Lavado de dinero y financiación del terrorismo con criptoactivos

Cada control de un programa de cumplimiento en materia de criptoactivos existe para detener, detectar o reportar una forma específica de uso indebido de los criptoactivos. Si no puede describir cómo los delincuentes realmente mueven valor a través de exchanges, billeteras y protocolos, no puede juzgar si una regla, un umbral de verificación o una puntuación de riesgo del cliente es adecuado para su finalidad. Esta lección aplica el modelo clásico de lavado de dinero a los criptoactivos, repasa las principales tipologías y explica por qué el registro público es tanto una herramienta para los equipos de cumplimiento como un riesgo.

Las tres etapas aplicadas a los criptoactivos

El modelo teórico del lavado de dinero tiene tres etapas. Es una simplificación (los esquemas reales omiten, repiten o combinan etapas), pero sigue siendo el vocabulario compartido de investigadores, supervisores y unidades de inteligencia financiera.

Dos características cambian el panorama respecto de las monedas fiduciarias. En primer lugar, la delincuencia nativa de los criptoactivos (ransomware, ataques informáticos, estafas pagadas en criptoactivos) omite por completo la colocación: los fondos ilícitos nacen en la cadena, por lo que la principal tarea de quien lava el dinero es la estratificación y encontrar una vía de salida fiable. En segundo lugar, la vía de salida es el cuello de botella. Casi todos los esquemas necesitan finalmente un servicio de custodia, por lo general un exchange, una mesa OTC o un proveedor de pagos, para convertir los criptoactivos en dinero fiduciario que pueda gastarse. Ese servicio es su empresa.

Las principales tipologías

El GAFI, los equipos de vigilancia del Consejo de Seguridad de la ONU y las unidades de inteligencia financiera describen patrones recurrentes. Un profesional de cumplimiento debe ser capaz de reconocer cada uno e identificar el control dirigido a él.

Varias de estas tipologías se superponen. Los atacantes informáticos vinculados a Estados combinan robo, estratificación y evasión de sanciones. Las redes de estafa utilizan mulas financieras que abren cuentas en exchanges para convertir los fondos de las víctimas en dinero fiduciario. Las señales de alerta detalladas de cada patrón se abordan en la lección Señales de alerta y tipologías; aquí el objetivo es conocer los patrones que existen y saber que cada uno forma parte de su evaluación de riesgos.

Casos públicos como ejemplos

Los casos públicos muestran qué falló, que es lo que un equipo de cumplimiento necesita aprender.

• Ransomware: en 2021, el operador de un importante oleoducto de combustible pagó un rescate de unos 75 BTC. Posteriormente, los investigadores rastrearon la mayor parte hasta una sola dirección y la recuperaron, lo que demuestra que los fondos procedentes del ransomware siguen siendo visibles en la cadena hasta que llegan a un intermediario que coopera.
• Robos vinculados a Estados: en marzo de 2024, el Grupo de Expertos del Consejo de Seguridad de la ONU sobre la RPDC informó de que estaba investigando 58 presuntos ciberataques de la RPDC contra empresas relacionadas con criptoactivos entre 2017 y 2023, por un valor de unos 3.000 millones de USD. El robo de unos 1.460 millones de USD al exchange Bybit en febrero de 2025, atribuido a actores norcoreanos, fue el mayor robo individual registrado hasta ese momento. Los activos robados se canjearon y se transfirieron entre cadenas mediante puentes en cuestión de días.
• Estratificación de fondos procedentes de ataques informáticos: las personas condenadas por lavar los fondos del robo a Bitfinex de 2016 utilizaron miles de transacciones automatizadas, saltos entre cadenas, cuentas en mercados de la darknet como cuentas de paso, conversión a criptomonedas de privacidad y cuentas abiertas con identidades falsas en exchanges. Esas cuentas eran la puerta de acceso a la conversión en dinero fiduciario, por lo que la verificación de identidad en cada exchange era importante.
• Financiación del terrorismo: en 2020, las autoridades desarticularon campañas en línea de grupos terroristas que pedían a sus simpatizantes donaciones en bitcoin y publicaban direcciones en redes sociales y canales de mensajería. Una vez conocidas, esas direcciones podían incluirse en las verificaciones.

Seudonimato no es anonimato

La mayoría de las cadenas de bloques públicas son seudónimas: las transacciones están vinculadas a direcciones, no a nombres, pero cada transacción es pública, permanente y tiene una marca de tiempo. De ello se derivan tres hechos para el cumplimiento.

1. Un punto identificado permite acceder a un historial. Cuando un cliente verifica su identidad en su empresa, cada dirección desde la que deposita o a la que retira fondos queda vinculada a una persona real en sus registros, y el historial en la cadena de esas direcciones se convierte en evidencia.
2. El análisis puede agrupar y etiquetar direcciones. Las heurísticas de agrupación y la atribución permiten a los analistas estimar qué direcciones pertenecen a una misma entidad y cuáles pertenecen a servicios, partes sancionadas o billeteras delictivas. Estas estimaciones tienen tasas de error (véase la lección de IDFE-CF Agrupación y heurística de propiedad común de las entradas).
3. La ofuscación deja rastros. El uso de un mezclador, un puente o una criptomoneda de privacidad es visible en los puntos de entrada y salida: tanto el depósito en el mezclador como el retiro hacia su plataforma aparecen en la cadena, incluso cuando se rompe el vínculo entre ambos.

El anonimato real es más difícil de lograr de lo que esperan los delincuentes, pero no es imposible. Las criptomonedas de privacidad ocultan los importes y las contrapartes por diseño, y algunas técnicas de mezcla impiden el rastreo en la práctica. La lección Riesgos tecnológicos específicos de los criptoactivos trata estas características como factores de riesgo.

Interpretación de las cifras sobre el volumen de actividad delictiva

A menudo se pregunta a los equipos de cumplimiento cuál es la magnitud del problema. Utilice las cifras con cautela.

• La Oficina de las Naciones Unidas contra la Droga y el Delito lleva mucho tiempo citando estimaciones según las cuales cada año se lava entre el 2 % y el 5 % del PIB mundial. La cifra es antigua, muy aproximada y abarca todos los canales, no solo los criptoactivos.
• Las empresas de análisis de cadenas de bloques publican estimaciones de la proporción ilícita del volumen en la cadena. Estas estimaciones solo contabilizan las direcciones ya etiquetadas como ilícitas, por lo que suelen revisarse al alza a medida que se identifican más direcciones.
• La composición de los activos también cambia. Las stablecoins han superado a bitcoin como principal activo en los flujos ilícitos de muchas tipologías, lo que es relevante para determinar qué tokens y cadenas debe poder verificar una empresa.

Trate cada cifra como un ejemplo correspondiente a una fecha concreta y dependiente de su método. En un documento para el consejo de administración o en una evaluación de riesgos, indique quién la estimó, cuándo y cómo, y nunca se base en una cifra del conjunto del mercado para establecer la calificación de riesgo de su propia empresa. Lo que importa es la exposición que muestran sus propios clientes y flujos.

De la tipología al control

El hábito práctico que fomenta este curso consiste en convertir cada tipología en una pregunta que su programa debe responder.

Cada fila reaparece más adelante en el curso como un control concreto con evidencia: la verificación en la lección Verificación de billeteras y transacciones, el monitoreo en la lección Monitoreo de transacciones para empresas de criptoactivos y la presentación de reportes en la lección Obligaciones de reporte de operaciones sospechosas.

Enfoque del examen: colocación, estratificación e integración y sus equivalentes en criptoactivos; por qué los fondos ilícitos nativos de los criptoactivos omiten la colocación y por qué la vía de salida a dinero fiduciario es el cuello de botella; las siete tipologías principales y dónde observa cada una un VASP; qué muestran los casos públicos (recuperación de rescates de ransomware, robos de la RPDC, lavado de los fondos de Bitfinex, campañas de donación terroristas) sobre las fallas de los controles; por qué seudonimato no es anonimato y cómo un cliente verificado vincula un historial de direcciones; por qué las cifras publicadas sobre el volumen de actividad delictiva son ejemplos correspondientes a una fecha concreta y dependientes del método, no una base para la calificación de riesgo de una empresa.