Estafa o robo de criptomonedas: qué hacer y cómo denunciarlo

Actualizado el 22 de octubre de 2026: revisado por completo y ampliado como guía sobre robo y estafa, con las vías para avisar al supervisor financiero, al exchange y al banco, los bloqueos por parte de los emisores de stablecoins, la estafa de recuperación y la situación fiscal en Alemania. La afirmación anterior de que el robo y la insolvencia tributan de forma distinta no estaba respaldada por ninguna fuente y se ha sustituido.

Si te han robado criptomonedas o has caído en una estafa cripto, importa el orden de los pasos. Primero guarda los identificadores de transacción, las direcciones y los chats, y mueve las criptomonedas que te queden a una cartera nueva. Después presenta una denuncia, avisa al exchange al que llegaron los fondos y comunica al supervisor financiero los proveedores sin autorización. El dinero vuelve sobre todo cuando el rastro termina en un exchange regulado o en una stablecoin que se puede bloquear, como USDT o USDC. Nadie puede congelar bitcoins que están en la cartera de otra persona.

Esta guía recorre cada paso, desde la primera captura de pantalla hasta la declaración de impuestos, con el procedimiento en Alemania como ejemplo, y muestra con casos recientes dónde tienen éxito los investigadores y dónde no. Por qué una transferencia confirmada no se puede anular lo explica nuestra guía sobre cripto enviada a una dirección equivocada.

Robo o estafa de cripto: lo más importante en resumen

• Guarda primero cinco datos: identificador de transacción, tu dirección, la dirección de destino, la hora con zona horaria y la blockchain afectada. Sin ellos, ningún investigador puede seguir el rastro.
• Denuncia: en Alemania la reciben la policía, la fiscalía y los juzgados locales según el artículo 158 de la Ley de Enjuiciamiento Criminal alemana. En línea se tramita a través del portal común de las comisarías en línea de los estados federados y, en delitos cometidos en internet, a través del estado donde vives.
• BaFin: el supervisor financiero alemán recibe reclamaciones y avisos sobre proveedores sin autorización, y su teléfono para consumidores 0800 2 100 500 es gratuito. Según su advertencia del 4 de mayo de 2026, recuperar dinero perdido no forma parte de sus funciones.
• Los bloqueos funcionan con stablecoins: según sus propios datos, Tether había congelado más de 5000 millones de dólares a 11 de septiembre de 2026, en colaboración con más de 340 autoridades de 67 países. Ningún emisor puede bloquear bitcoin, ether o XRP.
• La estafa de recuperación es la segunda trampa: el FBI contabilizó en 2025 en Estados Unidos 10.516 denuncias contra supuestos servicios de recuperación, con 1400 millones de dólares en pérdidas.
• Impuestos: la circular del Ministerio de Finanzas alemán del 6 de marzo de 2025 no contiene ninguna regla para criptomonedas robadas. Según el apartado 89, la pérdida de datos por un ciberataque corre a cargo del contribuyente.

Cripto robada: las primeras horas tras el robo

Antes de denunciar nada, guarda las pruebas. Muchas son efímeras: los registros de acceso desaparecen en cuanto se bloquea una cuenta, las webs fraudulentas se desconectan y los autores borran los chats por su parte. Guárdalo todo en este orden:

1. El identificador de transacción (también llamado hash de transacción o TxID) de cada transferencia afectada, copiado de la cartera o del explorador de bloques.
2. Tu dirección y la dirección de destino, copiadas completas, nunca tecleadas a mano.
3. La hora con zona horaria, el importe, el token y la blockchain, por ejemplo «USDT en Tron» o «ETH en Ethereum».
4. Capturas de pantalla de la cartera, del historial y de la página por la que ocurrió, siempre con la dirección web completa.
5. La comunicación: chats de WhatsApp o Telegram exportados, correos, números de teléfono, nombres de los supuestos interlocutores y extractos bancarios con los pagos a la plataforma.
6. En una cuenta de exchange: la lista de accesos y dispositivos, mientras los accesos ajenos sigan visibles.

Después, detén el daño. Lo que hace falta depende de cómo ocurrió:

• Frase semilla o clave privada en manos ajenas: mueve de inmediato los fondos restantes a una cartera nueva con una frase semilla nueva. Esto tiene prioridad sobre todo lo demás, porque el atacante puede volver a por el resto en cualquier momento.
• Cartera conectada a una web fraudulenta: revoca las autorizaciones de tokens concedidas. En Ethereum, el Token Approval Checker del explorador de bloques Etherscan muestra qué contratos pueden seguir accediendo a tus tokens; muchas carteras tienen una función propia para ello.
• Cuenta de exchange tomada: avisa al soporte y haz bloquear la cuenta, cambia la contraseña y la autenticación en dos pasos, también en la cuenta de correo asociada.
• Acceso remoto permitido: elimina programas como AnyDesk o TeamViewer y haz revisar el dispositivo antes de volver a usarlo para la banca.
• Pago por transferencia o con tarjeta: llama de inmediato a tu banco. En Alemania, las tarjetas se bloquean a cualquier hora a través del número de bloqueo 116 116.
• Contacto con los autores: córtalo y no pagues nada más, tampoco una supuesta comisión por el pago.

Denunciar una estafa de criptomonedas: policía, comisaría en línea o fiscalía

En Alemania, el artículo 158, apartado 1, de la Ley de Enjuiciamiento Criminal permite presentar la denuncia ante la policía, la fiscalía o un juzgado local. La misma norma te da derecho a un acuse de recibo por escrito, con un breve resumen de la fecha, el lugar y los hechos. Pídelo, porque los exchanges, los bancos y los abogados te pedirán más tarde el número de expediente.

Lo más rápido es hacerlo en línea. El portal común de las comisarías en línea de los estados federados pregunta primero dónde ocurrió el delito: en Alemania, o en el extranjero, en internet o en un lugar desconocido. En el segundo caso, que abarca casi todas las estafas cripto, te lleva a la comisaría en línea del estado donde vives. Los puntos de contacto centrales de ciberdelincuencia (ZAC) de la policía, en cambio, atienden a empresas: según el portal administrativo federal, a ellos acude una empresa víctima de ciberdelincuencia. Como particular, usas la comisaría en línea o cualquier comisaría.

Fuera de Alemania la lógica es la misma: la denuncia se presenta ante la policía del país donde resides.

La denuncia debe recoger los datos guardados, de forma objetiva y en orden cronológico. No «me han hackeado», sino: en tal fecha, a tal hora, desde mi dirección a tal dirección, identificador de transacción, importe, blockchain. Las sospechas van al final y se señalan como tales. Esta lista te ayuda a reunirlo todo (a 22 de octubre de 2026):

No tienes que decidir tú la calificación jurídica, y con las criptomonedas no es sencilla. Según el derecho alemán, las criptomonedas no son cosas corporales, así que el robo clásico no se aplica. Entran en juego sobre todo la estafa del artículo 263 y la estafa informática del artículo 263a del Código Penal alemán. Hasta qué punto puede estrecharse lo muestra una resolución de 2024 del Tribunal Regional Superior de Braunschweig (asunto 1 Ws 185/24): un conocido se había quedado con la frase semilla al configurar una cartera y más tarde retiró criptomonedas por valor de unos 2,5 millones de euros, y el tribunal no vio indicios iniciales suficientes de delito, según informó t-online. Describe por tanto con precisión cómo obtuvieron el acceso los autores: engaño, software malicioso, web de phishing o una persona con acceso a tu frase semilla.

Los grandes casos los llevan unidades especializadas. En la Operación Herakles, que hasta septiembre de 2026 había desconectado 13.888 números de teléfono de estafadores de inversión, participó por ejemplo el centro de ciberdelincuencia de la Fiscalía General de Karlsruhe. Estas investigaciones nacen de muchas denuncias individuales. El informe federal alemán sobre ciberdelincuencia de 2025 registró unos 334.000 casos, y las autoridades parten de una cifra oculta considerable. Cada delito que no se denuncia falta en ese cuadro.

Avisar de una estafa cripto: BaFin, exchange y banco

Además de la denuncia, merecen la pena tres avisos, porque cada uno asegura un rastro propio.

BaFin. El supervisor financiero alemán recibe mediante un formulario en línea las reclamaciones contra empresas supervisadas, por ejemplo contra un exchange autorizado que no responde a tu aviso. Si un proveedor parece operar sin autorización, envías tus documentos a la BaFin por carta, fax o correo electrónico; su base de datos de empresas muestra si una sociedad tiene autorización. Las preguntas las responde el teléfono gratuito para consumidores 0800 2 100 500. La BaFin no resuelve litigios individuales y, según su advertencia del 4 de mayo de 2026, devolver el dinero perdido por estafa no forma parte expresamente de sus funciones. Aun así, sus advertencias ayudan: el 14 de octubre de 2026 advirtió sobre 23 webs de inversión casi idénticas y sin autorización. Si tu plataforma figura en una lista así, eso respalda tu denuncia.

Exchange. Si la dirección de destino lleva a un exchange conocido, escribe a su soporte o a su departamento de cumplimiento con el identificador de transacción, la dirección de destino y el número de expediente. Desde el 30 de diciembre de 2024, los proveedores de servicios de criptoactivos de la UE deben recoger y conservar datos del ordenante y del beneficiario de las transferencias según el Reglamento (UE) 2023/1113 sobre transferencias de fondos. Detrás de un depósito en un exchange regulado hay, por tanto, un nombre. Un exchange así suele congelar una cuenta solo cuando lo pide una autoridad; tu aviso hace que el exchange ya conozca el caso cuando llegue esa petición.

Banco. Si pagaste a una plataforma fraudulenta por transferencia o con tarjeta, comunícalo de inmediato a tu banco, con la cuenta receptora y el número de expediente. La cuenta receptora es un segundo rastro que los investigadores pueden seguir con independencia de la blockchain.

Recuperar cripto robada: cuándo funcionan los bloqueos y las investigaciones

Una transacción confirmada no se puede revertir en la blockchain. El dinero solo vuelve a través de alguien con acceso a los fondos: un emisor de stablecoins, un exchange o un tribunal que ordene asegurar bienes. La tabla muestra dónde es posible (a 22 de octubre de 2026).

Tether muestra cómo funciona en la práctica. En noviembre de 2023, tras investigaciones conjuntas con el exchange OKX, el emisor congeló unos 225 millones de USDT vinculados a una red de estafas románticas y de inversión (comunicado de Tether). Según sus propios datos, Tether había congelado más de 5000 millones de dólares hasta septiembre de 2026 y colaborado en más de 2800 casos con más de 340 autoridades de 67 países (Tether, 11 de septiembre de 2026). En sus condiciones de USDC, Circle se reserva el derecho de bloquear direcciones y congela fondos por orden de una autoridad competente.

Con criptomonedas sin función de bloqueo solo queda seguirlas hasta el siguiente exchange. Lo estrecho de ese límite quedó claro en septiembre de 2026, cuando un atacante movió unos 83 millones de dólares en XRP sin que Ripple pudiera intervenir; el contexto está en nuestro artículo sobre por qué las criptomonedas robadas a menudo no se pueden congelar. Los investigadores reconstruyen el recorrido por la blockchain con herramientas de análisis. Cuánto dinero fraudulento se hace visible así lo muestra un análisis de la autoridad financiera estadounidense FinCEN con 33.904 comunicaciones de operaciones sospechosas y 12.700 millones de dólares de actividad vinculada al fraude de inversión entre septiembre de 2023 y finales de 2025.

Con importes pequeños, una denuncia rara vez lleva a un reembolso. Aun así merece la pena, porque los investigadores solo detectan patrones a través de muchas denuncias y porque los exchanges rara vez congelan algo sin una petición de una autoridad. Con sumas mayores, o si un exchange no responde, un despacho especializado en derecho bancario y del mercado de capitales o en derecho penal puede estudiar las vías civiles.

Estafa de recuperación: la segunda trampa tras una estafa cripto

Quien ha perdido dinero una vez acaba en las listas de los estafadores. Semanas o meses después contactan supuestos despachos de abogados, investigadores o servicios de recuperación y prometen devolver el dinero a cambio de una comisión, un impuesto o un pago de liberación por adelantado. En el informe anual 2025 de su Internet Crime Complaint Center, el FBI contabilizó 10.516 denuncias contra este tipo de ofertas con 1400 millones de dólares en pérdidas, una cifra que puede incluir también pérdidas de la estafa original. La BaFin advierte con regularidad sobre estas webs, por ejemplo el 14 de septiembre de 2026 sobre finanzforensik(.)com. Cómo los mismos autores primero estafan y después vuelven como servicio de recuperación lo muestra la red de 241 webs que las autoridades estadounidenses cerraron el 14 de octubre de 2026; los detalles están en nuestro artículo sobre la estafa de recuperación y sus señales de alerta.

Estas son las señales que delatan el engaño:

• El contacto llega sin que lo pidas, por teléfono, correo o mensaje, y conoce detalles de tu pérdida.
• Antes del pago hay que abonar una comisión, un impuesto o una fianza, a menudo en cripto.
• Te piden instalar un programa de acceso remoto como AnyDesk o crear una cartera nueva y compartir el acceso.
• El proveedor invoca a la BaFin, a la policía o a Interpol. Según su propia declaración, la BaFin no encarga a terceros la recuperación de fondos ni se dirige por iniciativa propia a particulares.
• Hay una garantía de éxito o presión de tiempo.

Si un despacho de abogados alemán existe se comprueba en el registro oficial nacional de abogados del Colegio Federal de Abogados: el nombre, la dirección y el teléfono deben coincidir con los de la web. Los despachos serios no exigen pagos por adelantado en cripto para liberar dinero supuestamente incautado.

Pérdidas por estafa cripto: qué reconoce el fisco alemán

Si el fisco alemán reconoce un robo o una estafa como pérdida no está regulado de forma expresa. Los criptoactivos en el patrimonio privado entran en las operaciones de venta privadas del artículo 23 de la Ley del Impuesto sobre la Renta alemana, como confirmó el Tribunal Federal de Finanzas en su sentencia del 14 de febrero de 2023 (IX R 3/22). Allí una pérdida nace de una venta: la circular del Ministerio de Finanzas del 6 de marzo de 2025 la calcula en su apartado 57 a partir del precio de venta, los costes de adquisición y los gastos. No contiene ninguna regla propia para criptomonedas robadas o estafadas. Si quieres hacer valer una pérdida así, aclara antes el camino con un asesor fiscal.

La carga de la prueba, en cambio, está clara. Quien opera en plataformas de operadores extranjeros tiene, según el apartado 89 de la circular, un deber de colaboración ampliado, y los registros que falten o la pérdida de datos, por ejemplo por un ciberataque, corren a cargo del contribuyente. Exporta por tanto tus historiales de transacciones con regularidad y guarda la denuncia con su número de expediente junto a tus documentos fiscales. Cuándo cuenta fiscalmente una posición sin valor lo explica nuestra guía sobre la pérdida total de cripto; las ganancias y pérdidas de ventas reales las calcula la calculadora fiscal de CryptoTicker.

Prevenir el robo de cripto: custodia, elección del exchange y frase semilla

En DeFi, en 2026 las claves privadas robadas fueron por primera vez una vía de ataque más frecuente que los fallos en el código, como muestra nuestro análisis de los hackeos cripto. Por eso, los saldos grandes deben estar en una cartera hardware comprada directamente al fabricante o a un distribuidor autorizado; qué ofrece cada dispositivo lo muestra nuestra comparativa de carteras hardware. Lo importante que es el origen quedó claro en octubre de 2026 con dispositivos Ledger manipulados de un revendedor. Guarda la frase semilla sin conexión y separada del dispositivo; placas de acero, passphrase y multifirma se explican en nuestra guía para guardar la frase semilla de forma segura.

Para la parte que tienes en un exchange, la elección del proveedor decide si existe un supervisor al que acudir si algo sale mal. Los exchanges autorizados según el reglamento europeo MiCA verifican la identidad de sus clientes y responden a las solicitudes de las autoridades; qué proveedores tienen esa autorización lo muestra nuestro resumen de exchanges cripto regulados. Antes de conectar una cartera a una web, comprueba además la dirección: webs de verificación falsas como la supuesta verificación AML de carteras obtienen justo las autorizaciones que necesitan los atacantes.

Cripto robada: la primera hora cuenta más que la denuncia

Si en la primera hora tras un robo o una estafa guardas los identificadores de transacción, las direcciones y los chats y mueves las criptomonedas restantes, tienes todo lo que necesitan la policía, los exchanges y los emisores de stablecoins. La denuncia no cuesta nada y es la condición para que las autoridades consulten a exchanges y emisores. El dinero vuelve sobre todo con USDT, USDC y saldos en exchanges regulados. Quien después prometa la recuperación a cambio de un pago por adelantado merece a su vez una denuncia.

(22 de octubre de 2026. Este artículo no constituye asesoramiento jurídico, fiscal ni de inversión. Las competencias, los formularios y la legislación pueden cambiar; ante pérdidas grandes, un abogado puede ayudarte.)