Un sandwich attack no es un delito autónomo recogido como tal en el Código Penal español, pero las pérdidas que provoca pueden denunciarse como estafa (artículo 248 del Código Civil penal, es decir, artículo 248 del Código Penal) cuando existe engaño, perjuicio patrimonial y ánimo de lucro, o reclamarse por la vía civil si no se aprecia delito. La denuncia se presenta ante la Policía Nacional, la Guardia Civil o directamente en el juzgado de instrucción, aportando el registro de las transacciones en la blockchain como prueba principal.
Este tipo de manipulación, cada vez más frecuente en exchanges descentralizados (DEX), genera dudas legítimas sobre si existe una vía penal real para recuperar lo perdido. A continuación se explica cómo funciona, qué encaje legal tiene y los pasos concretos para denunciarlo.
¿Cómo funciona un sandwich attack?
El ataque se produce en el espacio de tiempo que transcurre entre que una persona envía una transacción a un exchange descentralizado y el momento en que esa transacción queda confirmada en la red. Durante ese intervalo, la operación permanece visible en la mempool, la zona de espera pública donde se acumulan las transacciones pendientes.
Un atacante, normalmente mediante bots automatizados, detecta esa operación pendiente y coloca dos transacciones propias: una justo antes, pagando una comisión de gas superior para que se ejecute primero y altere el precio del activo, y otra justo después, para cerrar la operación y obtener el beneficio derivado de la subida artificial de precio provocada. La víctima acaba comprando o vendiendo a un precio peor del que esperaba, sin que en apariencia nadie haya incumplido ninguna norma del protocolo.
¿Es esto un delito en España?
La dificultad principal para encajar el sandwich attack en el Código Penal es que no existe un tipo específico para esta conducta y que el mecanismo técnico plantea dudas sobre si concurre el elemento de "engaño bastante" que exige el delito de estafa. El protocolo funciona tal y como está diseñado; no se engaña al sistema, sino que se explota una característica pública de la red (la visibilidad de la mempool) para obtener una ventaja.
Aun así, pueden valorarse varias vías según las circunstancias concretas:
Estafa (artículo 248 del Código Penal)
Si se acredita que el atacante empleó algún tipo de engaño adicional, ocultación o manipulación dirigida específicamente contra la víctima (por ejemplo, mediante información falsa sobre el funcionamiento de una plataforma), podría plantearse la vía de la estafa. Si la cuantía defraudada supera los 50.000 euros, entraría en juego el subtipo agravado del artículo 250.1.5º del Código Penal, con penas más elevadas.
Daños informáticos o acceso ilícito
Cuando el ataque implica la explotación de una vulnerabilidad técnica en un contrato inteligente, más allá de la simple observación de la mempool, podría valorarse si concurren los tipos penales relativos a daños informáticos recogidos en el Código Penal, aunque la prueba técnica necesaria suele ser compleja.
Vía civil como alternativa
Cuando no se aprecian elementos suficientes para la vía penal, sigue existiendo la posibilidad de reclamar por responsabilidad extracontractual conforme al artículo 1902 del Código Civil, si se logra identificar al responsable y acreditar el daño causado, algo que en la práctica resulta especialmente complicado por el pseudoanonimato de las direcciones de blockchain.
Requisitos para poder denunciar
Antes de acudir a la vía penal o civil conviene reunir una serie de elementos mínimos:
- Identificación exacta de las transacciones implicadas (hash de la operación propia y de las transacciones anterior y posterior sospechosas).
- Capturas de pantalla del exploratore de bloques correspondiente que muestren el orden y el contenido de las tres transacciones.
- Documento acreditativo de la cuantía perdida, calculada comparando el precio esperado con el precio realmente ejecutado.
- Información sobre el exchange descentralizado o plataforma utilizada y, si es posible, su domicilio o entidad gestora.
Dónde y cómo denunciar en Barcelona
La denuncia puede presentarse en cualquiera de estas vías:
Cuerpos policiales especializados
La Policía Nacional cuenta con la Brigada de Investigación Tecnológica, especializada en delitos cometidos a través de internet y criptoactivos. La Guardia Civil dispone del Grupo de Delitos Telemáticos con competencias similares. En Barcelona también puede acudirse a los Mossos d'Esquadra, que disponen de unidades de investigación de delitos tecnológicos.
Juzgados de Instrucción
La denuncia también puede presentarse directamente ante los Juzgados de Instrucción de Barcelona, situados en la Ciutat de la Justícia, que serán los encargados de incoar diligencias previas si consideran que existen indicios de delito.
Fiscalía
La Fiscalía Provincial de Barcelona cuenta con una sección especializada en criminalidad informática que puede recibir denuncias e impulsar la investigación cuando se aprecian indicios penales suficientes.
Plazos para denunciar
El plazo de prescripción del delito de estafa se rige por el artículo 131 del Código Penal. En su modalidad básica, al estar castigada con pena de prisión de hasta tres años, prescribe a los cinco años desde que se cometió el hecho. Si concurre el subtipo agravado por razón de la cuantía (más de 50.000 euros), el plazo de prescripción se amplía a diez años. Conviene no demorar la denuncia, ya que cuanto más tiempo pasa, más difícil resulta reunir prueba técnica fiable, especialmente si la plataforma utilizada cierra o deja de operar.
Qué hacer si se ha sufrido un sandwich attack
Lo recomendable es, en primer lugar, documentar de inmediato todas las transacciones afectadas sin esperar a que pase el tiempo. En segundo lugar, conviene valorar con un profesional si los hechos concretos permiten sostener una denuncia penal viable o si resulta más realista plantear una reclamación civil, especialmente cuando la identidad del atacante es difícil de determinar. En cualquier caso, la recuperación del dinero perdido no está garantizada en ninguna de las dos vías, ya que depende de factores como la identificación del responsable y la ejecución efectiva de cualquier resolución favorable.
Preguntas frecuentes
¿El sandwich attack está tipificado como delito específico en España?
No existe un tipo penal específico para esta conducta. Debe analizarse caso por caso si encaja en figuras generales como la estafa, en función de si hubo engaño dirigido a la víctima.
¿Puedo denunciar aunque no sepa quién está detrás del ataque?
Sí, se puede presentar denuncia contra persona desconocida para que sean los investigadores quienes intenten identificar al responsable a través del análisis de las direcciones implicadas.
¿Qué pruebas son más importantes para una denuncia de este tipo?
El historial completo de las tres transacciones (la del atacante antes, la de la víctima y la del atacante después) extraído de un explorador de blockchain público es la prueba técnica más relevante.
¿Se puede recuperar el dinero perdido en un sandwich attack?
No existe garantía de recuperación. Depende de si se identifica al responsable, de si tiene activos localizables y del resultado del procedimiento judicial correspondiente.
¿Influye el Reglamento europeo MiCA en este tipo de casos?
El Reglamento (UE) 2023/1114, conocido como MiCA, regula los mercados de criptoactivos en la Unión Europea, pero su aplicación a este tipo de manipulaciones concretas dentro de protocolos descentralizados todavía genera dudas interpretativas que conviene valorar con asesoramiento especializado en cada caso.