Estafas con Stablecoins, Rug Pulls y Bridges — Defensa Penal Especializada

Las estafas en el ecosistema DeFi han evolucionado a un nivel de sofisticación técnica que requiere combinar derecho penal clásico con conocimiento de protocolos descentralizados, smart contracts y arquitecturas multi-cadena. El penalista debe identificar con precisión la frontera entre el exploit técnico (que puede ser civil o atípico) y el delito penal (estafa, apropiación indebida, blanqueo).

Rug Pull vs. Soft Pull

El rug pull clásico es la retirada masiva de liquidez por los promotores del proyecto: tras vender el token a inversores y crear apariencia de mercado, los developers retiran los fondos del pool y abandonan el proyecto. Cuando concurre engaño previo (whitepapers falsos, equipo fingido, auditorías inventadas) es estafa agravada (Art. 250 CP). El soft pull es la dilución progresiva del valor mediante minteo abusivo, comisiones excesivas o cambios unilaterales en el smart contract: la calificación penal es más compleja y requiere acreditar el dolo inicial.

Exploits de Bridges

Los bridges entre cadenas (Wormhole, Ronin, Nomad, Multichain) son piezas críticas y han sufrido pérdidas multimillonarias por exploits técnicos. La calificación penal depende de quién explote y con qué intención. Si el explotador es un black hat que se apropia de los fondos: estafa, blanqueo y, eventualmente, delito informático del Art. 264 CP (daños). Si es un white hat que devuelve los fondos: la conducta puede ser atípica o cubierta por estado de necesidad.

Estafas con Stablecoins

Las stablecoins centralizadas (USDC, USDT) cuentan con mecanismos de freeze que permiten congelar wallets, lo que abre vías reales de recuperación cuando hay cooperación de los emisores. Las algorítmicas colapsadas (Terra-LUNA) plantean cuestión más compleja: la imputación penal exige acreditar manipulación o información falsa, no mero error de diseño económico.

Manipulación de Pools y Liquidez

Más allá del rug pull existen conductas de manipulación de mercado on-chain: wash trading para simular volumen, pump and dump coordinado sobre tokens de baja capitalización y abusos de MEV (Maximal Extractable Value) como el sandwiching de órdenes ajenas. Su encaje penal va desde la estafa (Art. 248 CP) hasta el delito relativo al mercado y a los consumidores (Art. 284 CP) cuando se difunde información falsa para alterar el precio. La prueba exige reconstruir las transacciones y acreditar la coordinación.

Acusación Particular en Fraudes DeFi

Para el perjudicado, la acusación particular permite impulsar la investigación más allá de la actividad de oficio: solicitar medidas cautelares reales sobre los fondos identificados, requerir a los emisores de stablecoins el freeze de wallets y dirigir el peritaje técnico. La coordinación temprana entre la acción penal y los bloqueos administrativos en USDC/USDT es lo que separa la recuperación parcial de la pérdida total.

Calificación Penal de Cada Conducta DeFi: del Art. 248 al Art. 282 bis

La defensa empieza por algo que muchos pasan por alto: cada maniobra DeFi se subsume en un tipo penal distinto, con penas y plazos de prescripción propios. Cuando el promotor de un token capta inversores mediante un engaño bastante que les lleva a aportar fondos, estamos ante la estafa común del Art. 248 CP, castigada con prisión de 6 meses a 3 años; si el importe defraudado no supera los 400 euros, opera la estafa leve del Art. 248.3 (multa de 1 a 3 meses). Cuando la captación se realiza manipulando un proceso informático automatizado, por ejemplo desviando aportaciones a través de un contrato o una transferencia no consentida, la calificación correcta es la estafa informática del Art. 249.1.a CP, con idéntica pena de 6 meses a 3 años.

La pena se eleva con los subtipos agravados del Art. 250.1 CP (prisión de 1 a 6 años), aplicables, entre otros supuestos, cuando la defraudación recae sobre un elevado número de personas, reviste especial gravedad por el valor del perjuicio o se aprovecha de una relación de confianza; y con la hiperagravación del Art. 250.2 CP (prisión de 4 a 8 años) cuando concurren circunstancias de máxima gravedad. Junto a estos tipos, la difusión de información falsa a inversores sobre la situación o la viabilidad de un proyecto, idónea para inducir a invertir, puede integrar la estafa de inversores del Art. 282 bis CP. El trabajo de la defensa consiste en discutir la concurrencia del engaño bastante, la imputación objetiva del perjuicio y la elección entre estos tipos, porque de ella dependen tanto la pena como la prescripción.

Fases del Proceso Penal y Órgano Competente en un Fraude Cripto

El procedimiento suele iniciarse con una denuncia o querella ante el juzgado de instrucción, que abre las diligencias previas del procedimiento abreviado o, según la pena, del sumario ordinario. En la instrucción se acuerdan las diligencias de investigación esenciales en estos casos: requerimientos a exchanges y proveedores de servicios de criptoactivos, oficios a entidades bancarias por las pasarelas de entrada y salida de fondos en moneda fiduciaria, análisis de la cadena de bloques y, en su caso, medidas cautelares reales para asegurar el futuro decomiso. La defensa interviene desde el primer momento proponiendo diligencias, contradiciendo las de la acusación e impugnando medidas cautelares desproporcionadas.

La competencia objetiva depende de la pena: los tipos básicos del Art. 248 y del Art. 249.1.a y los agravados del Art. 250 que no superen ciertos umbrales se enjuician ante el Juzgado de lo Penal, mientras que las penas más altas del Art. 250.2 corresponden a la Audiencia Provincial. La competencia territorial plantea problemas propios en el entorno digital, porque el engaño, la disposición patrimonial y el perjuicio pueden producirse en lugares distintos; la doctrina aplica criterios como el lugar donde se realizó el acto de disposición o donde se produjo el perjuicio. Cuando aparecen estructuras organizadas o ramificaciones en varios partidos judiciales, la determinación del juzgado competente es una batalla preliminar que conviene plantear cuanto antes para evitar nulidades.

La Prueba Pericial Forense Blockchain y su Valoración Judicial

En los fraudes DeFi la prueba reina es el rastreo on-chain. El informe pericial reconstruye el flujo de fondos desde las wallets de las víctimas hasta su destino final, identifica el momento de la retirada de liquidez, documenta las interacciones con el contrato inteligente y, mediante técnicas de agrupación de direcciones y análisis de mezcladores, intenta atribuir el control de las wallets. La defensa puede aportar pericial de parte para cuestionar las inferencias de atribución, recordando que el control de una clave privada no equivale automáticamente a la autoría de quien figura como titular registral de una cuenta en un exchange, y que las heurísticas de agrupación son probabilísticas, no certezas.

El tribunal valora este material conforme a las reglas de la sana crítica, exigiendo trazabilidad, integridad de la evidencia digital y respeto a la cadena de custodia desde la captura de los datos hasta su volcado en el procedimiento. Son terrenos fértiles para la defensa la ruptura de la cadena de custodia, la falta de contradicción en la obtención de los datos, la opacidad de las herramientas comerciales de análisis empleadas y la confusión entre indicio y prueba directa. Una pericial de la acusación sólida en lo tecnológico puede ser insuficiente en lo jurídico si no acredita el dolo, el engaño previo a la disposición o la efectiva disponibilidad de los fondos por el acusado.

Decomiso, Recuperación de Activos y Cooperación Internacional

La dimensión internacional es inherente a estos casos: exchanges domiciliados fuera de España, validadores y servidores en múltiples jurisdicciones y fondos que circulan por protocolos descentralizados. La investigación se apoya en instrumentos de cooperación judicial como la orden europea de investigación en el ámbito de la Unión y las comisiones rogatorias o solicitudes de auxilio judicial frente a terceros Estados, así como en la colaboración con unidades especializadas. El bloqueo o congelación de criptoactivos en plataformas centralizadas es a menudo la única vía realista para asegurar fondos, porque lo que reside en wallets autocustodiadas escapa al control directo de cualquier autoridad.

El decomiso de los efectos y ganancias del delito, regulado en los Arts. 127 y siguientes CP, alcanza tanto a los criptoactivos directamente obtenidos como a los bienes en que se hayan transformado, e incluso permite el decomiso por valor equivalente cuando los activos originarios no pueden ser localizados o han desaparecido en mezcladores. Para la persona investigada, la defensa frente al decomiso es un frente autónomo: discutir la conexión del bien con el delito, proteger los derechos de terceros de buena fe y oponerse a medidas cautelares reales que excedan del importe presuntamente defraudado. La recuperación efectiva para las víctimas pasa por una estrategia coordinada de aseguramiento temprano antes de que los fondos se dispersen de forma irreversible.

Responsabilidad Penal de la Persona Jurídica y Compliance en Proyectos Cripto

Cuando el proyecto se articula a través de una sociedad —una entidad emisora del token, un fondo o una empresa de desarrollo—, el Art. 31 bis CP abre la puerta a la responsabilidad penal de la persona jurídica por delitos como la estafa, la estafa de inversores o el blanqueo de capitales cometidos en su beneficio directo o indirecto por sus administradores o por empleados sometidos a su supervisión. Las consecuencias para la entidad van desde la multa hasta la disolución, pasando por la suspensión de actividades, la inhabilitación o la intervención judicial, además del decomiso de las ganancias societarias.

La existencia de un modelo de organización y gestión idóneo para prevenir delitos, adoptado y ejecutado eficazmente antes de la comisión, puede operar como eximente o atenuante conforme a los apartados 2 a 5 del Art. 31 bis CP. En el sector cripto, ese modelo debe incorporar controles reales sobre las comunicaciones a inversores, la veracidad del whitepaper, la gestión de la tesorería del proyecto, las obligaciones de prevención del blanqueo y la trazabilidad de los fondos. La defensa de la sociedad y la de las personas físicas pueden entrar en conflicto de intereses, lo que exige valorar desde el inicio la conveniencia de defensas separadas y una investigación interna ordenada que no comprometa derechos fundamentales.

Prescripción, Conformidad y la Frontera con la Vía Civil y Administrativa

Los plazos de prescripción se calculan según el Art. 131 CP a partir de la pena máxima del delito. La estafa del Art. 248 y la estafa informática del Art. 249.1.a, con pena de hasta 3 años, prescriben a los 5 años; la estafa agravada del Art. 250.1 y la hiperagravada del Art. 250.2 prescriben a los 10 años. El blanqueo del Art. 301 (prisión de 6 meses a 6 años) prescribe a los 10 años y el blanqueo imprudente del Art. 301.3 (6 meses a 2 años) a los 5 años. El delito fiscal del Art. 305 (1 a 5 años) prescribe a los 5 años y el agravado del Art. 305 bis (2 a 6 años) a los 10 años. La estafa leve, castigada con multa, prescribe al año.

En sede de terminación, la conformidad permite cerrar el proceso con una pena pactada con la acusación, normalmente vinculada a la reparación del daño a las víctimas, que es además circunstancia atenuante de relevancia en estos delitos; y, cuando la pena de prisión impuesta no excede de dos años, cabe valorar la suspensión de su ejecución bajo condiciones. Conviene además delimitar la frontera con las vías civil y administrativa: no toda pérdida en un proyecto fallido es delito, pues el riesgo inherente a la inversión y el simple incumplimiento contractual pertenecen al ámbito civil, mientras que la supervisión del mercado de criptoactivos corresponde a la autoridad administrativa. La defensa trabaja precisamente esa línea, sosteniendo cuándo el asunto debe resolverse fuera del orden penal.