. La Secretaría de Prevención de Lavado de Dinero o Bienes (Seprelad) es la autoridad de referencia en materia de prevención del blanqueo de capitales y puede intervenir cuando los fondos sustraídos se canalizan a través de sujetos obligados, aunque la ausencia de un régimen de registro para proveedores de servicios de activos virtuales limita la vía de identificación directa de titulares en plataformas nacionales.

7.11. Uruguay

Uruguay ha avanzado más que la mayoría de sus vecinos en la materia: la Ley N.º 20.345, de Regulación de Activos Virtuales (2024), atribuye al Banco Central del Uruguay (BCU) la potestad de autorizar y supervisar a los proveedores de servicios de activos virtuales que operen en el país. La estafa sigue tipificada en el artículo 347 del Código Penal, y la denuncia se presenta ante la Fiscalía especializada en crimen organizado o ante el Ministerio del Interior. Cuando el exchange de destino está sujeto a la supervisión del BCU, este marco regulatorio facilita la obtención de información sobre sus usuarios por la vía judicial ordinaria.

7.12. Cuba

En Cuba, el Banco Central (Resolución N.º 215/2021) exige autorización previa para que cualquier proveedor de servicios de activos virtuales opere en el territorio nacional, siendo sancionable la actividad no autorizada. La estafa está tipificada en el Código Penal cubano, correspondiendo la denuncia a la Policía Nacional Revolucionaria y a la Fiscalía General de la República. El aislamiento del sistema financiero cubano respecto de buena parte de las plataformas internacionales, junto con las restricciones derivadas del régimen de sanciones vigente sobre el país, dificulta de forma notable cualquier mecanismo de cooperación con exchanges extranjeros, por lo que la investigación suele depender casi en exclusiva del rastreo on-chain, sin apoyo posterior de solicitudes formales de información.

7.13. República Dominicana

La legislación dominicana no dispone de una ley específica sobre criptoactivos, por lo que estos hechos se persiguen a través de los delitos generales de estafa y abuso de confianza previstos en el Código Penal. La denuncia se presenta ante el Ministerio Público, a través de la Procuraduría General de la República y sus unidades especializadas en crímenes de alta tecnología (Dicat), que en los últimos años han judicializado varios casos de fraude con falsas plataformas de inversión en criptomonedas. La ausencia de un régimen de registro para proveedores de servicios de activos virtuales limita, de nuevo, la vía de identificación directa cuando el exchange de destino opera desde el país.

7.14. Guatemala

Guatemala carece de regulación específica sobre criptoactivos, por lo que la sustracción fraudulenta se encuadra en el delito de estafa del Código Penal. La denuncia se presenta ante el Ministerio Público, que cuenta con una fiscalía especializada en delitos informáticos y puede recabar el apoyo de la Policía Nacional Civil. Ni la Superintendencia de Bancos ni ninguna otra autoridad ejercen actualmente una supervisión regulatoria sobre los exchanges de criptomonedas, de modo que la identificación de titulares depende, salvo colaboración voluntaria de la plataforma, de los mecanismos generales de cooperación judicial internacional.

7.15. Honduras

En Honduras, la sustracción de criptoactivos se persigue como estafa conforme al Código Penal, correspondiendo la denuncia al Ministerio Público. La Comisión Nacional de Bancos y Seguros (CNBS) supervisa al sistema financiero tradicional y emite alertas periódicas sobre esquemas piramidales vinculados a criptomonedas —el caso Koriun Inversiones es uno de los más conocidos—, pero no regula ni supervisa a los proveedores de servicios de activos virtuales, lo que deja a la investigación penal como única vía real para intentar identificar a los responsables.

7.16. El Salvador

El Salvador presenta una singularidad regional: la Ley Bitcoin (2021) reconoció a esta criptomoneda como moneda de curso legal, y la posterior Ley de Emisión de Activos Digitales (2023) creó la Comisión Nacional de Activos Digitales (CNAD) como autoridad reguladora y supervisora de los proveedores de servicios relacionados con activos digitales que operan en el país. Este marco, más desarrollado que el de sus vecinos, facilita en teoría la identificación de titulares cuando el proveedor está domiciliado y registrado en El Salvador. La sustracción o el fraude se persiguen como estafa conforme al Código Penal, correspondiendo la denuncia a la Fiscalía General de la República, que ha investigado también casos de presunto fraude vinculados a la propia billetera estatal Chivo.

7.17. Nicaragua

Nicaragua no dispone de regulación específica sobre criptoactivos, por lo que la sustracción fraudulenta se encuadra en el delito de estafa previsto en el Código Penal (Ley N.º 641). La denuncia se presenta ante el Ministerio Público y la Policía Nacional. La escasa transparencia institucional y la ausencia de cualquier autoridad de supervisión sobre proveedores de servicios de activos virtuales hacen que, en la práctica, la identificación de titulares dependa casi exclusivamente de la cooperación —habitualmente limitada— con exchanges extranjeros.

7.18. Costa Rica

Costa Rica cuenta con un tipo penal específico de estafa informática (artículo 217 bis del Código Penal, introducido por la Ley N.º 9048), directamente aplicable a buena parte de los fraudes con criptoactivos. La denuncia se presenta ante el Organismo de Investigación Judicial (OIJ), a través de su sección de delitos informáticos, bajo la dirección del Ministerio Público. Aunque la Superintendencia General de Entidades Financieras (Sugef) no regula directamente a los exchanges de criptomonedas, Costa Rica aprobó recientemente una ley que obliga a las entidades bancarias a responder por determinados fraudes electrónicos, reforzando la protección de las víctimas en la fase inmediatamente posterior al incidente.

7.19. Panamá

En Panamá, la sustracción de criptoactivos se persigue como estafa conforme al Código Penal —que desde una reforma reciente incorpora expresamente a las monedas virtuales y los criptoactivos como objeto material del delito—, correspondiendo la denuncia al Ministerio Público. El país carece, sin embargo, de un marco regulatorio integral para los proveedores de servicios de activos virtuales: un proyecto de ley aprobado por la Asamblea Nacional en 2022 fue vetado por el Ejecutivo y posteriormente declarado inexequible por la Corte Suprema de Justicia, de modo que la identificación de titulares en exchanges que operan desde Panamá carece, por ahora, de un cauce regulatorio específico y debe apoyarse en la cooperación judicial ordinaria.

7.20. Puerto Rico

Puerto Rico, como territorio no incorporado de los Estados Unidos, combina la aplicación de su propio Código Penal —que tipifica la estafa y la apropiación ilegal— con la de la legislación penal federal estadounidense cuando los hechos tienen conexión interestatal o internacional, lo que es habitual en el fraude con criptoactivos. La víctima puede denunciar ante la Policía de Puerto Rico y, de forma complementaria, ante el Internet Crime Complaint Center (IC3) del FBI, cuya intervención resulta especialmente relevante porque permite activar directamente los mecanismos de citación (subpoena) descritos en el apartado 6.2 frente a exchanges domiciliados en territorio estadounidense, sin necesidad de acudir a un tratado de asistencia judicial mutua.

7.21. Guinea Ecuatorial

Guinea Ecuatorial, único país de habla hispana en África, mantiene un Código Penal de raíz española que tipifica la estafa en términos generales, sin que exista regulación específica alguna sobre criptoactivos ni autoridad encargada de supervisar a proveedores de servicios de activos virtuales. La denuncia se dirige a la Fiscalía General del Estado y a las fuerzas de seguridad del país. Dada la práctica inexistencia de una industria local de intercambio de criptomonedas, la identificación de titulares depende casi en su totalidad de los mecanismos generales de cooperación policial y judicial internacional, con los mismos plazos y limitaciones señalados en el apartado siguiente.

8. Cooperación judicial internacional

La naturaleza global de las blockchains y de los exchanges implica que buena parte de las investigaciones de robo de criptomonedas tienen, tarde o temprano, una dimensión transfronteriza. Cuando el VASP identificado no está domiciliado en la jurisdicción del procedimiento, la obtención de sus registros exige un instrumento de cooperación judicial internacional: la comisión rogatoria, cuando no existe tratado específico, o el tratado de asistencia judicial mutua (MLAT) bilateral, cuando existe —como sucede entre España y Estados Unidos desde 1993, o entre Colombia y otros países en el marco de convenios multilaterales gestionados con apoyo de organismos como la UNODC—.

«El tiempo medio de respuesta [de las solicitudes MLAT dirigidas a Estados Unidos] superó los catorce meses» — dato oficial de la Fiscalía General del Estado español, referido al ejercicio 2024.

Esta realidad procedimental debe incorporarse a la estrategia probatoria desde el inicio: cuanto antes se identifique el VASP relevante y se inicie el trámite de cooperación internacional, menor será el riesgo de que los fondos continúen dispersándose mientras se resuelve la solicitud. Es también la razón por la que la vía extrajudicial de contacto directo con el exchange —descrita en el apartado 6.1— resulta, en la práctica, tan relevante: puede lograr un bloqueo cautelar inmediato que ningún mecanismo judicial internacional puede igualar en rapidez.

9. El informe pericial informático como eje del procedimiento

Todo lo anterior —la prueba de titularidad, la trazabilidad on-chain y la identificación de los puntos de apalancamiento relevantes— debe integrarse en un informe pericial informático que sea, al mismo tiempo, técnicamente riguroso y comprensible para un órgano judicial sin formación técnica especializada. La Justicia viene admitiendo estos informes como prueba pericial válida en sede penal y civil, precisamente porque la inmutabilidad, la verificabilidad pública y la marca temporal exacta de la blockchain ofrecen garantías de fiabilidad que facilitan su valoración judicial, siempre que el perito documente con precisión su metodología, las herramientas empleadas y las fuentes de atribución utilizadas para identificar exchanges y otros servicios.

10. Conclusiones

La investigación de un robo de criptomonedas es, en esencia, un ejercicio de traducción: convertir un registro público, inmutable y pseudónimo en una cadena de prueba admisible que vincule unos fondos concretos con una víctima identificada y con un destino final atribuible a una persona. La transparencia de la blockchain hace que esa traducción sea posible con un grado de detalle inalcanzable en otros ámbitos del fraude patrimonial, pero el éxito de la investigación depende de tres factores que deben trabajarse en paralelo desde el primer día: la solidez de la prueba de titularidad de los fondos sustraídos, el rigor técnico del análisis de trazabilidad hasta identificar los puntos de contacto con servicios regulados, y la rapidez y eficacia con que se activan tanto la vía extrajudicial de contacto con el exchange como la vía judicial —nacional o, en su caso, de cooperación internacional— para obtener la identificación del titular y, cuando sea posible, el bloqueo cautelar de los fondos.

Ninguna de estas fases es, por sí sola, suficiente. Un análisis de trazabilidad impecable sin una prueba de titularidad sólida no vincula el delito con la víctima; una prueba de titularidad perfecta sin trazabilidad no identifica al responsable; y una identificación del titular registral en el exchange sin la investigación complementaria necesaria puede detenerse en una identidad usurpada o en una cuenta mula. Es la combinación coordinada de las tres, plasmada en un informe pericial riguroso y sostenida por una actuación procesal ágil, la que ofrece a la víctima una perspectiva realista de recuperación de sus criptoactivos y de identificación del responsable.