Lavado de dinero y financiamiento del terrorismo con criptoactivos

Cada control de un programa de cumplimiento de criptoactivos existe para detener, detectar o reportar una forma específica de abusar de los criptoactivos. Si no puedes describir cómo los delincuentes transfieren valor realmente a través de exchanges, wallets y protocolos, no puedes determinar si una regla, un umbral de monitoreo o una puntuación de riesgo del cliente es adecuada para su propósito. Esta lección adapta el modelo clásico de lavado de dinero a los criptoactivos, repasa las principales tipologías y explica por qué el libro mayor público es tanto una herramienta para los equipos de cumplimiento como un riesgo.

Las tres etapas adaptadas a los criptoactivos

El modelo académico del lavado de dinero consta de tres etapas. Es una simplificación (los esquemas reales pueden omitir, repetir o combinar etapas), pero sigue siendo el vocabulario común de investigadores, supervisores y unidades de inteligencia financiera.

Dos características cambian el panorama en comparación con el dinero fiduciario. En primer lugar, los delitos propios del ecosistema cripto (ransomware, hackeos y estafas pagadas en criptoactivos) omiten por completo la colocación: los fondos ilícitos se originan en la cadena, por lo que la principal tarea de quien los lava es la estratificación y encontrar una vía de salida fiable. En segundo lugar, la vía de salida es el cuello de botella. Casi todos los esquemas necesitan, tarde o temprano, un servicio de custodia —normalmente un exchange, una mesa OTC o un proveedor de pagos— para convertir los criptoactivos en dinero fiduciario que se pueda gastar. Ese servicio es tu empresa.

Las principales tipologías

El GAFI, los equipos de monitoreo del Consejo de Seguridad de la ONU y las unidades de inteligencia financiera describen patrones recurrentes. Un profesional de cumplimiento debe poder reconocer cada uno e identificar el control dirigido a abordarlo.

Varias de estas tipologías se superponen. Los hackers vinculados a Estados combinan robos, estratificación y evasión de sanciones. Las redes de estafas utilizan mulas de dinero que abren cuentas en exchanges para retirar los fondos de las víctimas. La lección Señales de alerta y tipologías cubre las señales de alerta específicas de cada patrón; aquí el objetivo es conocer los patrones existentes y entender que cada uno debe formar parte de tu evaluación de riesgos.

Casos públicos como ejemplos

Los casos públicos muestran qué falló, que es lo que un equipo de cumplimiento necesita aprender.

• Ransomware: en 2021, el operador de un importante oleoducto pagó un rescate de unos 75 BTC. Más tarde, los investigadores rastrearon la mayor parte hasta una sola dirección y la recuperaron, lo que demuestra que los fondos de ransomware siguen siendo visibles en la cadena hasta que llegan a un intermediario que coopera.
• Robos vinculados a Estados: en marzo de 2024, el Grupo de Expertos del Consejo de Seguridad de la ONU sobre la RPDC informó que investigaba 58 presuntos ciberataques de la RPDC contra empresas relacionadas con criptoactivos entre 2017 y 2023, valorados en unos USD 3 mil millones. El robo de unos USD 1,46 mil millones del exchange Bybit en febrero de 2025, atribuido a actores norcoreanos, fue el mayor robo individual registrado hasta ese momento. Los activos robados se intercambiaron y se transfirieron entre cadenas en cuestión de días.
• Estratificación de fondos obtenidos mediante hackeos: las personas condenadas por lavar el robo de Bitfinex de 2016 utilizaron miles de transacciones automatizadas, saltos entre cadenas, cuentas de mercados de la dark web como intermediarias, conversión a monedas de privacidad y cuentas abiertas con identidades falsas en exchanges. Esas cuentas fueron la puerta de entrada para retirar los fondos, por lo que la verificación de identidad en cada exchange fue importante.
• Financiamiento del terrorismo: en 2020, las autoridades interrumpieron campañas en línea de grupos terroristas que pedían donaciones en bitcoin a sus simpatizantes y publicaban direcciones en redes sociales y canales de mensajería. Una vez conocidas, esas direcciones podían incluirse en los controles de monitoreo.

Seudonimidad no significa anonimato

La mayoría de las cadenas de bloques públicas son seudónimas: las transacciones están vinculadas a direcciones, no a nombres, pero cada transacción es pública, permanente y tiene una marca de tiempo. De ello se desprenden tres hechos relevantes para el cumplimiento.

1. Un punto identificado permite acceder al historial. Cuando un cliente verifica su identidad en tu empresa, todas las direcciones desde las que deposita o a las que retira quedan vinculadas a una persona real en tus registros, y el historial en la cadena de esas direcciones se convierte en evidencia.
2. Las herramientas de análisis pueden agrupar y etiquetar direcciones. Las heurísticas de agrupación y la atribución permiten a los analistas estimar qué direcciones pertenecen a una misma entidad y cuáles corresponden a servicios, partes sancionadas o wallets delictivas. Estas estimaciones tienen márgenes de error (consulta la lección IDFE-BA Qué es la agrupación y por qué es importante).
3. La ofuscación deja rastros. El uso de un mezclador, un puente o una moneda de privacidad es visible en los puntos de entrada y salida: tanto el depósito en el mezclador como el retiro hacia tu plataforma aparecen en la cadena, aunque se haya roto el vínculo entre ambos.

El anonimato real es más difícil de alcanzar de lo que esperan los delincuentes, pero no es imposible. Las monedas de privacidad ocultan por diseño los montos y las contrapartes, y algunas técnicas de mezcla dificultan el rastreo en la práctica. La lección Riesgos tecnológicos específicos de los criptoactivos aborda estas características como factores de riesgo.

Cómo interpretar las cifras sobre el volumen de delitos

A menudo se pregunta a los equipos de cumplimiento cuál es la magnitud del problema. Las cifras deben utilizarse con cautela.

• La Oficina de las Naciones Unidas contra la Droga y el Delito cita desde hace tiempo estimaciones según las cuales cada año se lava entre el 2 % y el 5 % del PIB mundial. La cifra es antigua, muy aproximada y abarca todos los canales, no solo los criptoactivos.
• Las empresas de análisis de cadenas de bloques publican estimaciones de la proporción de volumen en la cadena que es ilícita. Estas estimaciones solo cuentan las direcciones que ya se han etiquetado como ilícitas, por lo que suelen revisarse al alza a medida que se identifican más direcciones.
• La composición de los activos también cambia. En muchas tipologías, las monedas estables han superado al bitcoin como principal activo utilizado en flujos ilícitos, lo que influye en los tokens y las cadenas que una empresa debe poder monitorear.

Considera cada cifra una ilustración fechada que depende del método utilizado. En un informe para la junta directiva o en una evaluación de riesgos, indica quién la estimó, cuándo y cómo; nunca te bases en una cifra para todo el mercado al establecer la calificación de riesgo de tu propia empresa. Lo que importa es la exposición que muestran tus propios clientes y flujos.

De la tipología al control

El hábito práctico que desarrolla este curso consiste en convertir cada tipología en una pregunta que tu programa debe poder responder.

Cada fila reaparece más adelante en el curso como un control concreto con evidencia: el monitoreo en la lección Monitoreo de wallets y transacciones, la supervisión en la lección Monitoreo de transacciones para empresas de criptoactivos y los reportes en la lección Obligaciones de reportar transacciones sospechosas.

Enfoque del examen: las etapas de colocación, estratificación e integración y sus equivalentes en criptoactivos; por qué los fondos procedentes de delitos propios del ecosistema cripto omiten la colocación y por qué la vía de salida a dinero fiduciario es el cuello de botella; las siete tipologías principales y dónde las detecta un VASP; lo que muestran los casos públicos (recuperación de fondos de ransomware, robos de la RPDC, lavado de fondos del caso Bitfinex y campañas de donación terroristas) sobre las fallas de los controles; por qué la seudonimidad no es anonimato y cómo un cliente cuya identidad se ha verificado permite vincular el historial de una dirección; por qué las cifras publicadas sobre el volumen de delitos son ilustraciones fechadas y dependientes del método, no una base para determinar la calificación de riesgo propia de una empresa.