El robo de criptomonedas puede producirse a través de un sitio web de phishing, del compromiso de la frase semilla (seed phrase), de software malicioso, de la firma de un contrato inteligente malicioso o de la toma de control de una cuenta de exchange. A diferencia de un pago bancario, una transacción en blockchain normalmente no se puede cancelar ni revertir sin más.
Eso no significa que los activos robados no puedan rastrearse. La mayoría de las blockchains públicas conservan el historial de transferencias, por lo que el movimiento de los fondos puede analizarse incluso después de que los activos pasen por decenas de direcciones, swaps o puentes entre cadenas. La clave está en actuar con rapidez, conservar correctamente las pruebas e identificar el servicio en el que acabaron los activos.
¿Es realista recuperar criptomonedas robadas?
La recuperación depende no solo del robo en sí, sino también de la ruta posterior de los activos. No es posible acceder directamente al monedero del atacante, pero los fondos pueden congelarse si pasan a estar bajo el control de un exchange centralizado, un servicio de pagos, un proveedor de custodia u otro VASP.
1 Fondos en un exchange centralizado. Si la criptomoneda robada llega a una dirección de depósito de un CEX, el exchange puede identificar la cuenta vinculada, conservar los registros técnicos y restringir nuevos retiros. Un bloqueo duradero o la divulgación de datos personales suele requerir una solicitud adecuada de las fuerzas del orden u otro instrumento legal conforme a la jurisdicción del servicio.
2 Fondos en stablecoins. Algunos tokens de emisión centralizada disponen de una función técnica de bloqueo de direcciones. Sin embargo, un emisor no congela activos de forma automática solo por una reclamación privada. La decisión depende de la política de la empresa, de las pruebas aportadas, del riesgo de sanciones o AML y de si una autoridad competente ha presentado una solicitud.
3 Los activos permanecen en un monedero privado. En esa situación, el monedero no puede bloquearse técnicamente. La prioridad pasa a ser la monitorización continua de la dirección y captar el momento en que los fondos se dirijan hacia un servicio capaz de identificar al titular de la cuenta o de restringir las operaciones.
Importante: una investigación en blockchain no garantiza la recuperación. Permite establecer la ruta de los activos, las direcciones relacionadas, los servicios utilizados y los posibles puntos de congelación. La incautación o la devolución efectiva de los activos requiere la interacción con VASP, emisores de tokens y autoridades policiales.
Qué hacer inmediatamente después del robo de criptomonedas
Las primeras horas tras el incidente pueden ser decisivas. Los atacantes suelen intentar dividir rápidamente los activos entre varias direcciones, intercambiarlos a través de un DEX, moverlos a otra blockchain o convertirlos en efectivo mediante un servicio centralizado.
1 Pon a salvo los activos que queden. Si un monedero está comprometido, crea uno nuevo en un dispositivo limpio y transfiere allí el saldo restante. No reutilices la antigua frase semilla. Si el incidente implicó la firma de una aprobación maliciosa, revisa y revoca las aprobaciones de tokens activas.
No elimines la aplicación del monedero, la correspondencia, el historial del navegador ni los archivos antes de conservar las pruebas. Si sospechas que hay software malicioso, deja de usar el dispositivo infectado y no inicies nuevas operaciones desde él.
2 Documenta todo lo relativo al incidente. Guarda los TxID de las transacciones del robo, las direcciones de origen y destino, el nombre de la blockchain, el tipo y el importe del activo, y la fecha y la hora exactas. Conserva por separado las capturas de pantalla, la URL de phishing, los correos electrónicos, los chats de Telegram, los registros de llamadas, los justificantes y los identificadores de cuenta.
- TxID de cada transacción relacionada;
- dirección del monedero comprometido;
- direcciones a las que se retiraron los activos;
- importe de la pérdida en criptomoneda y su equivalente en el momento del hecho;
- dominio, aplicación o archivo de phishing;
- correspondencia con el atacante;
- capturas de pantalla del monedero, del exchange y de los mensajes de las operaciones;
- datos del dispositivo y circunstancias del compromiso.
3 Inicia el análisis de blockchain. En esta etapa se establece la ruta inicial de los activos, las direcciones relacionadas y los DEX, puentes, casas de cambio, proveedores de pago y exchanges centralizados utilizados. No te limites a consultar una sola transacción: los fondos pueden dividirse en decenas de partes o mezclarse con otros flujos.
4 Notifica al VASP y a las fuerzas del orden. Si se identifica un exchange u otro servicio centralizado, envíale sin demora una notificación del incidente con los TxID, las direcciones y una descripción del origen de los activos. En paralelo, presenta una denuncia ante la Policía Nacional o la Ciberpolicía y conserva el justificante de su recepción.
Una notificación privada puede ayudar a que el servicio conserve información desde el principio o abra una revisión interna, pero no sustituye a una solicitud procesal oficial. Por eso la investigación técnica y los pasos legales deben avanzar en paralelo.
Precaución: tras el robo de criptomonedas, las víctimas suelen recibir el contacto de los llamados servicios de recuperación, que prometen devoluciones garantizadas a cambio de un pago por adelantado. No entregues a esas personas tu frase semilla, tus claves privadas, los códigos de autenticación en dos pasos ni acceso remoto a tu dispositivo.
Obtener consulta
Evaluación breve — sin compromiso
Cómo funcionan el rastreo, la congelación y la recuperación de los activos
Una investigación cripto completa consta de varias etapas sucesivas. El objetivo no es solo mostrar a dónde fue la primera transacción, sino establecer toda la ruta de los activos hasta el servicio final o la infraestructura controlada por el atacante.
1 Construcción de la ruta de las transacciones. El analista examina todas las transacciones salientes, la división de los activos, la consolidación de fondos, las transferencias internas de tokens, los swaps, los saltos entre cadenas y las interacciones con contratos inteligentes. Se comprueban por separado los indicios de mezcladores, servicios de privacidad, plataformas de juego o infraestructura OTC.
2 Identificación de los servicios y de los puntos de salida. Las direcciones se contrastan con clústeres conocidos de exchanges, casas de cambio, puentes, proveedores de pago y otros VASP. Si los activos llegaron a la dirección de depósito de un servicio, se registran los TxID correspondientes, los importes, las horas de llegada y el movimiento posterior de los fondos.
3 Conservación de datos y congelación. El servicio recibe una notificación estructurada con las pruebas que vinculan los activos con el incidente concreto. Según las circunstancias, las solicitudes pueden abarcar la conservación de registros, los datos de la cuenta, las direcciones IP, la información de KYC y los detalles de los retiros posteriores.
La decisión de congelar depende de la política del servicio y de los fundamentos legales. La incautación de los activos, la obtención de información confidencial y su devolución pueden requerir una resolución judicial, una solicitud del investigador o del fiscal, o asistencia jurídica mutua.
4 Incautación procesal y devolución. Si los activos están congelados y vinculados a un delito, las autoridades competentes pueden iniciar su incautación, su decomiso o medidas similares conforme a la legislación aplicable. La devolución a la víctima depende entonces del estatus procesal de los activos, de la jurisdicción del servicio y de la decisión de la autoridad competente.
Conclusión
Recuperar criptomonedas robadas no es posible en todos los casos. Aun así, un análisis de blockchain profesional y realizado a tiempo permite establecer la ruta de los activos, identificar las direcciones relacionadas y determinar los servicios a través de los cuales los atacantes intentan convertirlos en efectivo u ocultarlos.
Cuanto antes comience la investigación, mayores serán las posibilidades de captar el movimiento de los activos, notificar a tiempo al VASP correspondiente y conservar información que de otro modo podría perderse. Consultar transacciones sueltas en un explorador de bloques a menudo no ofrece una imagen completa, sobre todo cuando se han utilizado plataformas DEX, puentes, swaps, casas de cambio o varias blockchains.
Asistencia de ProDefence
No pierdas tiempo: confía la investigación a profesionales
ProDefence realiza investigaciones cripto integrales y acompaña el caso desde la primera transacción hasta la identificación de los servicios finales y de los posibles puntos de congelación. Atendemos incidentes de phishing, compromiso de monederos, robo de la frase semilla, fraude de inversión, contratos inteligentes maliciosos y retiros de activos no autorizados.
Como parte de la investigación, nuestro equipo:
- rastrea el movimiento de los fondos en distintas blockchains;
- identifica direcciones, clústeres y transacciones relacionadas;
- determina los exchanges, casas de cambio, puentes y servicios de pago utilizados;
- establece una monitorización continua del movimiento posterior de los activos;
- prepara notificaciones estructuradas para VASP y emisores de tokens;
- elabora un informe técnico y materiales probatorios para abogados y fuerzas del orden;
- acompaña la comunicación con los servicios hasta recibir una respuesta oficial.
Si te robaron criptomonedas, envíanos la dirección del monedero, el TxID o una breve descripción de lo ocurrido. Los especialistas de ProDefence harán una valoración inicial, expondrán las posibles vías de investigación y explicarán qué pasos se aplican a tu caso.
Iniciar una investigación cripto
Confidencial. Sin promesas injustificadas. Con una evaluación técnica y jurídica de las perspectivas.
