¿Me devuelve Binance las criptomonedas si alguien ha entrado en mi cuenta y las ha sacado? Solo si el acceso se produjo por un fallo del propio exchange, porque el Reglamento (UE) 2023/1114, conocido como MiCA, hace responsable al proveedor que custodia criptoactivos de los que se pierdan por un incidente que le sea imputable, hasta su valor de mercado en el momento de la pérdida. Si entraron con sus propias claves, conseguidas con un correo falso, un duplicado de su tarjeta SIM o un móvil infectado, la plataforma no responde, y lo que queda es bloquear los fondos en el exchange al que han llegado antes de que vuelvan a moverse y abrir la vía penal. El banco responde del saldo en euros y de los cargos en su tarjeta, no de la criptomoneda.
Lo explico por partes, porque la respuesta cambia según dónde estaban las criptomonedas, por dónde entraron y en qué se ha convertido lo robado.
Cerrar la puerta y guardar el rastro, lo que depende solo de usted esta tarde
Quien le ha vaciado la cuenta suele conservar el acceso durante horas, y en ese tiempo mueve lo que queda, cambia los datos de recuperación y borra los avisos. Todo lo que sigue se hace desde un dispositivo distinto del que sospecha comprometido.
Cambie la contraseña del correo asociado al exchange o a la wallet y revise si hay reglas de reenvío, direcciones de recuperación o sesiones abiertas que no reconoce, porque con el correo se restablece todo lo demás. Si la plataforma permite congelar o deshabilitar la cuenta, hágalo, y comunique el incidente por su canal oficial guardando el número de ticket. Si tenía criptomonedas en una wallet de autocustodia y la frase semilla pudo quedar expuesta, lo que quede pasa a una wallet nueva creada en un dispositivo limpio, y la antigua no se vuelve a usar. Si la tarjeta vinculada o su cuenta bancaria tienen movimientos que no ha hecho, llame al banco y bloquéela. Si el móvil perdió la cobertura de forma repentina horas antes, llame a la operadora, porque es la señal de un duplicado de SIM.
La prueba se pierde casi siempre por limpiar. No formatee el móvil ni el ordenador, no borre los correos de aviso de inicio de sesión, los SMS con códigos ni los mensajes del supuesto soporte. Haga capturas con fecha visible del historial de transacciones, de las direcciones de destino, de los identificadores de transacción (el TXID o hash) y de los correos de confirmación de retirada. Ese identificador permite seguir el dinero en la cadena de bloques y es lo primero que va a pedir el juzgado.
No contrate a quien le escriba, o le aparezca en un anuncio, ofreciéndose a rastrear y recuperar las criptomonedas a cambio de un pago por adelantado. Esa es la segunda estafa, dirigida a quien acaba de sufrir la primera. Para orientación técnica tiene el 017 del INCIBE, gratuito, que no sustituye la denuncia.
Me han hackeado el móvil, el correo de Hotmail o Discord, y desde ahí la cuenta del exchange
Las criptomonedas casi nunca se roban atacando la cadena de bloques. Se roban entrando por una de estas puertas, y de cuál haya sido depende la respuesta jurídica.
El duplicado de SIM consiste en que alguien consiga de la operadora una tarjeta nueva con su número. Su móvil se queda sin cobertura y los códigos por SMS del exchange y del correo pasan a llegar al atacante, que vacía así cuentas protegidas con verificación por mensaje. Si han entrado en su cuenta de Hotmail, Outlook o Gmail, no necesitan la contraseña del exchange, porque la restablecen desde allí. En Discord y Telegram, donde se mueven las comunidades de criptomonedas, es frecuente que un perfil con el nombre y el logotipo de la plataforma escriba por privado para «verificar la cuenta» o «resolver un bloqueo» y lleve a una web que imita la original, cuando ninguna plataforma pide la frase semilla de una wallet ni ningún soporte real escribe primero por privado. Los dispositivos infectados aportan su variante, programas que leen el portapapeles y cambian la dirección de destino por la del atacante, aplicaciones de wallet falsas descargadas fuera de las tiendas oficiales o extensiones de navegador manipuladas. Queda la firma envenenada, en wallets conectadas a aplicaciones descentralizadas, donde basta autorizar una transacción de apariencia normal para conceder a un contrato permiso ilimitado sobre sus tokens. Nadie robó su clave, usted firmó.
De ahí la primera distinción. Si el exchange custodiaba las criptomonedas por usted y la brecha fue suya, responde. Si entraron con sus credenciales por cualquiera de esos caminos, en principio no. Y si las criptomonedas estaban en una wallet de autocustodia, no hay ningún tercero que las guardara y la recuperación depende por completo de seguirles el rastro.
Lo que MiCA exige a Binance, Coinbase o cualquier exchange que custodie sus criptomonedas
El Reglamento (UE) 2023/1114, de mercados de criptoactivos, se aplica a los proveedores de servicios de criptoactivos desde el 30 de diciembre de 2024, y en España, agotado el periodo transitorio, quien ofrece custodia tiene que estar autorizado, con la CNMV como autoridad competente. Antes de MiCA el único filtro era el registro del Banco de España de proveedores de cambio y custodia, al que la Ley 10/2010, de prevención del blanqueo, obligó a inscribirse a estos operadores al incluirlos como sujetos obligados en su artículo 2.1.z). Comprobar si la plataforma donde tenía el dinero está autorizada es el primer dato que importa, porque de ello depende que exista alguien a quien exigir el reglamento.
Dos artículos le interesan. El artículo 70 obliga al proveedor a mantener los criptoactivos de los clientes separados de los suyos, protegidos frente a sus propios acreedores. El artículo 75 regula la custodia y administración por cuenta de clientes y dispone que el proveedor responde ante el cliente de la pérdida de criptoactivos, o de los medios de acceso a ellos, causada por un incidente que le sea imputable, con el límite del valor de mercado del criptoactivo en el momento de la pérdida. No le son imputables los incidentes respecto de los que demuestre que ocurrieron con independencia de la prestación del servicio o de su funcionamiento, como un fallo inherente a la propia cadena de bloques.
El caso se decide en la palabra «imputable». Una intrusión en los sistemas del exchange, un empleado que filtra datos, un fallo en el proceso de restablecimiento de credenciales o un retiro que sus sistemas de detección debieron parar caen del lado del custodio. Un correo de phishing en el que usted tecleó contraseña y código, del suyo. Entre ambos extremos hay una zona ancha, porque muchos robos combinan un error del usuario con una debilidad del proveedor, por ejemplo un cambio del correo de recuperación autorizado sin periodo de espera y seguido de un retiro total a una dirección nueva. Si el exchange tuvo que notificar una brecha de seguridad a la autoridad de protección de datos, obligación que el Reglamento General de Protección de Datos impone a cualquier responsable, ese dato apunta a un incidente suyo.
Las plataformas tienen políticas propias de compensación, algunas con fondos internos que anuncian para casos de brecha. Son voluntarias y se aplican en sus términos. La responsabilidad del artículo 75 no depende de que la plataforma quiera asumirla, y las cláusulas de sus condiciones de uso que la excluyen no la eliminan. Cómo se construye frente al exchange la prueba de que el incidente le era imputable es trabajo del abogado.
El banco devuelve euros, no criptomonedas
La segunda mitad de la pregunta tiene una respuesta más corta. Las criptomonedas custodiadas no son dinero de curso legal, y la normativa de servicios de pago, la que obliga al banco a devolver las operaciones que el cliente no autorizó, no les alcanza. Alcanza a todo lo que en su caso haya sido dinero.
| Lo que le han quitado | Quién responde | Base |
|---|---|---|
| Criptomonedas custodiadas en el exchange, acceso por un fallo de la plataforma | El exchange, hasta el valor de mercado en el momento de la pérdida | Artículo 75 del Reglamento MiCA |
| Criptomonedas custodiadas, acceso con sus claves (phishing, duplicado de SIM, malware) | El exchange no responde salvo que se pruebe una debilidad propia; quedan el bloqueo y la vía penal | Artículo 75 del Reglamento MiCA, incidente no imputable |
| Criptomonedas en una wallet de autocustodia | Nadie salvo el autor; recuperación por rastreo y bloqueo en el exchange de destino | Código Penal y medidas cautelares de la LECrim |
| Saldo en euros dentro de la plataforma | El proveedor del servicio de pago, como operación no autorizada | Normativa de servicios de pago |
| Cargos en la tarjeta o transferencias desde su banco ordenadas por el atacante | El banco, como operación no autorizada | Normativa de servicios de pago |
El saldo en euros que tenía dentro de la plataforma es dinero, y la obligación de devolver una operación no autorizada recae en quien lo gestionaba. Lo mismo ocurre con la tarjeta vinculada con la que el atacante compró criptomonedas desde su cuenta, o con la transferencia que ordenó desde su banca en línea después de hacerse con el correo. En cuanto convirtió los euros en criptomonedas y las sacó, ese tramo deja de ser una operación de pago y se recupera, si se recupera, por el bloqueo y la vía penal.
La frontera funciona también en sentido contrario. Si fue usted quien transfirió dinero a una plataforma porque un supuesto asesor le convenció de invertir y luego no pudo retirarlo, eso es una estafa de inversión y no una operación no autorizada, y el banco no responde por el solo hecho del engaño. Lo trato en el artículo sobre qué está obligado a devolver el banco tras una ciberestafa. Cómo se plantea frente al banco la reclamación de las operaciones no autorizadas forma parte del encargo al abogado.
Con lo perdido ordenado en esos tres cajones es cuando en el despacho tomamos el asunto, porque las tres reclamaciones se preparan a la vez y con la misma prueba, y en la página de estafas bancarias explico qué hacemos en cada una.
Seguir el dinero en la cadena de bloques y pararlo antes de que vuelva a moverse
La cadena de bloques es pública, y eso es lo único que juega a su favor. Cada movimiento desde la dirección a la que fueron sus criptomonedas queda registrado a la vista de cualquiera. El problema es el ritmo. Quien roba criptomonedas las fragmenta, las pasa por varias cadenas y al final las lleva a un exchange para convertirlas en euros o dólares, porque una criptomoneda que no puede gastar no le sirve. Ese exchange de salida es el punto donde se puede parar el dinero.
Desde el 30 de diciembre de 2024 el Reglamento (UE) 2023/1113 obliga a que las transferencias de criptoactivos entre proveedores lleven los datos del ordenante y del beneficiario, como una transferencia bancaria. La Ley 10/2010, al convertir a los exchanges en sujetos obligados en materia de blanqueo, les impone identificar a sus clientes. Cuando las criptomonedas robadas entran en una plataforma regulada, detrás de esa cuenta hay un nombre, un documento y un historial que el juzgado puede pedir.
El juzgado de instrucción puede acordar, entre las primeras diligencias que le encomienda el artículo 13 de la Ley de Enjuiciamiento Criminal para asegurar las pruebas y proteger a los perjudicados, y como medida cautelar para garantizar las responsabilidades pecuniarias de los artículos 589 y siguientes de la misma ley, que se oficie al exchange de destino para que bloquee los fondos y aporte la identidad del titular. Las plataformas autorizadas en la Unión Europea cumplen esos oficios. Las que operan desde jurisdicciones sin cooperación con España, a veces y tarde.
La velocidad decide el resultado. Un bloqueo pedido en los primeros días encuentra el dinero y uno pedido al mes encuentra una cuenta vacía. Por eso el rastreo y la petición al juzgado no esperan a que la Policía termine su investigación, y por eso la denuncia del primer día tiene que llevar los identificadores de transacción y las direcciones de destino.
Entrar en su cuenta y vaciarla, los artículos 197 bis, 248 y 264 del Código Penal
Lo que le han hecho encaja en varios delitos a la vez.
Acceder a su cuenta del exchange, a su correo o a su wallet sin autorización y vulnerando las medidas de seguridad es el delito de acceso ilegal a un sistema informático del artículo 197 bis del Código Penal, castigado con prisión de seis meses a dos años. Existe aunque no se hayan llevado nada, y lo desarrollo en el artículo sobre el acceso ilícito a correo y cuentas. Si además se apoderaron de sus correos para preparar el ataque, entra el artículo 197.1, descubrimiento y revelación de secretos, con prisión de uno a cuatro años y multa de doce a veinticuatro meses.
Sacar las criptomonedas es una estafa informática del artículo 248.2.a), que castiga a quien, con ánimo de lucro y valiéndose de una manipulación informática o artificio semejante, consigue una transferencia no consentida de cualquier activo patrimonial en perjuicio de otro. La criptomoneda es un activo patrimonial a estos efectos. La pena, por el artículo 249, es de prisión de seis meses a tres años cuando lo defraudado supera los 400 euros. Si el valor sustraído excede de 50.000 euros, o el hecho afecta a un número elevado de personas, el artículo 250.1 eleva la pena a prisión de uno a seis años y multa de seis a doce meses, y por encima de 250.000 euros el artículo 250.2 la sitúa entre cuatro y ocho años de prisión. El valor se fija por la cotización del momento del robo.
Cambiarle el correo de recuperación, anularle la autenticación o dejarle fuera de su propia cuenta es, además, un delito de daños informáticos del artículo 264, que castiga con prisión de seis meses a tres años a quien, sin autorización y de manera grave, borra, altera, suprime o hace inaccesibles datos informáticos ajenos.
Que el autor esté sin identificar o en otro país no cambia la calificación. Cambia las posibilidades de condena, y explica que la vía penal valga en estos asuntos sobre todo por lo que permite bloquear y por la responsabilidad civil que arrastra cuando se identifica a alguien, aunque sea solo al titular de la cuenta de destino.
Denunciar en A Coruña un robo que salió por un servidor en otro continente
La denuncia se presenta en la Policía Nacional, en la Guardia Civil o directamente en el juzgado de instrucción de guardia. El competente es el del lugar donde usted sufrió el perjuicio, porque el Tribunal Supremo aplica a los delitos cometidos por internet la teoría de la ubicuidad, conforme a la cual el delito se entiende cometido en todos los lugares donde se ha realizado algún elemento del tipo, y el perjuicio patrimonial lo es. Que el servidor del exchange esté en Irlanda o en Malta, o que el autor opere desde otro continente, no le obliga a denunciar allí.
Hay dos razones para que esa denuncia la redacte un abogado y no la dicte usted en una comisaría. Una denuncia que no identifica las transacciones, las direcciones y los exchanges implicados se queda en el cajón, porque la unidad de ciberdelincuencia tiene que reconstruir lo que usted ya sabe. Y la petición de bloqueo no la formula la Policía por su cuenta, hay que pedírsela al juzgado, con la denuncia o inmediatamente después, y pedirla mal o tarde equivale a no pedirla.
Los plazos de prescripción del artículo 131 del Código Penal son holgados. El acceso ilegal y la estafa básica prescriben a los cinco años, y la estafa agravada de los artículos 250.1 y 250.2 a los diez. Lo que corre en su contra es el dinero, que se disipa en semanas.
Cuando el autor no se identifica, lo habitual es que el juzgado acuerde el sobreseimiento provisional, un archivo que se reabre si aparece un dato nuevo. En los robos de criptomonedas aparece con frecuencia, porque las direcciones de destino se cruzan con las de otras víctimas, en España o fuera, y una detención en otra investigación arrastra la suya. Mientras tanto, la reclamación frente al exchange por el artículo 75 de MiCA y la reclamación frente al banco siguen su propio camino y no dependen de que haya un condenado.
Conviene decir también cuándo no compensa. Si el importe es de unos cientos de euros, el rastro acaba en un mezclador de criptomonedas y no hubo fallo atribuible a la plataforma ni cargos en euros, la denuncia hay que ponerla, porque alimenta las investigaciones que cruzan direcciones, pero encargar a un abogado la reclamación carece de sentido económico. Si la cifra es relevante, el rastro llega a un exchange identificable o la plataforma tuvo algo que ver, lo tiene.
Su cuenta del exchange usada como escala para el dinero de otras víctimas
Quien le ha robado necesita cuentas para mover y sacar el dinero, y la suya, mientras la controlaba, pudo servir para recibir y reenviar criptomonedas de otras víctimas. Si la Policía detecta ese tráfico, el primer nombre que aparece es el de usted, y la denuncia presentada a tiempo es lo que demuestra que ese tráfico no fue suyo.
El riesgo es mayor en el caso inverso. Si alguien le pidió su cuenta de Binance o su wallet para «recibir un pago y reenviarlo» a cambio de una comisión, usted ha hecho de mula. El artículo 301 del Código Penal castiga el blanqueo de capitales con prisión de seis meses a seis años y multa del tanto al triplo del valor de los bienes, y su apartado 3 castiga la modalidad por imprudencia grave, la de quien no sabía pero tenía que haber sospechado, con prisión de seis meses a dos años. La defensa penal de quien figura como titular de una cuenta de paso se ejerce desde el primer requerimiento policial, y esa persona no debe acudir sola a declarar.
Preguntas frecuentes
¿Cómo saber si me han hackeado el móvil?
La señal más clara es perder la cobertura de pronto, sin avería de red, porque indica un duplicado de SIM. Otras son correos de inicio de sesión desde dispositivos que no reconoce, códigos de verificación que llegan sin haberlos pedido, aplicaciones que no instaló, consumo de batería o de datos anormal y, en wallets, direcciones de destino que cambian al pegarlas. Si ve alguna, actúe desde otro dispositivo.
Me han hackeado WhatsApp, ¿qué puedo hacer?
Vuelva a registrar su número en WhatsApp desde su móvil, lo que expulsa al intruso, y active la verificación en dos pasos. Si el móvil perdió cobertura, llame antes a la operadora, porque el ataque a WhatsApp suele ser el primer paso de un duplicado de SIM que después vacía el exchange. Avise a sus contactos, a quienes pedirán dinero o criptomonedas en su nombre, y guarde los mensajes.
¿Dónde y cómo pongo la denuncia exactamente en España y qué debo llevar?
En cualquier comisaría de la Policía Nacional, puesto de la Guardia Civil o juzgado de guardia, con independencia de dónde esté el exchange. Lleve su DNI, las capturas del historial de transacciones con los TXID, las direcciones de destino, los correos y SMS del ataque, el ticket abierto con la plataforma y, si hay cargos, el extracto bancario. Hecha por abogado, la denuncia incluye ya la petición de bloqueo.
La petición de bloqueo al juzgado, el paso que toca dar ya y quién lo da
Con las capturas hechas y la cuenta congelada, lo que toca hoy es que un abogado presente la denuncia con los identificadores de transacción y pida al juzgado el oficio de bloqueo al exchange donde han aterrizado las criptomonedas, y que en el mismo encargo queden planteadas la responsabilidad del custodio conforme a MiCA y la devolución de los euros por el banco. En el despacho ejercemos la defensa y la acusación en delitos informáticos y llevamos ese encargo desde el primer día. Puede escribirnos desde la página de contacto o llamar al +34 677 841 007. Respondemos a la mayor brevedad.