Riesgos tecnológicos específicos de los criptoactivos

Los criptoactivos añaden una categoría de riesgo que los programas tradicionales de prevención del lavado de activos apenas tenían que considerar: la propia tecnología. Que una empresa admita una criptomoneda de privacidad, acepte depósitos procedentes de un puente o permita a sus clientes retirar fondos a cualquier dirección modifica su exposición tanto como la identidad de sus clientes. El responsable de cumplimiento debe comprender cada funcionalidad lo suficiente para calificarla, controlarla y explicar al consejo de administración por qué la empresa la acepta, la limita o la rechaza.

La tecnología como categoría de riesgo

La Recomendación 15 exige que las empresas evalúen los riesgos de los nuevos productos, prácticas comerciales, mecanismos de distribución y tecnologías antes de su lanzamiento, y la Guía actualizada del GAFI de 2021 sobre activos virtuales analiza las funcionalidades que aumentan el anonimato u ocultan los flujos. En la evaluación de riesgos de toda la empresa (véase la lección El enfoque basado en el riesgo), la categoría de tecnologías plantea tres preguntas para cada funcionalidad:

1. ¿Rompe el rastro? ¿Puede moverse valor sin un vínculo visible entre el origen y el destino?
2. ¿Elimina al intermediario? ¿Puede moverse valor sin que ningún sujeto obligado aplique la CDD?
3. ¿Podemos verlo? ¿Nuestras herramientas de análisis y de verificación cubren la cadena, el token o el protocolo?

Una respuesta de "sí, sí, no" corresponde al perfil de una funcionalidad de alto riesgo.

Criptomonedas de privacidad, mezcladores y CoinJoin

Las criptomonedas de privacidad, que el GAFI denomina criptomonedas con anonimato reforzado, ocultan por diseño a los remitentes, los destinatarios o los importes, por ejemplo, mediante firmas de anillo, direcciones sigilosas o pruebas de conocimiento cero. Algunas ofrecen privacidad opcional, en cuyo caso las transacciones transparentes siguen siendo rastreables. Para un VASP, el problema es concreto: una vez que los fondos entran en un fondo común blindado, las herramientas de análisis no pueden mostrar de dónde procedían los depósitos.

Los mezcladores agrupan fondos de muchos usuarios y los distribuyen a direcciones nuevas. Los mezcladores centralizados asumen la custodia; los mezcladores basados en contratos inteligentes, como Tornado Cash, funcionan sin que un operador mantenga los fondos. CoinJoin combina entradas de varios usuarios en una sola transacción con salidas de igual valor. La mezcla tiene usos legítimos de privacidad, pero los mezcladores también han desempeñado un papel central en el lavado de fondos procedentes del ransomware y de robos vinculados a la RPDC, y los indicadores de alerta del GAFI (septiembre de 2020) incluyen los fondos procedentes directamente de servicios de mezcla. La forma en que aparece la mezcla en la cadena se aborda en las lecciones de IDFE-CF Mezcladores con custodia, CoinJoin y Mezcladores basados en contratos inteligentes; las sanciones sobre contratos inteligentes se abordan en la lección Verificación de billeteras y transacciones.

Puentes, saltos entre cadenas, DeFi y DEX

Los puentes trasladan valor entre cadenas bloqueándolo o quemándolo en una cadena y liberándolo o acuñándolo en otra. Los saltos entre cadenas consisten en utilizar puentes e intercambios para trasladar valor rápidamente a través de varias cadenas, de modo que cada vista analítica solo muestra un fragmento. Tras el robo de unos USD 620 millones del puente Ronin en 2022 y el robo a Bybit en 2025, ambos atribuidos a actores vinculados a la RPDC, los activos robados atravesaron varias cadenas en cuestión de días. Los propios puentes también son objetivos de ataques informáticos.

Los protocolos DeFi y los exchanges descentralizados (DEX) permiten a los usuarios intercambiar, prestar y tomar prestado sin un custodio. El riesgo para un VASP es indirecto: los fondos que llegan de un enrutador de un DEX o de un fondo común de préstamos no incluyen información sobre quién los aportó, y el protocolo no aplica CDD. Sus controles son el análisis de exposición en la cadena, la cobertura de las cadenas implicadas y los métodos de rastreo entre cadenas descritos en la lección de IDFE-CF Saltos entre cadenas y rastreo entre cadenas.

Billeteras no alojadas, P2P y OTC

Las billeteras no alojadas están controladas por el usuario, sin intermediario. La mayoría de las transferencias hacia y desde ellas son legítimas, pero las transferencias P2P entre billeteras no alojadas se realizan completamente fuera del perímetro de los sujetos obligados, una brecha que las actualizaciones específicas del GAFI han destacado reiteradamente. Los controles de los VASP se centran en el punto de contacto: recopilar información sobre la contraparte, demostrar la titularidad de la dirección cuando el riesgo lo exija y monitorear la exposición (véase la lección Billeteras no alojadas y transferencias autocustodiadas).

Las plataformas P2P y los intermediarios OTC generan un riesgo relacionado: un cliente que realiza operaciones de gran volumen para terceros puede estar gestionando un exchange no registrado a través de su cuenta, lo que se conoce como un servicio anidado. Las mesas OTC que liquidan grandes operaciones en efectivo o a través de terceros son una vía clásica para convertir dinero fiduciario de origen delictivo en criptoactivos y viceversa.

Quioscos, NFT y stablecoins a gran escala

Los cajeros automáticos y quioscos de criptoactivos combinan el efectivo con la entrega instantánea de criptoactivos. Sus riesgos recurrentes son las víctimas de estafas que reciben instrucciones para depositar efectivo, las mulas de dinero que realizan muchas transacciones pequeñas y los controles de identidad deficientes para importes bajos. Los operadores mitigan estos riesgos mediante límites de transacción, verificación de identidad, advertencias en pantalla, monitoreo del uso repetido en distintos quioscos y verificación de las direcciones de destino.

Los NFT generalmente quedan fuera de la definición de activo virtual cuando se utilizan como objetos de colección (véase la lección El VASP como sujeto obligado), pero en los mercados se observan operaciones ficticias, manipulación de precios y ventas de alto valor entre billeteras vinculadas que pueden encubrir transferencias de valor.

Las stablecoins son ahora el principal activo de liquidación de muchos flujos legítimos e ilícitos. El informe específico del GAFI sobre stablecoins y billeteras no alojadas (marzo de 2026) se basó en datos del sector que muestran que se han convertido en la clase de activo más utilizada en los flujos ilícitos de activos virtuales, un cambio que se explica por su estabilidad de precios, su liquidez y su alcance en distintas cadenas. Para la evaluación de riesgos, esto significa que la exposición a stablecoins, por token y por cadena, es un factor importante por sí mismo. Las stablecoins también ofrecen una medida de mitigación de la que carece la mayoría de los activos: muchos emisores pueden congelar direcciones, y el mismo informe incluyó entre las buenas prácticas exigir que los emisores puedan congelar, quemar o retirar tokens del mercado secundario. Un equipo de cumplimiento debe saber qué stablecoins admite, en qué cadenas y si sus emisores realizan congelaciones en la práctica.

Cómo se incorpora cada funcionalidad a la evaluación de riesgos

Las calificaciones deben basarse en sus propios datos, no en una tabla genérica. La consulta siguiente mide qué parte del volumen entrante mensual procede directamente de cada categoría analítica, lo que proporciona a la EWRA una base objetiva y permite al consejo de administración observar las tendencias.

-- Volumen entrante mensual por categoría de exposición directa (esquema ficticio)
SELECT DATE_TRUNC('month', d.block_time)          AS month,
       COALESCE(e.category, 'unlabeled')          AS category,  -- mezclador, puente, dex...
       COUNT(*)                                   AS deposits,
       SUM(d.amount_usd)                          AS volume_usd,
       SUM(d.amount_usd) * 1.0 / SUM(SUM(d.amount_usd))
         OVER (PARTITION BY DATE_TRUNC('month', d.block_time)) AS share_of_month
FROM deposits d
LEFT JOIN address_exposure e
  ON  e.address = d.source_address
  AND e.exposure_type = 'direct'
  AND e.snapshot_date = d.screened_on          -- etiqueta conocida en el momento de la verificación
GROUP BY DATE_TRUNC('month', d.block_time), COALESCE(e.category, 'unlabeled')
ORDER BY month, volume_usd DESC;

La consulta vincula cada depósito con la etiqueta analítica que correspondía a su dirección de origen el día en que se verificó, de modo que las cifras reflejan lo que la empresa sabía en ese momento. Una unión izquierda mantiene los depósitos sin etiqueta en el total, lo que evita que las proporciones se inflen, y la función de ventana divide el volumen de cada categoría entre el total del mes. Las funciones de fecha difieren entre motores (algunos utilizan DATETRUNC o DATE_FORMAT). La exposición indirecta y las limitaciones de las etiquetas se abordan en la lección Análisis de blockchain para el cumplimiento.

Mitigación frente a la eliminación indiscriminada del riesgo

Ante una funcionalidad de riesgo, una empresa dispone de una escala de opciones: aceptarla con monitoreo, aplicar límites o debida diligencia reforzada, restringir la funcionalidad (por ejemplo, permitir depósitos, pero no retiros hacia determinados protocolos) o rechazarla por completo. El enfoque basado en el riesgo exige que la elección se derive de la evaluación, caso por caso.

El GAFI ha advertido reiteradamente contra la eliminación indiscriminada del riesgo, que consiste en excluir categorías enteras de clientes o actividades para evitar el riesgo en lugar de gestionarlo. Su declaración de octubre de 2014 señaló que el enfoque basado en el riesgo implica decisiones caso por caso, no una eliminación indiscriminada del riesgo, y su balance de octubre de 2021 sobre las consecuencias no previstas de los estándares constató que la eliminación del riesgo desplaza la actividad hacia canales menos transparentes y perjudica la inclusión financiera. Las modificaciones de febrero de 2025 a la Nota Interpretativa de la R.1 piden a los supervisores que vigilen el cumplimiento excesivo basado en una comprensión parcial de los riesgos.

Rechazar una funcionalidad sigue siendo legítimo cuando la empresa realmente no puede controlarla, como ocurre con una criptomoneda de privacidad cuyas transacciones no pueden verificar sus herramientas. El criterio es si la decisión está documentada, se basa en la evaluación propia de la empresa y se revisa cuando cambian las herramientas o los hechos. "Bloqueamos todas las transferencias a billeteras no alojadas porque era más fácil" no cumple ese criterio; "no incluimos el activo Z en nuestra oferta porque no existe cobertura de verificación, y revisamos la decisión trimestralmente" sí lo cumple.

Enfoque del examen: la obligación de la R.15 de evaluar las nuevas tecnologías antes de su lanzamiento; las tres preguntas (ruptura del rastro, eliminación del intermediario, visibilidad) para calificar una funcionalidad; los riesgos de las criptomonedas de privacidad, los mezcladores y CoinJoin, los puentes y los saltos entre cadenas, DeFi y DEX, las billeteras no alojadas y P2P, OTC y los servicios anidados, los quioscos, los NFT y las stablecoins; por qué las stablecoins son tanto un canal ilícito importante como una fuente de mitigación mediante las congelaciones de los emisores; la medición de la exposición con etiquetas correspondientes al momento evaluado; la escala de opciones de mitigación y por qué el GAFI rechaza la eliminación indiscriminada del riesgo, pero permite los rechazos documentados.