Las Primeras 72 Horas Después de una Pérdida de Activo Digital

Descubre que Bitcoin ha salido de su billetera sin autorización.

El instinto es actuar de inmediato.

Restablezca el dispositivo. Actualice el firmware. Cambie todas las contraseñas. Llame al fabricante. Comience a rastrear los fondos. Encuentre a alguien que diga que puede recuperarlos.

Algunos de esos pasos pueden ser apropiados.

Pero después de una pérdida significativa de activos digitales, actuar rápidamente y actuar correctamente no siempre es lo mismo.

Las primeras 72 horas pueden determinar si los activos restantes están protegidos, la evidencia crítica sobrevive, los activos robados pueden ser rastreados, se preservan los derechos de seguro y se puede probar una futura reclamación legal.

Proteja lo que queda. Preservar lo sucedido. Luego investigue.

Guía de Respuesta en las Primeras 72 Horas

En pantallas pequeñas, deslice la tabla horizontalmente para ver todas las columnas.

Nunca revele una frase semilla, clave privada o contraseña de billetera a alguien solo porque afirme que puede investigar o recuperar activos digitales.

Primero, determine qué ocurrió

No todos los activos digitales desaparecidos presentan el mismo problema.

Una transacción no autorizada puede requerir trazado e investigación. Una semilla o frase de recuperación perdida puede ser un problema de acceso más que un robo. Una disputa de custodia que involucre a un fiduciario, empleado, socio comercial, familiar o custodio puede involucrar principalmente derecho de propiedad, contractual, fiduciario, corporativo, sucesorio o de fideicomiso.

Una transferencia errónea presenta opciones diferentes a una transacción no autorizada. Un presunto fallo de hardware o software puede requerir preservar el producto y su configuración antes de que se realice cualquier cambio.

Y, a veces, la causa es simplemente desconocida.

En esa situación, resista la presión de elegir una explicación de inmediato.

Preserve primero. Deje que la evidencia determine lo sucedido.

La primera hora: Proteja los activos sin destruir la evidencia

Si aún pueden estar expuestos activos adicionales, asegurarlos puede ser urgente.

Pero no restablezca automáticamente la billetera afectada, actualice su firmware ni deseche el dispositivo.

Pregunte en cambio: ¿Cómo podemos proteger lo que queda sin alterar innecesariamente la evidencia de lo ocurrido?

Si está disponible un entorno de custodia verificado independientemente, los activos restantes pueden necesitar ser trasladados allí. Al mismo tiempo, el dispositivo afectado y su configuración pueden necesitar permanecer intactos.

El incidente Coldcard ilustra la distinción. Coinkite aconsejó a los usuarios de configuraciones afectadas instalar firmware fijo, generar una semilla completamente nueva, verificar la nueva billetera y transferir fondos en lugar de asumir que una actualización de firmware repararía una semilla ya generada y afectada.^[3]

Corregir una vulnerabilidad y preservar la evidencia de ella son objetivos diferentes.

Antes de alterar un dispositivo potencialmente relevante, considere documentar:

• marca, modelo y número de serie;
• versión del firmware;
• configuración de la billetera;
• almacenamiento conectado o accesorios;
• condición física; y
• fecha y hora de la documentación.

Preserve fotografías y capturas de pantalla cuando sea útil. Para una pérdida material, considere si un profesional forense calificado debe examinar el dispositivo antes de que se modifique. NIST describe la informática forense digital como la identificación, recolección, examen y análisis de datos mientras se preserva su integridad y se mantiene la cadena de custodia.^[4]

Preserve el registro de la transacción —y la evidencia que lo rodea

Bitcoin proporciona un registro público persistente de las transacciones.

Preserve:

• direcciones de origen y destino;
• identificadores o hash de la transacción;
• montos;
• fechas y horas;
• transferencias conocidas subsecuentes; y
• cualquier análisis de cadena de bloques existente.

Esto es coherente con la guía del FBI Internet Crime Complaint Center que identifica direcciones de criptomonedas, hash de transacciones, montos, tipos de activos, fechas y horas como información importante al reportar un presunto delito de criptomoneda.^[1]

La cadena de bloques puede establecer a dónde se trasladaron los activos. Normalmente no puede determinar cómo alguien obtuvo la capacidad de moverlos.

Para eso, preserve la evidencia circundante:

• hardware y embalaje;
• registros de compra y envío;
• información del firmware;
• software de la billetera y registros relevantes;
• correos electrónicos y mensajes;
• comunicaciones del fabricante o custodio;
• contratos y términos de servicio;
• políticas internas; y
• pólizas de seguro aplicables.

También cree una cronología mientras los recuerdos están frescos. Registre cómo se creó la billetera, quién pudo haber tenido acceso, cuándo se supo por última vez que estaba segura, cuándo ocurrió la transacción, cuándo se descubrió y qué sucedió después.

Separe los hechos de las suposiciones. Si algo es desconocido, indíquelo.

Las primeras 24 horas: Reúna al equipo adecuado

Un incidente significativo de activos digitales puede requerir varias disciplinas.

Los profesionales técnicos pueden examinar dispositivos y sistemas, reconstruir eventos y rastrear transacciones. El asesor legal tiene un rol diferente.

Dependiendo de las circunstancias, el abogado puede:

• coordinar la investigación legal;
• identificar evidencia que requiera preservación;
• contratar expertos forenses y de cadena de bloques apropiados;
• analizar posibles reclamaciones contra fabricantes, custodios, proveedores, empleados, fiduciarios u otros;
• revisar contratos, garantías, descargos de responsabilidad y limitaciones de responsabilidad;
• evaluar requisitos de seguro y notificación;
• abordar obligaciones de preservación;
• coordinar la notificación adecuada a las fuerzas del orden;
• buscar citaciones o descubrimiento; y
• evaluar remedios de emergencia para identificar o preservar activos.

Para empresas y oficinas familiares, la participación temprana del abogado también puede ayudar a estructurar una investigación con consideraciones aplicables de privilegio abogado‑cliente y producto del trabajo en mente.

El privilegio no es automático. Simplemente copiar a un abogado en un correo electrónico no convierte la comunicación en privilegiada.

Si puede estar involucrado un interno

Sea particularmente cuidadoso antes de confrontar a un empleado, asesor, fiduciario, familiar u otro interno sospechoso.

Una confrontación prematura puede ofrecer la oportunidad de eliminar comunicaciones, alterar dispositivos, remover registros o trasladar activos adicionales.

Eso no significa que la persona deba presumirse responsable. Significa que la evidencia debe preceder a las conclusiones.

Revise el seguro temprano

Puede existir cobertura potencial bajo pólizas cibernéticas, de delito, fraude informático, fidelidad, responsabilidad profesional o pólizas especializadas en activos digitales.

Esas pólizas pueden contener requisitos de notificación, disposiciones para proveedores aprobados, obligaciones de cooperación, exclusiones, sublímites o restricciones sobre gastos incurridos sin el consentimiento del asegurador.

Revise la cobertura potencial antes de que se acumulen costos sustanciales de investigación y recuperación. Evite declarar una causa definitiva de la pérdida antes de que la investigación lo respalde.

En un plazo de 72 horas: Evaluar las opciones de recuperación

«Recuperación» no significa necesariamente solo recuperar el bitcoin original.

Dependiendo de los hechos, pueden existir varias vías:

• Recuperación de activos: rastrear e intentar recuperar el bitcoin o los ingresos identificables.
• Recuperación civil: perseguir daños contra un fabricante, custodio, proveedor, empleado, fiduciario, asesor u otra parte legalmente responsable.
• Recuperación de seguros: buscar los beneficios disponibles en la póliza.
• Restitución penal: potencialmente obtener restitución mediante procesos penales.
• Remedio equitativo: buscar remedios judiciales apropiados dirigidos a activos o ingresos identificables.

Un asunto importante puede involucrar más de una vía simultáneamente.

Considere la aplicación de la ley y el rastreo

Cuando se sospecha robo, fraude o acceso no autorizado, debe considerarse una notificación inmediata. El FBI alienta a las víctimas de delitos relacionados con criptomonedas a denunciar a través del IC3 y proporcionar información detallada de las transacciones.^[1]

No todas las disputas sobre activos digitales corresponden a la aplicación de la ley. Una disputa de garantía o un desacuerdo sobre el control legal puede ser principalmente civil. Sin embargo, la sospecha de actividad delictiva plantea consideraciones diferentes.

El rastreo en blockchain puede identificar el movimiento a través de un intercambio centralizado u otro intermediario identificable. Eso puede generar oportunidades para evaluar solicitudes de preservación, citaciones, descubrimiento acelerado, medidas cautelares, embargo o coordinación con la aplicación de la ley.

No significa que un intercambio congelará los activos solo porque una víctima o abogado lo solicite. El proceso disponible depende de los hechos, la jurisdicción, el intermediario y la legislación aplicable.

Sin embargo, la rapidez es importante. Las opciones disponibles mientras los activos permanecen conectados a un intermediario identificable pueden cambiar después de que se vuelvan a mover.

Cuidado con las estafas de «recuperación»

Alguien que ya ha perdido criptomonedas puede convertirse en un objetivo atractivo para una segunda estafa.

El FBI ha advertido sobre esquemas fraudulentos de recuperación de criptomonedas, incluidas supuestas compañías de recuperación y despachos de abogados ficticios.^[2]

Un sitio web con apariencia profesional, terminología técnica o promesa de recuperación no establece legitimidad.

Nunca proporcione una frase semilla ni una clave privada porque alguien afirme que es necesario para rastrear activos robados. El análisis de blockchain no requiere ceder el control de su billetera.

¿Cuándo debe contactar a un abogado?

No todas las transacciones erróneas requieren un equipo litigante.

El asesoramiento legal inmediato se vuelve más importante cuando:

• la pérdida es sustancial;
• activos adicionales siguen expuestos;
• los activos pertenecen a una empresa, fideicomiso, herencia o oficina familiar;
• un fabricante, custodio, empleado, fiduciario, asesor u otra parte pueda ser responsable;
• puede aplicar el seguro;
• los activos han sido rastreados a un intermediario identificable;
• se disputa la propiedad o autoridad;
• están involucradas múltiples jurisdicciones; o
• parece razonablemente probable que haya litigio.

Una consulta temprana no implica necesariamente presentar una demanda. Con frecuencia, el objetivo es simplemente preservar opciones antes de que desaparezcan.

Qué llevar a una consulta legal inicial

Si está disponible, recopile:

• fabricante y modelo de la billetera;
• número de serie e información del firmware;
• registros de compra;
• hashes de transacciones;
• direcciones de origen y destino;
• monto transferido;
• capturas de pantalla;
• comunicaciones relevantes;
• contratos y términos del servicio;
• pólizas de seguro;
• identidades de personas con acceso potencial;
• una cronología de los hechos; y
• cualquier análisis forense o de blockchain ya realizado.

No envíe su frase semilla, clave privada, contraseña de la billetera ni credenciales similares para obtener una evaluación legal inicial.

Primeras 72 horas: Lista rápida

• Conserve el dispositivo afectado.
• Documente su firmware y configuración.
• Conserve las direcciones de la billetera y los hashes de transacciones.
• Guarde comunicaciones relevantes, contratos y registros.
• Cree una línea de tiempo del incidente.
• Identifique a todas las personas con acceso potencial.
• Asegure los activos restantes adecuadamente.
• Revise el seguro y los requisitos de notificación.
• Considere las obligaciones de preservación de pruebas.
• Contrate a profesionales calificados en forense o blockchain cuando sea necesario.
• Evalúe la notificación a las autoridades si se sospecha actividad delictiva.
• Evite acusaciones y conclusiones prematuras.
• Sea escéptico respecto a los servicios de recuperación no solicitados.
• Nunca revele su frase semilla ni su clave privada.

Practique la perspicacia

Después de una pérdida significativa, las preguntas comprensibles son: ¿Quién lo hizo? ¿Podemos recuperar los activos? ¿Quién es responsable? ¿Podemos demandar?

Esas preguntas importan.

Pero durante los primeros días, otra puede ser más importante:

¿Qué debemos preservar hoy para poder responder esas preguntas mañana?

La transacción en la cadena de bloques puede permanecer visible indefinidamente. La configuración del dispositivo, el firmware, las comunicaciones, los registros, los recuerdos de testigos, los contratos y la evidencia circundante pueden no hacerlo.

Por eso la respuesta legal a un incidente significativo de activos digitales debe comenzar junto con la respuesta técnica, no meses después.

Reflexiones finales

Las primeras 72 horas consisten en coordinar cuatro objetivos: proteger los activos, preservar la evidencia, determinar lo ocurrido y evaluar la recuperación.

La respuesta adecuada depende de las circunstancias. Pero un principio se aplica ampliamente:

Actúe con rapidez. No actúe a ciegas.

Las decisiones tomadas inmediatamente después de una pérdida significativa de activos digitales pueden determinar si el propietario podrá identificar posteriormente lo ocurrido, establecer la responsabilidad, perseguir los recursos disponibles y, potencialmente, recuperar lo perdido.

Attorney Advertising.Este artículo se proporciona solo con fines informativos generales y no constituye asesoría legal, de ciberseguridad, financiera, fiscal u otra profesional. Leer o responder a este artículo no crea una relación abogado‑cliente. Cada asunto depende de sus hechos particulares, los contratos y documentos aplicables, la jurisdicción y la legislación pertinente.