¿Quién es responsable cuando falla la seguridad de una billetera hardware?

Si el bitcoin desaparece debido a una vulnerabilidad de la billetera, identificar qué falló es solo el comienzo.

En el primer artículo de esta serie, discutí una distinción importante: Bitcoin puede funcionar exactamente como está diseñado mientras que su propietario aún pierde todo.

Su bitcoin puede no haber sido hackeado. Su billetera sí lo pudo estar.

Eso lleva a la siguiente pregunta:

Si una billetera hardware o el sistema de seguridad que la rodea falla, ¿quién es legalmente responsable de la pérdida?

Para una persona que ha sufrido una pérdida significativa, la investigación es tanto técnica como jurídica: ¿Qué falló? ¿Quién lo controló? ¿Qué se prometió? ¿Qué evidencia queda? Y, lo más importante, ¿puede demostrarse que el fallo causó la pérdida?

Comience con la causalidad

Suponga que guardó 10 BTC usando una billetera hardware.

Se descubre una vulnerabilidad en esa billetera y su bitcoin desaparece.

Puede parecer obvio que el fabricante deba ser responsable.

Legalmente, no es tan sencillo.

Una vulnerabilidad y una pérdida que ocurren al mismo tiempo no establecen necesariamente que una haya causado a la otra.

Considere tres variaciones:

• Escenario A: Se descubre una vulnerabilidad de firmware, y la evidencia forense indica que su dispositivo estaba ejecutando el firmware afectado cuando ocurrió la transacción no autorizada.
• Escenario B: La misma vulnerabilidad existe, pero su frase semilla fue fotografiada y almacenada en un almacenamiento en la nube que luego se vio comprometido.
• Escenario C: El bitcoin pertenecía a una empresa, pero varias personas tenían acceso a las credenciales y no había un proceso significativo de aprobación de transacciones.

Mismo faltante de 10 BTC. Casos muy diferentes.

Puede que necesite determinar cómo se autorizó la transacción, si las claves privadas o la frase semilla fueron comprometidas, si el dispositivo o el firmware fueron alterados, si hubo malware involucrado y quién más tuvo acceso.

Encontrar una falla de seguridad es evidencia. Demostrar que la falla causó su pérdida es el caso.

Siga la falla

Una pérdida de billetera hardware puede involucrar varias capas de tecnología y varias partes potencialmente responsables.

El punto aparente de falla puede ayudar a identificar dónde debe comenzar la investigación:

Este es un mapa investigativo, no una determinación de responsabilidad.

Dependiendo de los hechos y la legislación aplicable, la responsabilidad puede recaer finalmente en una parte, varias partes — o en ningún tercero legalmente responsable.

Lo importante es no decidir quién es responsable antes de examinar las pruebas.

Siga la transacción. Siga las claves. Siga la arquitectura de seguridad.

¿Qué prometió la empresa de carteras?

Las declaraciones del fabricante pueden ser relevantes.

¿Cómo se comercializó el producto? ¿Qué características de seguridad se prometieron? ¿Se abordaron vectores de ataque específicos? ¿Se presentó el dispositivo como adecuado para el almacenamiento a largo plazo de bitcoins?

Luego, considere lo que ocurrió después de la venta del producto.

¿Se conocía previamente la vulnerabilidad? ¿Se advirtió a los usuarios? ¿Existía una solución? Una vez descubierta la vulnerabilidad, ¿qué tan rápido y claramente respondió la empresa?

Dependiendo de las circunstancias, esos hechos pueden involucrar garantías contractuales, negligencia, falta de advertencia, tergiversación, cuestiones de protección al consumidor o responsabilidad por productos.

Sin embargo, la etiqueta jurídica no es el punto de partida.

¿Qué se prometió? ¿Qué ocurrió realmente? ¿Y puede usted probar la diferencia?

Lea los términos que aceptó

Los proveedores de hardware y software a menudo intentan definir o limitar su responsabilidad mediante garantías, términos de servicio, descargos de responsabilidad, disposiciones de arbitraje, cláusulas de elección de ley y limitaciones de daños.

Esas disposiciones pueden afectar materialmente una reclamación.

No necesariamente ponen fin al análisis. Su alcance y exigibilidad dependen de su redacción, la naturaleza de la reclamación, la legislación aplicable y las circunstancias particulares.

Si ha sufrido una pérdida sustancial de activos digitales, conserve los documentos contractuales que rigen el producto o servicio — incluida la versión vigente al momento de su compra o uso.

No asuma que hacer clic en "Acepto" signifique que no tiene ninguna reclamación.

Y tampoco asuma lo contrario.

Sus propias prácticas de seguridad son relevantes

La autocustodia le brinda control.

También proporciona al posible demandado un argumento evidente:

La pérdida fue causada por usted, no por nosotros.

Espere preguntas sobre cómo almacenó su frase semilla, si utilizó una contraseña, si alguien más tuvo acceso, si el firmware estaba actualizado, si se ignoraron advertencias de seguridad, dónde se compró el dispositivo y qué hizo al sospechar por primera vez un compromiso.

Para empresas y oficinas familiares, las preguntas se amplían:

• ¿Quién podría autorizar transacciones?
• ¿Se requerían múltiples firmas?
• ¿Se segregaron las credenciales?
• ¿Existía un proceso de aprobación?
• ¿Controlaba una sola persona todo de manera efectiva?

Esos hechos pueden afectar la causalidad y la asignación de culpa. Dependiendo de la reclamación y la legislación aplicable, la propia conducta del demandante puede reducir — o incluso impedir — el monto recuperable.^[1]

Por eso la investigación debe preceder a las conclusiones.

La cadena de bloques es evidencia, no todo el caso

Bitcoin crea un registro probatorio extraordinario.

La cadena de bloques puede demostrar que el valor se trasladó mediante entradas y salidas de transacciones específicas, cuándo una transacción fue incluida en un bloque y cómo la transacción avanzó a través de la red.^[2]

Sin embargo, la cadena de bloques generalmente no puede indicar por qué se movió.

Puede que no establezca quién controlaba una dirección receptora, cómo se autorizó la transacción, si se explotó una vulnerabilidad o si la transacción fue realmente no autorizada.

Esas respuestas pueden encontrarse en dispositivos de hardware, firmware, archivos de cartera, registros de aplicaciones, computadoras, teléfonos, correos electrónicos, tickets de soporte, registros de IP, registros de exchanges y otras pruebas fuera de la cadena de bloques.

Para fines de litigio, esas pruebas pueden ser tan importantes como la propia transacción.

La recuperación y el litigio no son lo mismo

Cuando los bitcoins desaparecen, el primer instinto es comprensible: recuperarlos.

Eso puede requerir actuar rápidamente — rastrear transacciones, identificar exchanges, asegurar activos no afectados y perseguir oportunidades de recuperación potenciales.

Pero preservar una reclamación legal puede exigir algo diferente: no altere la evidencia.

Restablecer un dispositivo, actualizar el firmware, reinstalar el software de cartera o experimentar con herramientas de recuperación puede modificar la propia evidencia necesaria para determinar lo ocurrido.

La guía del NIST para la informática forense y de redes enfatiza identificar, registrar, adquirir y preservar datos relevantes mediante métodos que protejan su integridad.^[3]Las normas de Florida también reconocen las consecuencias cuando la información almacenada electrónicamente que debió haberse conservado para litigios anticipados o pendientes se pierde porque no se tomaron medidas razonables de preservación.^[4]

Proteja lo que queda mientras conserva la evidencia necesaria para investigar lo perdido.

Si esto le ocurre a usted

Si descubre una transacción de bitcoins inexplicada o una pérdida sustancial de activos digitales, considere los siguientes pasos inmediatos:

1. Conserve el dispositivo afectado. No lo borre, restablezca, actualice o deseche automáticamente.
2. Proteja los activos no afectados. Si otros activos pueden estar expuestos, considere asegurarlos usando un dispositivo y cartera separados y conocidos como limpios.
3. Documente lo que observa. Conserve los ID de transacción, direcciones de cartera, saldos, marcas de tiempo, capturas de pantalla, mensajes de error y una cronología de lo ocurrido.
4. Conserve el rastro documental. Mantenga los registros de compra, empaques, información del dispositivo, versiones de firmware, garantías, términos de servicio, correos electrónicos y comunicaciones de soporte.
5. Tenga cuidado antes de experimentar. Para una pérdida significativa, considere coordinar asesoría legal y forense digital antes de realizar cambios innecesarios en los sistemas afectados.

Pueden existir circunstancias que requieran acción inmediata para proteger los activos restantes. La preservación de pruebas no debe convertirse en excusa para dejar otros bitcoins expuestos.

El objetivo es hacer ambas cosas inteligentemente.

Construya el archivo de evidencia antes de necesitarlo

No necesita esperar a una pérdida para prepararse.

Si posee una cantidad significativa de bitcoins — particularmente para una empresa, entidad de inversión o oficina familiar — considere mantener registros de su sistema de custodia antes de que ocurra algún problema.

Eso puede incluir registros de compra y números de serie, historial de firmware, garantías y términos aplicables, configuración de la cartera, procedimientos de custodia, usuarios autorizados y políticas de aprobación de transacciones.

Hay una excepción importante:

No coloque frases semilla, claves privadas u otras credenciales en un archivo de evidencia ordinario.

La documentación debe reforzar su seguridad y su capacidad para demostrar lo ocurrido, no crear otra vía que comprometa sus bitcoins.

Una gran pérdida de bitcoin no es solo un problema técnico

Si desaparece una cantidad significativa de bitcoin, la pregunta no debería limitarse a: «¿Puedo recuperar el bitcoin?»

Pregunte:

• ¿Qué ocurrió?
• ¿Qué evidencia aún existe?
• ¿Quién podría ser responsable?
• ¿Qué reclamaciones podrían existir?
• ¿Qué debe preservarse hoy para probarlas mañana?

Las transacciones de bitcoin pueden ser irreversibles.

Eso no significa necesariamente que los derechos legales resultantes sean inexistentes.

Pero esos derechos solo son tan útiles como su capacidad para demostrar lo ocurrido.

Y en un caso de activos digitales, la evidencia crítica puede comenzar a desaparecer casi de inmediato.

Publicidad de abogados. Este artículo se proporciona únicamente con fines informativos generales y no constituye asesoría legal ni de ciberseguridad. Leer o responder a este artículo no crea una relación abogado‑cliente. Los derechos y obligaciones legales dependen de los hechos particulares, contratos, jurisdicciones y la legislación aplicable.