Buenas prácticas para el embargo de activos digitales

Cualquier bien de gran valor, desde supercoches a antigüedades y obras de arte, puede adquirirse mediante robo o utilizarse para blanquear dinero. Los criptoactivos no son una excepción. Garantizar que sean correctamente identificados y legalmente incautados por las fuerzas del orden requiere la comprensión de las mejores prácticas y la mitigación de riesgos por parte de todos los que trabajan en un caso, desde los altos mandos policiales hasta los investigadores de primera línea.

La incautación de activos mantenidos en carteras de custodia operadas por proveedores de servicios de activos virtuales (VASP), como las bolsas de criptomonedas, puede ser relativamente sencilla, siempre que las fuerzas del orden tengan los poderes legislativos necesarios o una orden judicial y el VASP reconozca el proceso legal.

Sin embargo, los activos mantenidos en carteras no custodiadas, o personales, a menudo presentan un reto mayor. Su incautación con éxito requiere una preparación significativa, un manejo cuidadoso de los datos y su análisis meticuloso. A continuación exponemos los cuatro pasos clave para el éxito de un embargo de activos. 

Preparación

Tanto si se trata de un incidente espontáneo como de una actuación policial planificada, las fuerzas de seguridad deben estar preparadas para la eventualidad de una incautación de activos digitales. Esto implica crear y gestionar procedimientos operativos normalizados (SOP) y políticas que rijan la forma en que la organización abordará la incautación de activos, incluida la comprensión y la mitigación de los riesgos financieros, operativos, de reputación y jurídicos. La mejor práctica consiste en designar a un responsable estratégico que asuma la responsabilidad del proceso. 

Una buena política debe articular claramente lo siguiente:

• Los poderes legislativos disponibles para embargar bienes
• La estructura de mando y las obligaciones de información de los investigadores
• El software y hardware aprobados
• La formación necesaria para que el personal lleve a cabo actividades de incautación
• Un proceso que garantiza la aprobación interna de acciones urgentes no planificadas. 

Todo el software y hardware de los monederos de activos digitales debe mantener los últimos parches de seguridad y firmware, someterse a sólidas pruebas y, lo que es más importante, adherirse a estándares de protocolo ampliamente adoptados como el BIP 39. Conocido como Propuesta de Mejora de Bitcoin, BIP 39 es un documento de diseño para introducir características o información en Bitcoin. El uso de estándares ampliamente adoptados garantiza que, en caso de que se interrumpa el soporte para el monedero, se pueda utilizar otro monedero que ejecute el protocolo estándar para recuperar los fondos.

La parte más importante de cualquier fase de preparación es tener los monederos controlados por las fuerzas de seguridad configurados y listos para ser utilizados en el futuro: crear y configurar monederos en el lugar de una incautación debe ser siempre el último recurso. Debido a su extrema sensibilidad, el acceso a las claves privadas y a las semillas de recuperación debe estar estrictamente protegido, pero debe concederse al menos a dos personas de un equipo para evitar un único punto de fallo. Las copias de seguridad Shamir de las frases semilla tienen un propósito similar. Shamir es un proceso de protocolo de seguridad en el que de 12 a 24 palabras semilla se dividen en tres o más colecciones grabadas por separado que pueden guardarse en cajas fuertes separadas en distintas ubicaciones. Para restaurar el monedero, las frases deben reunirse de nuevo. 

Durante la fase de preparación también deberían considerarse las asociaciones público-privadas con VASP y proveedores de almacenamiento de custodia que comprendan los objetivos y las operaciones de las fuerzas de seguridad. Es posible que las fuerzas de seguridad necesiten comprar y conservar activos nativos, por ejemplo Ethereum para pagar las tasas de gas en caso de que la cartera de un sospechoso contenga una gran cartera de tokens pero no Ethereum nativo. Las asociaciones público-privadas también pueden ayudar a las fuerzas de seguridad a realizar ventas o subastas posteriores de los activos confiscados a través de una entidad acreditada y regulada. 

Identificación 

La identificación de activos digitales en el punto de aplicación de la ley es una habilidad que todos los miembros de una organización policial deberían poseer, al menos en cierta medida. Los agentes de primera línea deben recibir instrucciones sobre la búsqueda de carteras de hardware, carteras de papel y semillas de recuperación, así como sobre los métodos para ocultar estos elementos. Las carteras frigoríficas, compactas y discretas, pueden confundirse fácilmente con artículos de papelería y pasarse por alto durante un registro. El personal también debe tener mucho cuidado al manipular los objetos identificados: como pueden contener información extremadamente sensible, como claves privadas en bruto o semillas de recuperación, deben colocarse dentro de un embalaje opaco para evitar que las cámaras corporales u otros dispositivos de grabación los capten inadvertidamente. 

El personal superior y los expertos en análisis forense digital deben estar preparados para realizar exámenes en directo de portátiles, ordenadores de sobremesa y dispositivos móviles in situ, buscando capturar datos volátiles e identificar aplicaciones que puedan indicar la autocustodia de activos o un historial reciente de acceso a VASP. Posteriormente, deben realizarse exámenes forenses digitales más completos y exhaustivos en un laboratorio forense. Dado que los identificadores pueden descubrirse algún tiempo después de la acción coercitiva, herramientas como TRM Tactical pueden ayudar a los examinadores a evaluar el valor y el riesgo de los fondos que han pasado por los monederos o que permanecen retenidos en su interior.

Convulsión

Con los activos digitales, asegurar el artículo físico no siempre significa incautar el control de los activos digitales subyacentes. Para que una incautación sea completa, las fuerzas de seguridad deben firmar las transacciones y tomar posesión de las claves privadas. 

El punto de incautación presenta el mayor riesgo operativo: los errores, como enviar los bienes a la dirección equivocada o confundirlos con una tasa de gas, pueden ser irreversibles. Para evitar estos riesgos, el proceso de incautación debe llevarse a cabo mediante un "sistema de compañeros", en el que dos miembros del personal se pongan de acuerdo sobre cada paso de una lista de comprobación predeterminada, tal y como se establece en la política de la organización. Para garantizar que se mantengan unos niveles elevados, cada miembro debe estar facultado para cuestionar libremente a su compañero, independientemente de su rango o antigüedad.

El proceso de incautación debe registrarse meticulosamente, tanto por escrito como, en la medida de lo posible, mediante dispositivos de grabación sonora y visual, a los que pueda hacerse referencia posteriormente o que puedan utilizarse como prueba. Dichas grabaciones también captarían la lógica que subyace a determinadas decisiones. Debido a su extrema sensibilidad, debe prestarse especial atención a la grabación de las semillas de recuperación o las claves privadas.

Aunque los principios anteriores pueden aplicarse en general a distintos mecanismos, no todos los decomisos son iguales, y los procesos utilizados diferirán significativamente en función de lo que se haya identificado. Por ejemplo, encontrar una clave privada en un monedero de papel requerirá un enfoque diferente al de reconstruir un monedero a partir de semillas de recuperación. Aunque los PNT no pueden abarcar todas las aplicaciones actuales y futuras, deben identificar claramente los procesos por los que los activos digitales no pueden incautarse en el lugar de los hechos debido a dificultades técnicas y qué opciones de preservación existen.  

Todos los bienes incautados directamente de dispositivos sospechosos, como ordenadores de sobremesa, portátiles y dispositivos móviles, requieren el máximo cuidado. Debido a la importancia de preservar las pruebas digitales, sólo deben ser manipulados por personal formado en el triaje en vivo de dispositivos digitales. El equilibrio entre la seguridad de los activos digitales y la preservación de las pruebas debe controlarse y gestionarse con cautela. La integridad de este proceso es fundamental tanto para la interrupción de los planes delictivos como para el éxito del enjuiciamiento.

Conservación

Almacenar activos digitales a la espera de un resultado civil o penal entraña muchos riesgos. Gran parte del debate en línea sobre el almacenamiento de activos digitales se limita a software y hardware de consumo. Como tal, no refleja los requisitos únicos de las fuerzas de seguridad y los organismos gubernamentales, donde los controles de acceso organizativo, las capacidades de auditoría y la indemnización de estos activos son prioritarios. A pesar de los requisitos judiciales en torno a las normas de la cadena de custodia, el software y el hardware de consumo suelen crear puntos únicos de acceso, que corren el riesgo de convertirse en puntos únicos de fallo. 

El uso de VASPs y custodios dedicados - entidades que proporcionan almacenamiento seguro y a largo plazo de criptomonedas en nombre de las instituciones - puede mitigar estos riesgos. Los custodios, en particular, suelen contar con disposiciones sólidas para tratar con inversores institucionales cuyos requisitos de un proveedor de servicios son similares a los de las fuerzas de seguridad. 

"Ni tus llaves, ni tu cripto" es un mantra común, y utilizar servicios de custodia significa renunciar a cierto control sobre los activos. Sin embargo, las fuerzas de seguridad recurren habitualmente a terceros seguros: después de todo, el efectivo incautado por la policía en grandes cantidades no se guarda en cajas fuertes de las fuerzas de seguridad, sino en bancos e instituciones financieras. 

La elección del método de conservación no debe hacerse a la ligera, y no hay una solución única. Las organizaciones encontrarán soluciones diferentes que se adapten a sus objetivos y obligaciones legales. Sin embargo, lo fundamental es que las decisiones sobre cómo preservar los activos digitales se basen en las aportaciones de un amplio abanico de partes interesadas y se adopten como parte de la política de la organización. 

Una vez que incaute y conserve activos digitales en el campo, querrá tener las herramientas correctas para investigar y desbaratar. Para obtener más información sobre las herramientas de TRM disponibles para los agentes que procesan criptomonedas sobre el terreno, consulte nuestra herramienta móvil de investigación de blockchain, TRM Tactical.