Preservar evidencia digital consiste en conservar la información de un fraude tal como se generó, sin modificarla, y poder demostrar después que no ha cambiado. En una estafa con criptomonedas significa guardar capturas, mensajes, correos completos, direcciones de wallet e identificadores de transacción, calcular su huella hash y registrar quién accede a cada archivo. Cuanto antes se haga, más valor tendrá la prueba ante la policía, un abogado o un tribunal.
En resumen
- La prueba digital debe obtenerse de forma lícita y mantener su autenticidad e integridad desde que se genera y se recoge.
- En fraudes cripto conviene conservar capturas, chats, correos con cabeceras, direcciones de wallet, identificadores de transacción y justificantes bancarios.
- Los datos de blockchain se guardan en formato legible por máquinas (JSON), con hash SHA-256 y sellado de tiempo, sin depender solo de un explorador web.
- La cadena de custodia registra cronológicamente quién accedió a la evidencia, cuándo, desde dónde y qué hizo.
- No envíes más dinero, no mantengas contacto con los estafadores y denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado.
Tabla de contenidos
- Qué se entiende por evidencia digital
- Qué conservar en un fraude con criptomonedas
- Cómo preservar evidencia blockchain
- La cadena de custodia digital
- Errores que restan valor a la prueba
- Qué hacer en las primeras horas tras detectar la estafa
- Cuándo conviene un análisis forense
- Nuestra perspectiva
- Cómo podemos ayudarte con la preservación de evidencia
- Preguntas frecuentes
- Fuentes
Qué se entiende por evidencia digital
La prueba digital es información almacenada o transmitida en formato electrónico que puede utilizarse como evidencia en un procedimiento legal. Según el informe sobre prueba digital de AUTELSI, para servir como tal debe cumplir dos condiciones: obtenerse lícitamente y preservar su autenticidad e integridad, sin modificarse desde que se genera y se recolecta.
Esto la distingue de la simple recuperación de datos. Recuperar un archivo borrado es un problema técnico. Preservar una evidencia es un proceso documentado: qué se conservó, cuándo, con qué método y bajo el control de quién.
Para la víctima de una estafa, la consecuencia práctica es clara. Una captura tomada deprisa y reenviada por mensajería puede ser útil para entender lo ocurrido, pero una evidencia preservada con método permite sostener una denuncia, una reclamación o un informe técnico.
Qué conservar en un fraude con criptomonedas
Según el análisis de asesoramiento.legal sobre criptomonedas y fraude, sirven como evidencia las capturas de la plataforma, de la wallet y de los mensajes, los correos completos con cabeceras, los chats, los identificadores de transacción, las direcciones de wallet, los justificantes bancarios y los términos de uso. La siguiente tabla ordena esos elementos y añade cómo tratarlos.
| Elemento | Qué guardar | Cómo tratarlo |
|---|---|---|
| Plataforma o web fraudulenta | Capturas con URL, fecha y hora visibles; términos de uso | Conserva también el archivo original, no solo la imagen |
| Wallet propia | Direcciones, saldos y movimientos | Exporta los datos y anota el momento de la exportación |
| Transacciones | Identificador (hash) de cada operación y dirección de destino | Guárdalos en un archivo de texto además de la captura |
| Chats y mensajes | Conversación completa, con nombres de usuario y fechas | Exporta el chat entero, no fragmentos |
| Correos | Mensaje completo con cabeceras | Descárgalo en su formato original |
| Banco o tarjeta | Justificantes de transferencias y recibos | Pide los movimientos al banco en formato oficial |
Una regla útil: guarda siempre el dato original y su representación visual. La captura muestra lo que viste, el archivo original contiene la información técnica que permite verificarlo.
Si necesitas una lista más detallada, en Recovera hemos reunido guías sobre cómo conservar pruebas de fraude digital y sobre qué documentación probatoria reunir en una estafa cripto.
Cómo preservar evidencia blockchain
La blockchain es pública, pero eso no significa que su consulta sea una prueba por sí sola. Un explorador web puede cambiar su interfaz, retirar páginas o dejar de estar disponible. Por eso el manual de forense EVM y recuperación DeFi de OWASP Smart Contract Security recomienda conservar los datos en formatos legibles por máquinas, como las respuestas JSON RPC, y no depender de enlaces a exploradores.
Pasos para conservar los datos de las transacciones
- Lista las direcciones y transacciones implicadas. Anota tu wallet, la dirección de destino de cada envío y el identificador de cada operación, la red utilizada (Bitcoin, Ethereum, Tron u otra) y el token enviado.
- Exporta los datos en formato estructurado. Guarda los detalles de cada transacción en JSON, además de las capturas del explorador.
- Calcula el hash de cada archivo. OWASP indica el uso de hashes SHA-256 sobre los archivos exportados, de modo que cualquier cambio posterior, aunque sea mínimo, resulte detectable.
- Crea un manifiesto. Un documento que enumere cada archivo, su hash, la fecha de obtención y la herramienta empleada.
- Sella el manifiesto en el tiempo. El mismo manual cita el sellado de tiempo según RFC 3161 para probar que los archivos existían, íntegros, en un momento determinado.
- Haz copias y custódialas por separado. Una copia de trabajo y otra intacta, ambas identificadas en el registro de custodia.
El hash funciona como una huella: si el archivo cambia, la huella cambia. Por eso se calcula en cuanto se obtiene el archivo y no después de revisarlo o editarlo.
Almacenamiento y defensa en profundidad
OWASP también recomienda combinar almacenamiento inmutable (WORM), hashes verificables y servicios de sellado de tiempo independientes, evitando depender de las políticas de un único proveedor de nube. Para un particular, la traducción es sencilla: no dejes la única copia de la evidencia en el mismo teléfono con el que contactaron los estafadores ni en una sola cuenta de almacenamiento.
En casos con varias cadenas, mezcladores o stablecoins, el rastreo posterior es más completo si los datos de partida están bien conservados. Puedes ver qué hacer nada más detectar un fraude con stablecoins o qué revela y qué límites tiene el análisis forense en Ethereum.
La cadena de custodia digital
La cadena de custodia es el registro que demuestra que la evidencia no ha sido manipulada. El informe de AUTELSI indica que debe anotar cronológicamente quién accedió a la evidencia, cuándo, desde dónde y qué acción realizó. Un estudio académico publicado en la revista científica de la Universidad de Sevilla coincide en que debe recoger los accesos, la marca temporal y las operaciones realizadas sobre la evidencia.
Un registro mínimo incluye:
- Identificación de cada archivo y su hash en el momento de la obtención.
- Fecha y hora de cada acceso, copia o traslado.
- Persona que accede y dispositivo o lugar desde el que lo hace.
- Acción realizada: copia, lectura, análisis, entrega.
- Ubicación de las copias y quién las custodia.
El mismo estudio señala que el uso de blockchain para la propia cadena de custodia gana fuerza porque garantiza la inmutabilidad y la trazabilidad de los registros, y permite verificar la integridad de los datos de forma matemática. Es una vía interesante, pero no sustituye la disciplina básica: anotar cada acceso desde el primer día.
Tenemos una guía específica sobre la cadena de custodia digital en fraudes y cripto.
Errores que restan valor a la prueba
La mayoría de los problemas con la prueba digital no vienen de que falte información, sino de cómo se trató. Estos son los errores más habituales y cómo evitarlos:
- Trabajar sobre el original. Abrir, reenviar, renombrar o editar los archivos originales altera metadatos. Trabaja siempre sobre copias y conserva el original intacto.
- No documentar la cadena de custodia. Sin registro de accesos, la contraparte puede cuestionar quién tocó la evidencia y cuándo.
- No calcular el hash al principio. Sin huella inicial no se puede demostrar después que el archivo no ha variado.
- Usar herramientas sin garantías. Programas desconocidos o no contrastados pueden modificar los datos al copiarlos.
- Obtener la información de forma ilícita. Acceder a cuentas ajenas o extraer datos sin autorización puede hacer que la prueba se impugne o se excluya.
- Quedarse solo con capturas. Una imagen sin el archivo o el dato técnico que la respalda es más fácil de cuestionar. Sobre este punto, consulta la validez legal de las capturas de pantalla como prueba.
La regla común es obtener la información de forma lícita, no modificarla y documentar todo lo que se hace con ella.
Qué hacer en las primeras horas tras detectar la estafa
El INCIBE recomienda recopilar toda la información y las pruebas posibles, no enviar más dinero ni mantener contacto con los estafadores y denunciar ante las Fuerzas y Cuerpos de Seguridad del Estado. Sobre esa base, este es el orden de trabajo que aconsejamos:
- Detén los envíos. Ningún pago adicional, ni siquiera el que presentan como “tasa de desbloqueo”.
- No borres nada. Conserva conversaciones, aplicaciones, correos y cuentas, aunque te resulten incómodos. No desinstales la app de la plataforma ni cierres cuentas.
- Haz una primera copia completa. Exporta chats y correos, y guarda los identificadores de transacción.
- Calcula hashes y anota la fecha. Empieza el registro de custodia.
- Pide a tu banco o exchange los justificantes de las operaciones.
- Presenta la denuncia con la evidencia ordenada. Tienes una guía de evidencias para la denuncia digital y otra sobre cómo documentar una estafa financiera.
- Consulta con un abogado si el importe es relevante o si hay que valorar medidas urgentes. Para ese caso, puedes revisar el embargo de criptomonedas en España.
Si el fraude involucra un canal concreto, la evidencia cambia ligeramente. En estafas organizadas por mensajería, la investigación en Telegram exige conservar identificadores de usuario y grupos antes de que desaparezcan.
Cuándo conviene un análisis forense
Un análisis forense es recomendable cuando los datos pueden borrarse, sobrescribirse o alterarse, cuando la cuestión informática es central en el caso o cuando el análisis es complejo. Un fraude cripto reúne a menudo las tres circunstancias: las plataformas fraudulentas se desconectan, los chats se eliminan y los fondos saltan entre direcciones en minutos.
Un buen informe técnico describe los objetivos, la metodología, las herramientas, los hallazgos, la evidencia y las limitaciones. También debe identificar las evidencias analizadas y explicar cómo se adquirieron y custodiaron. Conviene tener claro el papel de cada figura: el perito aporta el análisis técnico, pero no decide quién tiene razón jurídicamente ni sustituye al abogado o al tribunal.
Si quieres entender las diferencias, tenemos contenido sobre qué prueba un informe pericial de criptomonedas, la diferencia entre perito judicial y perito de parte y cómo es un informe forense cripto real.
Nuestra perspectiva
En Recovera vemos el mismo patrón en muchos casos: la víctima descubre el fraude, se asusta y actúa con prisa. Borra la conversación, desinstala la aplicación o reenvía capturas sueltas. Cada una de esas decisiones es comprensible, pero reduce lo que después se puede demostrar.
Nuestro enfoque combina el rastreo de transacciones en blockchain con herramientas profesionales de investigación forense. Esto nos permite identificar el recorrido de los fondos y, además, presentar un informe detallado que pueda utilizarse en procedimientos legales. Para que ese informe tenga solidez, la preservación debe empezar pronto y con método.
Por eso defendemos que la preservación de evidencia no es un trámite previo, sino la base de todo lo demás. Un rastreo bien hecho sobre datos mal conservados pierde fuerza. Un rastreo sobre datos preservados, con hash, marca temporal y cadena de custodia, es una base sobre la que un abogado puede trabajar con seguridad.
Nuestro objetivo es que la víctima comprenda cómo ocurrió la estafa, que su caso quede documentado y que cuente con soporte personalizado en cada fase.
cristian
Cómo podemos ayudarte con la preservación de evidencia
En Recovera ofrecemos un servicio de preservación de evidencia y huella digital, integrado con la investigación de estafas con criptomonedas y con investigaciones OSINT para identificar a los actores implicados. Si eres abogado y necesitas informes técnicos y documentación para un caso, disponemos también de un servicio para despachos profesionales. Puedes conocer los servicios en nuestra página de investigación de estafas digitales o ver la oferta para despachos profesionales.
Preguntas frecuentes
¿Qué es la cadena de custodia digital?
Es el registro cronológico que acredita quién ha accedido a una evidencia, cuándo, desde dónde y qué ha hecho con ella. Su finalidad es demostrar que la evidencia no se ha alterado desde su obtención. Se acompaña de hashes que permiten comprobar la integridad de cada archivo.
¿Basta con una captura de pantalla para preservar una prueba?
No conviene limitarse a ella. La captura muestra lo que viste, pero es preferible conservar también el archivo original o el dato técnico que la respalda, como el correo con cabeceras o el identificador de la transacción. Así la prueba es más fácil de verificar.
¿Cómo se preserva evidencia de blockchain?
Se guardan los datos de las transacciones en formato legible por máquinas, como JSON, sin depender únicamente de un explorador web. Después se calcula el hash SHA-256 de cada archivo y se sella en el tiempo el manifiesto que los enumera, según recomienda OWASP.
¿Qué no debo hacer con la evidencia de una estafa?
No modifiques ni reenvíes los archivos originales, no borres conversaciones ni cuentas, no envíes más dinero y no mantengas contacto con los estafadores. Tampoco accedas a cuentas ajenas para obtener datos, porque una obtención ilícita puede restar valor a la prueba.
¿Quién decide si la evidencia digital es válida en un juicio?
La decisión corresponde al tribunal, que valora la prueba aportada. El perito informático ofrece el análisis técnico, pero no sustituye al abogado ni al juez. Por eso conviene que un abogado revise cómo se presenta la evidencia en tu caso concreto.
Fuentes
- Informe sobre prueba digital, AUTELSI
- Criptomonedas y fraude: qué vías legales existen, asesoramiento.legal
- Evidence Collection and Preservation, OWASP Smart Contract Security
- La configuración de la cadena de custodia tecnológica, Universidad de Sevilla
- Cripto robos y estafas digitales, INCIBE
