Estafa NFT: cómo funciona y cómo se investiga (guía básica)

Te llega el encargo. Una víctima ha perdido 18.000€ en algo que llaman «una colección NFT» y quiere saber a quién señalar. Te pasa una dirección rarísima de Ethereum (eso parecen letras y números mezclados sin sentido), una URL que ya no responde y tres capturas de Discord.

Y poco más.

El problema es que tú nunca has investigado nada parecido. Sabes lo que es un NFT solo de oídas, no has tocado un wallet en tu vida y la palabra «blockchain» te suena a cosa de adolescentes con criptomonedas en TikTok.

Ahora… ¿por dónde empiezas?

• ¿Buscas en Google «cómo investigar NFT» y lees mil resultados contradictorios?
• ¿Le pides al cliente que te explique él lo que pasó (lo cual da una imagen pésima)?
• ¿Aceptas el caso a ver qué sale y vas aprendiendo sobre la marcha?

Ninguna de las tres es buena.

 

Esto es lo que pasa cuando llega un caso de un mundo que no conoces. Y va a pasar más, porque las estafas NFT no son una moda pasajera: están en denuncias, en juzgados y en escritorios de detectives privados todos los meses.

La buena noticia es que no necesitas ser un experto en cripto para investigar una estafa NFT. Necesitas entender lo justo del ecosistema, conocer los cinco patrones de estafa que se repiten, y tener claro el método. Lo demás se aprende con cada caso.

Esto va de eso. Vamos a por ello. 😉

 

Qué es una estafa NFT (explicación sin jerga)

Una estafa NFT es un fraude en el que el estafador utiliza la compraventa de NFTs —certificados digitales de propiedad— para quedarse con el dinero o los activos digitales de la víctima.

Vamos a lo importante: ¿qué es un NFT?

Un NFT (siglas en inglés de «token no fungible») es básicamente un certificado digital único asociado a un archivo: una imagen, un vídeo, una pieza de música, un coleccionable. Lo que el comprador adquiere no es el archivo en sí (que cualquiera puede descargar) sino el certificado de propiedad registrado en un sistema público llamado blockchain.

Imagínalo como un cuadro firmado en una galería. El cuadro lo puede fotografiar todo el mundo. Pero solo uno tiene el certificado de autenticidad firmado por el autor. El NFT es ese certificado.

El problema es que ese mercado —prometiendo arte digital único, comunidades exclusivas, futuras «utilidades» de los tokens— ha sido un imán para todo tipo de fraudes. Y ahí es donde entra la investigación.

 

Lo que necesitas saber antes de meterte en el caso

Tres conceptos básicos. Con esto tienes lo justo para empezar.

 

La blockchain es un libro de cuentas público

La blockchain es un registro digital donde quedan apuntadas todas las transacciones que se hacen con criptomonedas y NFTs. Tres características que importan al investigador:

• Es pública. Cualquiera puede consultarla sin permiso ni cuenta.
• No se puede borrar. Lo que se apunta, se queda apuntado para siempre.
• Es trazable. Puedes seguir el rastro del dinero de una dirección a otra.

Esto es la mejor noticia que va a tener tu cliente: la huella del estafador está ahí y no se borra. Aunque la web caiga y el Twitter desaparezca, la blockchain sigue.

 

Una wallet es como un número de cuenta

Una wallet (literalmente «monedero») es la dirección digital donde alguien guarda sus criptomonedas y NFTs. Tiene la pinta de algo así: 0x9b8a4f...fd17.

La analogía útil: piénsala como un IBAN. Es un identificador único asociado a una persona o entidad, y cuando hay movimientos de dinero entran y salen de esa dirección. La diferencia es que el banco sabe quién es el titular del IBAN, mientras que en la blockchain la wallet es anónima por defecto.

«Anónima por defecto» no significa «imposible de identificar». Significa que la identificación se hace después, cruzando la actividad de la wallet con otras fuentes. Es exactamente lo que se cubre en el artículo sobre identificación de wallets.

 

El explorador de bloques es tu Google

Para consultar la blockchain hace falta una herramienta que la traduzca a algo legible. Esa herramienta se llama explorador de bloques.

Para Ethereum (la blockchain donde vive la mayoría de los NFTs) el explorador estándar es Etherscan. Es gratuito, no requiere registro, y permite buscar cualquier wallet, transacción o contrato pegando su identificador en la barra de búsqueda. Si la wallet existe, ahí ves todo lo que ha hecho.

Si vas perdido con esto, antes de seguir conviene leer la guía paso a paso de exploradores de bloques. No tarda mucho y te ahorra horas después.

 

Los cinco tipos de estafa NFT que vas a encontrarte

Saber qué tipo de estafa tienes delante cambia toda la investigación. Un rug pull se investiga de una manera, un wallet drainer de otra, y el orden de los pasos no es el mismo.

Estos son los cinco patrones que se repiten una y otra vez.

 

👉 Rug pull: la fuga clásica

El nombre lo dice todo en inglés: «tirar de la alfombra». El equipo del proyecto monta una colección NFT, la promociona muchísimo en redes, vende todos los NFTs (recaudando cientos de miles de euros), y al cabo de unas semanas o meses… desaparecen. La web cae. El Twitter se borra. El Discord se cierra. Y todo el dinero recaudado sale disparado de la wallet del proyecto hacia otras direcciones.

Es el equivalente digital a montar una tienda, vender stock durante un mes, y un sábado por la noche bajar la persiana y desaparecer con la caja.

El rug pull es probablemente el más común y también el que mejor se investiga, porque el rastro del dinero queda en la blockchain. Es exactamente lo que cubre el artículo pilar sobre rastreo de estafas crypto.

 

Wash trading: precios inflados artificialmente

Aquí no hay desaparición. Aquí hay maquillaje.

El estafador (a veces el propio creador del proyecto) se compra y vende los NFTs a sí mismo, usando varias wallets que controla. Como la blockchain es pública, eso genera la ilusión de que hay mucha actividad y los precios suben «solos». Cuando aparece un comprador real atraído por ese movimiento, paga muy por encima del valor real.

Compáralo con un cuadro que pase tres veces por subasta entre coleccionistas amigos para inflar el precio. Cuando llega el comprador legítimo, paga el precio inflado creyéndose la subida.

 

👉 Phishing y wallet drainers

El más peligroso para la víctima individual.

El estafador no necesita venderle nada. Le envía un enlace —en Discord, en Twitter, por email— y la víctima conecta su wallet a una web fraudulenta. Cuando hace clic en algo que parece inofensivo («verificar wallet», «reclamar regalo gratuito», «actualizar perfil»), está firmando en realidad un permiso que le da al estafador la capacidad de mover los activos de su wallet.

Es como si una víctima firmase, sin leer, un poder notarial entregándole a un desconocido la llave de su caja fuerte. La firma es legítima, lo que ha firmado es lo que no.

En segundos la wallet queda vacía. Y cuando llega el caso al investigador, la víctima ya firmó: lo que se reconstruye entonces es el rastro de los NFTs hacia las wallets del estafador.

 

Bidding scams: pujas con monedas falsas

Este es muy sutil.

El estafador hace una puja por un NFT en una moneda con símbolo casi idéntico al de una real, pero con valor distinto. Por ejemplo, una WETH falsa en lugar de la WETH real (que vale lo mismo que un Ether). El vendedor acepta sin mirar el contrato del token y se queda con un activo que vale céntimos creyendo que ha vendido por miles.

Es como cobrar un cheque sin mirar el banco emisor. Si el banco no existe, el cheque vale lo que el papel donde está impreso.

 

Colecciones falsas y arte plagiado

El último patrón. El estafador no crea nada: copia una colección popular existente, la sube a un marketplace que no exige verificación de identidad, y le cambia el nombre por uno casi idéntico (Bored Ape Yatch Club en lugar del original Bored Ape Yacht Club) para vender a compradores que no comprueban la dirección del contrato.

Aquí la investigación tira más del lado de la búsqueda inversa de imágenes que del análisis blockchain. La pregunta clave no es «¿de quién es esta wallet?» sino «¿de dónde salió originalmente esta imagen?».

 

 

Cómo se investiga una estafa NFT paso a paso

Lo bueno de las investigaciones NFT es que la metodología es bastante repetible. Cinco pasos que sigue un analista, en este orden.

 

✅ Paso 1: archivar todo antes de que desaparezca

Lo primero. Lo primerísimo.

En un rug pull el equipo del proyecto borra la web, el Twitter, el Discord y todo lo demás en cuestión de horas. Si no archivas mientras todavía están en pie, pierdes pruebas que después no recuperas.

Y aquí viene un matiz que mucha gente se salta y luego lamenta: no toda captura vale lo mismo. Una captura tuya con el botón «imprimir pantalla» sirve para que tú no pierdas el rastro, pero un abogado de la otra parte la impugna en cinco minutos diciendo que la has manipulado con Photoshop. La evidencia digital tiene niveles, y conviene saber cuál usar en cada momento.

 

➡️ Nivel 1: archivado rápido en servicios públicos

Para no perder el contenido mientras está vivo. Es lo primero que se hace, en los primeros minutos del caso:

• La web del proyecto, con todas sus subpáginas, en Wayback Machine (web.archive.org)
• El Twitter del proyecto y de los miembros del equipo en archive.today, que captura Twitter mejor que Wayback
• El whitepaper o documentación técnica descargada en PDF y guardada

Esto vale para que el contenido no se pierda, pero no tiene valor probatorio formal. Es una red de seguridad, no una prueba de tribunal.

 

➡️ Nivel 2: capturas profesionales con cadena de custodia

Para una investigación seria —y todo caso de estafa que vaya a juzgado lo es— las capturas se hacen con herramientas que dejan registro automático de cuándo se hicieron, qué URL se capturó, y un hash que demuestra que el archivo no se ha tocado después.

La referencia en investigaciones OSINT es Hunchly: una extensión de navegador que captura automáticamente todo lo que visitas durante una investigación, con su timestamp, su URL y su hash criptográfico. Cuando abres el caso ya tienes un dossier ordenado, no un montón de capturas sueltas en el escritorio. Es la herramienta estándar en law enforcement, y desde 2025 forma parte del ecosistema de Maltego.

Para los canales de Discord, donde Hunchly no llega bien, se hacen capturas exhaustivas a mano (announcements, roadmap, presentaciones del equipo) acompañadas siempre de la fecha y hora de la captura visibles en pantalla.

 

➡️ Nivel 3: certificación por un tercero de confianza

Cuando el caso va a tribunal, lo que de verdad blinda la prueba es una certificación emitida por un tercero independiente que no puede ser manipulada por el investigador.

En España la referencia es eGarante. Es un servicio recomendado por la Guardia Civil y por INCIBE que funciona así: le envías un correo con la URL que quieres certificar, eGarante visita esa URL desde su propio servidor, hace una captura y te devuelve un PDF firmado digitalmente con sello de tiempo cualificado. Ese PDF es prácticamente irrebatible en juicio porque la captura no la has hecho tú: la ha hecho un prestador de servicios de confianza acreditado.

eGarante tiene un plan gratuito limitado para webs públicas y planes de pago que cubren páginas con login, redes sociales, vídeos y sesiones completas de navegación. Para el caso típico de un rug pull —donde lo que importa es certificar que en una fecha concreta esa web decía X— el plan gratuito suele bastar.

La otra vía clásica es el acta notarial: un notario se conecta a la web en cuestión, deja constancia en un acta y eso tiene valor de fe pública. Es más caro y más lento que eGarante, pero en casos de cuantías muy altas o cuando se anticipa un litigio largo, sigue siendo el estándar de oro.

Toda esta capa de archivado y certificación es lo que se cubre en el artículo sobre obtención de pruebas en internet y en el de evidencia digital. Sin esto, en un mes no tienes nada que enseñar al juzgado.

 

✅ Paso 2: identificar la wallet del proyecto

Aquí es donde entra Etherscan. Y es más fácil de lo que parece.

Necesitas la dirección del contrato del NFT (la encuentras en el marketplace donde la víctima compró, o en el historial de su wallet). La pegas en el buscador de Etherscan y, si todo está bien, te aparece la página del contrato. En esa página hay dos datos clave:

• La wallet del creador — la dirección que generó el contrato. Suele ser la wallet «del proyecto».
• La wallet que recibe los pagos — a qué dirección iban a parar los Ethers cada vez que alguien compraba un NFT.

Si las dos coinciden (cosa habitual en estafas amateur), ya sabes a quién seguir. Si son distintas, también es información útil: significa que hay alguien intermediario.

 

✅ Paso 3: seguir el dinero

Una vez identificada la wallet del proyecto, ahora toca rastrear a dónde se ha movido el dinero recaudado.

El patrón típico de un rug pull es bastante predecible:

1. La wallet del proyecto recibe muchos pagos pequeños (uno por cada NFT vendido)
2. Días o semanas después, todo el saldo se mueve en una sola transacción a una segunda wallet
3. Esa segunda wallet lo divide en varias direcciones más pequeñas (para no llamar la atención)
4. Cada una de esas subwallets envía finalmente a un exchange (Binance, Coinbase, Kraken) o a un mezclador de cripto

El destino final es lo que importa.

Si los fondos acabaron en un exchange centralizado (un Binance, por ejemplo), hay vía legal real para identificar al titular: a través de comisión rogatoria el juzgado puede pedir el KYC, que es la documentación de identidad que toda persona debe entregar para abrir cuenta en esos servicios.

Si acabaron en un mezclador (un servicio que mezcla cripto de muchos usuarios para borrar el rastro), la investigación se complica pero no muere: el patrón antes y después del mezclador sigue siendo evidencia útil.

 

✅ Paso 4: comprobar si la wallet ya está fichada

Antes de seguir tirando del hilo, conviene comprobar si esa wallet ya está identificada por otros como fraudulenta.

La referencia obligada es Chainabuse. Es una base de datos colaborativa de estafas crypto donde víctimas, investigadores y plataformas reportan direcciones fraudulentas. Está integrada con varias agencias policiales internacionales y permite buscar por dirección de wallet, dominio o usuario de redes sociales.

Si la wallet ya tiene reportes previos, dos cosas:

• Refuerzas la calificación de fraude con casos paralelos (puede haber decenas de víctimas más sin que tu cliente lo sepa)
• A veces los anteriores reportantes han dejado información cruzada útil que no aparece en una búsqueda directa

Si no aparece, registra tú el caso. Estás aportando a una base que otros usarán mañana.

 

✅ Paso 5: OSINT social del equipo

Aquí entra la parte más clásica de OSINT. Y normalmente, la más reveladora.

El equipo del proyecto NFT casi siempre tuvo presencia pública antes del lanzamiento: Twitter, Discord, podcasts, entrevistas, eventos. Aunque después de la fuga lo borren todo, los archivos guardados en el paso 1 te dan material.

Las técnicas que se aplican aquí son las de toda investigación OSINT clásica:

• Cruzar usernames del equipo con otras redes (Telegram, GitHub, Reddit, LinkedIn) — un fundador «anónimo» rara vez es anónimo en todas las plataformas
• Buscar entrevistas o apariciones en podcasts antes del lanzamiento, donde a veces se le escapa información personal
• Comprobar si la foto de perfil del fundador es real con búsqueda inversa de imágenes — muchas veces resulta ser foto de stock, foto de otra persona, o un perfil sintético generado con IA
• Revisar el dominio del proyecto en Whois (puede que en el momento del registro haya quedado un dato real antes de la posterior privacidad)

Cuando el equipo no es completamente profesional en seguridad operativa —y muy pocas veces lo es— este paso es el que cierra el círculo: la wallet ya señalaba a alguien, y ahora tienes nombre, cara y país.

 

Las señales que cantan antes incluso de comprar

Una víctima me contó después de un caso (parafraseo): «Las señales estaban todas. Las vi. Pero quería creerme el proyecto.»

Esto importa porque las red flags de un proyecto NFT fraudulento son razonablemente predecibles. Un investigador entrenado las ve en quince minutos, antes incluso de tocar la blockchain.

 

Señal de alarma	Qué significa
Equipo anónimo, sin nombres reales	No siempre es estafa, pero si pasa algo no hay a quién reclamar
Roadmap demasiado bonito	«Metaverso», «videojuego AAA», «moneda propia»… todo en seis meses, sin presupuesto público que lo respalde
Discord con miles de miembros y conversación nula	Bots inflando la cifra para aparentar comunidad activa
Volumen de venta sospechosamente alto en horas	Wash trading desde wallets recién creadas comprando muchas piezas a la vez
Influencers promocionándolo con descargo mínimo	Promoción pagada disfrazada de recomendación personal
Contrato sin verificar en Etherscan	No se puede leer qué hace realmente el código del NFT
Función de creación de NFTs solo en manos del creador	El equipo puede generar tokens infinitos a voluntad y diluir lo que ya se ha vendido

 

Una sola señal no significa estafa. Tres juntas, sí. Cinco juntas y el caso está prácticamente cerrado antes de empezar.

 

Caso práctico: investigando un rug pull desde cero

Voy con un ejemplo. Datos ficticios, situación basada en patrones reales.

El encargo: Lucía Vargas, abogada en una firma de Madrid, recibe la denuncia de un cliente que ha perdido 12 ETH (unos 28.000€) en una colección llamada «GhostCanvas Genesis». La web está caída, el Twitter borrado, y el cliente solo conserva el identificador del contrato del NFT y una captura de pantalla del proyecto.

 

Día 1, primera hora. Lucía no es experta en cripto. Lo único que tiene es una dirección que empieza por 0x7f...a4c2. La pega en Etherscan y empieza a leer.

Lo que ve, traducido a lenguaje normal:

• El contrato lo creó la wallet 0x9b...fd17
• Esa wallet se creó tres semanas antes del lanzamiento del proyecto (señal de alarma)
• El proyecto recaudó en total 287 ETH en 48 horas
• La última actividad de la wallet fue hace 11 días: una transferencia de 280 ETH hacia una wallet completamente nueva (segunda señal)

 

Día 1, segunda hora. Lucía sigue el rastro. Esa segunda wallet divide el saldo entre seis subwallets en menos de una hora. Cuatro de ellas envían a exchanges grandes (con KYC obligatorio); las otras dos van a un mezclador.

Aquí ya tiene material suficiente para denunciar: hay cuatro puntos de cobro en exchanges que tienen documentación de identidad de los titulares. Vía judicial, eso se puede pedir.

 

Día 2. Mientras espera la denuncia, Lucía rastrea el lado social. La web del proyecto la archivó alguien en Wayback Machine antes de la caída — bingo. Recupera la presentación del equipo: tres personas, todas con avatares de dibujos animados y nombres inventados.

Cruza esos nombres con LinkedIn, GitHub y Reddit usando herramientas de búsqueda de usuario. Y ahí ocurre lo de siempre: uno de los nombres, «GhostKnight_Devv», aparece en GitHub asociado a un email real (porque el primer commit que subió a un repositorio público mostró el correo electrónico de la cuenta). El email lleva a un perfil de LinkedIn con nombre completo, ciudad y empresa anterior.

 

Día 3. Lucía verifica que la wallet del creador ya tenía un reporte en Chainabuse de hace dos meses, asociado a otro proyecto distinto que también acabó en rug pull. Mismo modus operandi. Otras 47 víctimas reportadas en aquel caso.

Caso construido. Wallet identificada, exchange identificado, cara y nombre real del operador identificados, casos previos del mismo perfil documentados.

De un identificador de contrato a un dossier completo en tres días. Eso es lo que es posible cuando el método está claro.

 

 

Aspectos legales: qué se puede investigar y qué no

Toda la investigación on-chain es legal. La blockchain es pública por diseño y consultar Etherscan no es distinto, jurídicamente, a consultar el Registro Mercantil.

Lo que cambia es el límite con respecto a la persona detrás de la wallet:

• Atribución on-chain: totalmente legal. Decir «esta wallet recibió 287 ETH y los movió a Binance» es un hecho público.
• OSINT social: legal mientras la información sea pública. Cruzar nombres de usuario y avatares está dentro del marco de las fuentes abiertas.
• Identificación del titular del exchange: requiere autorización judicial. Nunca se puede pedir directamente como investigador privado.
• Publicar la identidad real de la persona: aunque la información esté disponible, hacerla pública puede vulnerar protección de datos. La identificación se entrega al juzgado, no se publica.

El criterio práctico que aplica un investigador serio: todo lo que entra al expediente debe poder defenderse en un tribunal. Si la fuente o el método no resisten la pregunta del juez, no entra.

 

Preguntas frecuentes sobre estafas NFT

 

Si nunca he tocado un NFT, ¿puedo aceptar un caso así?

Sí, siempre y cuando dediques las primeras horas a entender el ecosistema básico antes de empezar a investigar. La metodología de fondo es la misma que ya conoces de cualquier investigación OSINT: rastrear el dinero, archivar evidencia, cruzar fuentes, identificar al responsable. Lo único nuevo son las herramientas (Etherscan, Chainabuse) y los conceptos (blockchain, wallet, contrato). Un par de días aprendiendo lo básico es suficiente para empezar a ser útil.

 

¿Se puede recuperar el dinero perdido en una estafa NFT?

En la mayoría de casos, no del todo. La recuperación real depende de que los fondos hayan acabado en un exchange centralizado con KYC y de que la denuncia llegue antes de que el estafador retire el dinero a euros. Si las dos cosas se dan, las autoridades pueden solicitar el bloqueo de la cuenta. Hay que desconfiar absolutamente de cualquier «empresa de recuperación» que se ofrezca a hacer la operación a cambio de un pago previo: la mayoría son una segunda estafa montada sobre la primera.

 

¿Qué hago si el cliente firmó algo y se vaciaron sus NFTs?

Lo primero, asume que la wallet está comprometida y mueve cualquier activo restante a una wallet nueva. Lo segundo, revoca todos los permisos pendientes de esa wallet con Revoke.cash — aunque ya hayan vaciado lo principal, puede haber permisos latentes que no se hayan ejecutado. Lo tercero, denuncia y reporta el contrato malicioso en Chainabuse para evitar que más gente caiga en la misma estafa.

 

¿Hace falta saber programar para investigar una estafa NFT?

No. Para el 90% de los casos basta con saber leer un explorador de bloques (Etherscan), entender el rastro de transacciones y aplicar OSINT clásica al equipo del proyecto. Saber programar ayuda en investigaciones más complejas, donde hay que leer el código del contrato del NFT para entender exactamente qué hace, pero no es imprescindible para empezar. La inmensa mayoría de estafas NFT no requieren más que el método paso a paso descrito en este artículo.

 

¿Una wallet se puede investigar sin saber a quién pertenece?

Sí, y es lo habitual al inicio de cualquier investigación. La wallet en sí ya es información: cuándo se creó, qué activos ha movido, con qué otras wallets ha interactuado, en qué exchanges ha aparecido. Toda esa huella queda registrada de forma permanente en la blockchain y se puede consultar desde un explorador. La identificación del titular llega después, cruzando esa actividad con OSINT social y, si hace falta, con la cooperación judicial del exchange donde acabaron los fondos.

 

 

Las estafas NFT cambian de forma cada año —rug pulls hoy, wallet drainers mañana, otra cosa pasado—, pero la metodología de investigación es estable. Archivar antes de que se borre. Identificar el contrato y la wallet. Seguir el dinero. Cruzar bases públicas. OSINT social del equipo.

En ese orden y con paciencia, no hace falta ser experto en cripto para llegar a algo serio.

Como decía Sherlock Holmes: ya conoces mis métodos, ahora aplícalos. 😉