Rastrear al propietario de las criptomonedas constituye una herramienta relevante para la investigación de delitos como lavado de activos e ilícitos informáticos. Sin embargo, es necesario comprender que ser poseedor de criptomonedas, aunque estén involucradas en actos ilícitos, no es ser autor de un delito, especialmente si estas se encuentran dentro de plataformas de compraventa como Bybit

Y es que la posesión o vinculación con una billetera digital no constituye, por sí misma, una prueba irrefutable de vinculación con un ilícito, incluso cuando el rastreo permite establecer que determinados activos ilícitos ingresaron a una cuenta de una plataforma como Bybit. Lo anterior, únicamente puede ser tomado como un punto de partida para obtener información adicional que permita determinar quién controlaba dicha cuenta, quién autorizó las operaciones y quién tenía conocimiento de la procedencia de los fondos.

Por consiguiente, debe evitarse una inferencia automática entre el destino de los activos y la autoría del hecho delictivo. La trazabilidad financiera acredita, en principio, una secuencia de movimientos patrimoniales, mientras que la atribución de responsabilidad penal exige un razonamiento adicional, sustentado en elementos objetivos y subjetivos de imputación. 

Al respecto, el caso del ataque informático sufrido por Bybit el 21 de febrero de 2025, en el que se sustrajeron aproximadamente 1 500 millones de dólares en criptomonedas, permite ilustrar esta problemática. Tras el incidente, diversas empresas especializadas realizaron análisis de blockchain para reconstruir el desplazamiento de los activos sustraídos, identificar las billeteras receptoras y establecer conexiones entre las distintas transacciones. Asimismo, se formularon atribuciones técnicas que vincularon el ataque con el grupo Lazarus. Sin embargo, debe distinguirse entre la identificación de un conjunto de direcciones asociadas a una operación y la identificación individual de las personas que ejecutaron materialmente el ataque.

En el ordenamiento jurídico peruano, esta distinción encuentra sustento en los principios de responsabilidad penal personal y culpabilidad, así como en las reglas de imputación objetiva. El artículo 23 del Código Penal establece que responde como autor quien realiza por sí o por medio de otro el hecho punible, mientras que el artículo 25 regula la complicidad. Por tanto, no basta con demostrar que una persona, una cuenta o una dirección de billetera tuvo alguna vinculación con los activos investigados, si no que resulta necesario establecer cuál fue su intervención concreta en el hecho delictivo y si dicha intervención reúne los presupuestos de responsabilidad penal.

En definitiva, rastrear criptomonedas no equivale a identificar al delincuente. La trazabilidad permite conocer dónde se desplazaron los activos, pero la responsabilidad penal exige demostrar quién realizó las operaciones, bajo qué circunstancias, con qué conocimiento y mediante qué aporte al hecho delictivo. Admitir una equivalencia entre ambos aspectos supondría convertir una conexión tecnológica o patrimonial en una presunción de culpabilidad, desnaturalizando los principios de imputación objetiva, responsabilidad personal y presunción de inocencia que rigen el Derecho penal peruano.

Autor: Aldo Cabello

Referencias que sustentan el artículo

• Caso practico del atraco Bybit: https://www.sygnia.co/case-study/bybit-heist-case-study/ 
• Villavicencio Terreros, Felipe, La imputación objetiva en la jurisprudencia peruana, Derecho PUCP.