Cómo la forense blockchain rastrea criptomonedas robadas: lo que las víctimas necesitan saber

1. Por qué los blockchains son rastreables pese a parecer anónimos

Cuando un ladrón roba dinero de un banco, los billetes desaparecen en la circulación. Cuando un ladrón roba criptomonedas, deja un rastro grabado de forma permanente en un registro público. Esta es la paradoja central del crimen en criptomonedas: la tecnología que los delincuentes creen que les otorga anonimato es, en muchos sentidos, más transparente que las finanzas tradicionales.

Un blockchain es una base de datos distribuida de cada transacción realizada en una red. Cada transferencia de Bitcoin, Ethereum o cualquier otro activo on-chain queda registrada en un bloque, con marca de tiempo, y enlazada a todos los bloques anteriores. Una vez escrito, este registro no puede borrarse ni alterarse. El Informe de Crimen en Internet del FBI de 2025 documentó 11.360 millones de dólares en pérdidas por fraudes relacionados con criptomonedas, y las criptomonedas ya representan más del 50% de todas las pérdidas por ciberdelincuencia en Estados Unidos.

El término «anónimo» se describe con mayor precisión como «seudónimo» cuando se aplica a la mayoría de los blockchains. Las transacciones no están vinculadas directamente al nombre de una persona, pero sí lo están a una dirección de billetera, que funciona como una huella dactilar. Según el Informe de Crimen Cripto 2026 de TRM Labs, los flujos ilícitos de criptomonedas alcanzaron un récord de 158.000 millones de dólares en 2025; sin embargo, el rastreo forense se ha vuelto cada vez más efectivo a medida que las plataformas de análisis de blockchain han madurado.

La inmutabilidad de los datos en blockchain es un regalo para la ciencia forense. Muchas víctimas confunden el seudónimo con el verdadero anonimato, pero no son lo mismo. Un seudónimo, una vez vinculado a una identidad real a través de un solo punto de datos, colapsa por completo. En el momento en que una billetera interactúa con un exchange regulado que recopiló datos KYC, todo el historial de transacciones de esa billetera puede potencialmente vincularse a una persona real. Chainalysis define la forense blockchain como el proceso de recopilar, analizar y presentar datos de transacciones en blockchain para identificar actividades ilícitas y respaldar procedimientos legales.

2. Cómo los investigadores identifican y agrupan direcciones de billetera

El desafío práctico consiste en interpretar los datos de blockchain a escala. Un solo robo de criptomonedas puede involucrar docenas de billeteras intermediarias, miles de transacciones y múltiples activos. La agrupación, la atribución y el análisis conductual son los métodos de investigación fundamentales.

Heurística de propiedad de entradas comunes

En la red Bitcoin, muchas transacciones combinan múltiples direcciones de entrada para financiar una única salida. Dado que todas esas entradas deben firmarse simultáneamente, los analistas infieren que la misma entidad controla todas las direcciones de entrada. Esta heurística permite a los investigadores agrupar miles de direcciones de billetera aparentemente independientes en una sola entidad. TRM Labs describe la agrupación como uno de los bloques fundamentales de la inteligencia blockchain.

Análisis de direcciones de cambio

Las transacciones de Bitcoin habitualmente producen dos salidas: el pago previsto y una salida de «cambio» que devuelve los fondos sobrantes al remitente. Al analizar qué dirección de salida es la de cambio, los investigadores pueden continuar rastreando los fondos a través del grafo de transacciones.

Bases de datos de atribución e inteligencia de fuentes abiertas (OSINT)

Las empresas de análisis de blockchain mantienen enormes bases de datos de atribución propietarias. Cuando una dirección de billetera aparece en un caso criminal histórico, en una lista de sanciones o como dirección de depósito en un exchange importante, esa etiqueta se ingresa en la base de datos. Los investigadores complementan esto con inteligencia de fuentes abiertas: los delincuentes a veces publican direcciones de billetera públicamente, y las campañas de phishing reutilizan direcciones de depósito.

Huella conductual

Los analistas experimentados estudian el momento de las transacciones, las tasas de comisión, las estructuras de transacción y cómo se dividen y recombinación los fondos. El comportamiento transaccional de un actor determinado suele tener características identificativas que persisten incluso cuando genera nuevas direcciones de billetera.

3. Las herramientas que usan los investigadores: Chainalysis, TRM Labs y Elliptic

Tres nombres dominan la forense blockchain profesional: Chainalysis, TRM Labs y Elliptic.

Chainalysis Reactor

Chainalysis Reactor es la plataforma de investigación insignia, que ofrece un gráfico visual interactivo de los flujos de transacciones y permite a los investigadores rastrear fondos hacia adelante y hacia atrás, aplicar etiquetas de atribución e identificar los exchanges donde aterrizan los fondos. En 2024, el Tribunal de Distrito de EE. UU. para el Distrito de Columbia validó la metodología de Chainalysis Reactor bajo el estándar Daubert en el caso United States v. Roman Sterlingov. El estándar Daubert es la norma federal para el testimonio pericial: las pruebas científicas deben basarse en hechos suficientes, derivarse de principios y métodos confiables y aplicarse correctamente. La decisión judicial estableció que la metodología de agrupación y rastreo de Reactor cumple ese umbral, lo que significa que los testigos expertos que se basan en los resultados de Reactor pueden declarar en los tribunales federales de EE. UU. En marzo de 2026, Chainalysis introdujo agentes de inteligencia blockchain impulsados por IA que pueden llevar a cabo de forma autónoma partes de una investigación.

TRM Labs

TRM Labs ofrece una plataforma de forense y cumplimiento que abarca puntuación de riesgo, rastreo investigativo a través de decenas de blockchains y herramientas especializadas como Seed Analysis (lanzada en marzo de 2025), que permite a los investigadores derivar direcciones de billetera a partir de frases semilla recuperadas y rastrear la actividad en más de 40 blockchains. TRM también ofrece Seizure 360, una plataforma dedicada a la gestión de casos de activos digitales confiscados.

Elliptic

Elliptic ha desarrollado una sólida experiencia en análisis entre cadenas y su plataforma Nexus cubre flujos de investigación multi-activo y entre cadenas. Las plataformas de análisis de blockchain requieren analistas formados que comprendan tanto el software como el entorno legal. Una empresa de forense profesional utiliza estas herramientas para producir informes de investigación que pueden acompañar derivaciones a las fuerzas del orden o presentaciones judiciales.

4. Cómo se rastrean los fondos ilícitos a través de mixers y chain-hopping

Los delincuentes sofisticados emplean técnicas de ofuscación para romper el rastro de las transacciones. Las dos más comunes son los mixers de criptomonedas y el chain-hopping.

Mixers de criptomonedas

Un mixer (también llamado tumbler) agrupa criptomonedas de múltiples entradas y devuelve cantidades equivalentes a direcciones de salida, ocultando el vínculo entre origen y destino. Los mixers descentralizados como Tornado Cash —ahora sancionado— utilizan contratos inteligentes sin un operador central. Los investigadores contrarrestan los mixers mediante análisis de cantidades (siguiendo valores específicos que entran y salen), análisis de tiempos y análisis conductual que busca patrones únicos que persisten a través del proceso de mezcla. El caso Roman Sterlingov es el ejemplo más destacado: Sterlingov operaba Bitcoin Fog, procesando más de 400 millones de dólares en ganancias criminales, y las pruebas de Chainalysis Reactor fueron fundamentales para su condena.

Chain-hopping

El chain-hopping se refiere a mover activos de un blockchain a otro en rápida sucesión. Un delincuente puede convertir Bitcoin en Ethereum, luego en Binance Smart Chain, luego en Monero y de vuelta a Bitcoin. Elliptic documentó más de 21.800 millones de dólares lavados mediante métodos entre cadenas en 2025, lo que lo convierte en el método de lavado de dinero definitorio del año. Chainalysis ha publicado metodología para investigaciones entre cadenas, rastreando fondos a través de puentes, protocolos de tokens envueltos e intercambios descentralizados. En marzo de 2026, Chainalysis lanzó agentes impulsados por IA que pueden monitorear de forma autónoma la actividad de los puentes y marcar patrones sospechosos entre cadenas.

Las monedas de privacidad como Monero utilizan firmas en anillo, direcciones ocultas y transacciones confidenciales para oscurecer el remitente, el receptor y los datos de cantidad, lo que representa el mayor desafío para los investigadores forenses.

5. Cómo los hallazgos forenses conducen a confiscaciones y restitución

Un rastreo forense completo es el inicio del proceso de recuperación legal, no el final. Convertir un grafo de transacciones en activos confiscados requiere coordinación entre investigadores privados, fuerzas del orden, fiscales y tribunales.

Confiscaciones recientes de referencia

En junio de 2025, el Departamento de Justicia de EE. UU. (DOJ) y el Servicio Secreto anunciaron la confiscación de 225,3 millones de dólares en criptomonedas vinculados a operaciones de fraude por confianza, la mayor confiscación criptográfica de la historia del Servicio Secreto. En octubre de 2025, el DOJ anunció el mayor decomiso de criptomonedas de la historia: 15.000 millones de dólares provenientes de redes de fraude de pig butchering. En mayo de 2026, el FBI completó su propia acción récord, confiscando 8.000 millones de dólares vinculados a operaciones de estafa en el sudeste asiático. En Europa, la operación de Europol de junio de 2026 contra la red AudiA6 desmanteló un servicio de lavado de criptomonedas que procesó más de 336 millones de euros en beneficios de ransomware. Una operación anterior de semana criptográfica de Europol en octubre de 2025 identificó 249 direcciones de criptomonedas con 12,1 millones de euros en activos sospechosos.

De la confiscación a la restitución

Confiscar activos y devolvérselos a las víctimas son dos procesos legales distintos. Una vez que el gobierno confisca criptomonedas, estas entran en un proceso de decomiso. El proceso de compensación para víctimas de OneCoin del DOJ (abril de 2026) puso a disposición más de 40 millones de dólares para víctimas elegibles que presentaron reclamaciones válidas a través de un proceso formal. Seizure 360 de TRM Labs ayuda a los organismos gubernamentales a gestionar esta complejidad.

Recuperación civil frente a penal

Una víctima con un rastreo forense sólido que demuestre que los fondos llegaron a un exchange específico puede presentar una demanda legal u orden judicial que exija al exchange congelar y devolver el saldo correspondiente. El Proyecto A.S.S.E.T. de Europol, la iniciativa transfronteriza dedicada a la recuperación de activos digitales, proporciona un marco para casos multi-jurisdiccionales.

6. Lo que las víctimas pueden hacer para apoyar una investigación forense

El resultado de una investigación forense blockchain se ve significativamente afectado por lo que las víctimas hacen en las horas y días inmediatamente posteriores al robo.

Conservar todos los registros de transacciones

La prueba más valiosa es un registro cronológico completo de cada transacción: cada dirección de billetera, hash de transacción, fecha, importe y red blockchain. Las capturas de pantalla deben complementarse con historiales de transacciones exportados completos de billeteras o cuentas de exchange, en un formato que pueda verificarse de forma independiente.

Denunciar a las fuerzas del orden con prontitud

El Centro de Denuncias de Delitos en Internet (IC3) del FBI es el principal organismo de denuncia en Estados Unidos para el fraude con criptomonedas. La velocidad es lo más importante: la ventana para congelar fondos en exchanges es estrecha, a menudo de horas. Las víctimas en jurisdicciones europeas deben denunciar a su unidad nacional de ciberdelincuencia. La guía de mejores prácticas de TRM Labs identifica la coordinación temprana con las fuerzas del orden como un factor crítico en las recuperaciones exitosas.

Preservar los registros de comunicaciones

Los correos electrónicos, mensajes de texto, chats de WhatsApp, conversaciones de Telegram e interacciones en redes sociales con el defraudador deben preservarse en su forma original. Muchas víctimas destruyen accidentalmente evidencia bloqueando y eliminando las cuentas de los estafadores inmediatamente después de descubrir el fraude.

Documentar el historial de verificación de identidad

Si el fraude involucró un exchange falso, conserve toda la documentación KYC, correos de creación de cuenta y comunicaciones de retiro. Las direcciones de depósito utilizadas por plataformas fraudulentas son uno de los puntos de partida más valiosos que puede recibir un analista forense.

No intentar esquemas de autorrecuperación

El FBI ha destacado el patrón de las «estafas de recuperación», en las que los delincuentes se hacen pasar por agentes de recuperación y extraen pagos adicionales de las víctimas. Una empresa de recuperación legítima proporciona un acuerdo de contratación claro, no solicitará pagos por adelantado en criptomonedas y es transparente sobre las perspectivas de recuperación reales.

7. Cómo trabajar con una empresa profesional de forense blockchain

No todos los casos requieren una empresa profesional de forense blockchain, y no todos los casos que la requieren tendrán éxito.

Lo que ofrece una investigación profesional

Una investigación profesional proporciona: un rastreo completo de transacciones desde la billetera de la víctima hasta la última ubicación conocida de los fondos; atribución de las direcciones de destino a exchanges conocidos o actividad criminal anterior; un informe de investigación formal adecuado para la derivación a las fuerzas del orden o presentación judicial; y orientación estratégica sobre las vías de recuperación más viables. El informe de investigación es una metodología analítica documentada que un experto calificado puede explicar en procedimientos legales.

Cómo seleccionar una empresa

La actualización específica de FATF de 2025 sobre activos virtuales y VASPs establece las expectativas para los investigadores en este ámbito. Al seleccionar una empresa de forense, las víctimas deben verificar que los analistas posean certificaciones reconocidas, que la empresa tenga experiencia verificable en los tipos de fraude relevantes y que pueda explicar claramente qué plataformas analíticas utiliza. Las señales de alerta incluyen empresas que garantizan la recuperación, solicitan pago en criptomonedas, se niegan a proporcionar un acuerdo de contratación formal o no pueden aportar referencias.

Fases típicas de una investigación

Las fases típicas son: recepción (recopilación de datos de la víctima), rastreo (seguimiento de fondos mediante plataformas analíticas profesionales), atribución (asociación de direcciones de destino con entidades conocidas), informe (elaboración del informe de investigación formal) y derivación (trabajo con asesor legal y fuerzas del orden). Para casos internacionales, que representan la mayoría de los fraudes con criptomonedas, la fase de derivación puede implicar coordinación con organismos de múltiples jurisdicciones.

Coste y viabilidad

La forense blockchain profesional no es universalmente viable. Las investigaciones son rentables cuando el importe robado es lo suficientemente grande como para justificar el coste de la investigación, cuando existe una vía realista hacia la recuperación y cuando la víctima puede aportar evidencia suficiente.

8. Los límites de la forense blockchain: cuándo falla el rastreo

La forense blockchain es una disciplina poderosa, pero opera dentro de limitaciones reales.

Conversión a monedas de privacidad

La conversión a Monero u otras criptomonedas mejoradas en privacidad puede dificultar sustancialmente el rastreo forense. Cuando el último destino confirmado de los fondos es una conversión a Monero, los investigadores pueden documentar que los fondos se movieron a una red de privacidad, pero no pueden rastrear de forma fiable lo que sucedió dentro de ella.

Exchanges entre pares y transacciones en efectivo

Cuando los fondos robados se convierten a través de exchanges entre pares o transacciones en efectivo en persona sin requisitos KYC, el rastreo forense llega a un punto muerto en el momento de la conversión fuera de la cadena.

Jurisdicciones no cooperativas

El rastreo forense puede identificar qué exchange tiene los fondos robados, pero la recuperación requiere que ese exchange coopere con una solicitud de congelación o confiscación. Si el exchange opera en una jurisdicción sin tratados de asistencia legal mutua o sin la licencia adecuada, la aplicación se vuelve difícil. La guía de FATF de 2025 señala que persisten importantes lagunas en la supervisión de activos virtuales, que son explotadas activamente por delincuentes sofisticados.

Antigüedad del caso

El registro blockchain en sí no envejece, pero el entorno de recuperación práctica sí lo hace. Los exchanges pueden eliminar registros de cuentas tras períodos prolongados. Los sospechosos se mudan, cambian de identidad o gastan los fondos antes de que los procesos legales los alcancen.

La evaluación honesta

Para cualquier víctima individual, la probabilidad realista de recuperación depende de hechos específicos: con qué rapidez actuaron, cuánta evidencia conservaron, si los fondos llegaron a un custodio cooperativo identificable y si el importe justifica los recursos necesarios. Lo que la forense casi siempre puede proporcionar, incluso en casos difíciles, es claridad: un registro documentado de exactamente qué le sucedió a los fondos, adónde llegaron y qué opciones de recuperación existen de forma realista.

Preguntas frecuentes