Exposición a sanciones y filtrado · Lección 2 de 5
Riesgos de sanciones específicos de las criptomonedas
9 min de lectura
Las criptomonedas cambian la forma en que surge la exposición a sanciones. Una parte designada puede abrir una billetera en segundos, transferir valor a través de fronteras sin un banco y ocultarse detrás de servicios que agrupan los fondos de muchos usuarios. Al mismo tiempo, cada transferencia deja un registro público permanente que un equipo de cumplimiento bien equipado puede rastrear. En esta lección se describen los riesgos de sanciones específicos de las criptomonedas, para que los controles de verificación de las próximas lecciones se enfoquen en los objetivos adecuados.
Direcciones designadas y sus límites
Desde 2018, algunos regímenes autónomos han incluido direcciones de activos virtuales en las entradas de designación, enumerándolas como identificadores de una persona o entidad designada, del mismo modo que se incluye un número de pasaporte. Una transferencia hacia o desde una dirección de este tipo constituye una operación directa con la parte designada.
Las direcciones incluidas en listas son útiles, pero tienen un alcance limitado:
- Cobertura. La Lista Consolidada de la ONU no tiene un campo específico para las direcciones de activos virtuales, por lo que las designaciones de la ONU suelen alcanzar a las criptomonedas a través de nombres y entidades, no de direcciones. Las listas autónomas publican direcciones solo para algunas designaciones.
- Abundancia. Una parte designada puede generar nuevas direcciones sin costo. Una dirección incluida en una lista indica dónde estuvo la parte, no todos los lugares en los que está.
- Formato. Las listas pueden publicar direcciones con una etiqueta de cadena o token que falta, es ambigua o es incorrecta, y la misma cadena puede ser válida en varias cadenas compatibles con EVM.
- Puntos de partida, no límites. Lo mejor es tratar las direcciones incluidas en listas como puntos de partida. El análisis de cadenas de bloques las amplía a clústeres de direcciones que probablemente controla la misma parte (consulte las lecciones de IDFE-BA sobre agrupación en clústeres); luego, la verificación abarca todo el clúster.
La regla práctica es que una empresa que solo verifica direcciones publicadas no detectará la mayor parte de la exposición a sanciones. Las direcciones son uno de los elementos de entrada; los nombres, las entidades, la geografía y el comportamiento son los demás.
Servicios sancionados
Los regímenes autónomos han designado no solo a personas, sino también servicios de criptomonedas: exchanges acusados de procesar ganancias de ransomware y de mercados de la darknet, mezcladores utilizados para blanquear robos vinculados a Estados y, en un caso, un conjunto de contratos inteligentes: en 2022, Estados Unidos designó el mezclador Tornado Cash al incluir sus direcciones de contrato (consulte la lección Verificación de billeteras y transacciones). Cuando se designa un servicio, cada dirección de depósito y billetera caliente que se le atribuya genera una exposición a sanciones para sus contrapartes.
Hay dos patrones recurrentes. Primero, un exchange designado suele seguir operando, a veces con un nombre nuevo o a través de una entidad sucesora que se hace cargo de sus clientes y su liquidez. Segundo, los clientes de un servicio designado pueden trasladarse a otras plataformas, llevando consigo fondos con exposición directa o indirecta. Ambos patrones implican que las actualizaciones de las listas deben ir acompañadas de actualizaciones del análisis, y que la diligencia debida sobre las VASP contraparte (consulte la lección Identificación y evaluación de la contraparte) debe preguntar por vínculos con sanciones, no solo por la preparación para cumplir la Travel Rule.
Robos vinculados a Estados: el caso de la RPDC
El riesgo de sanciones a nivel estatal más importante en el ámbito de las criptomonedas es el robo cometido por actores vinculados a la República Popular Democrática de Corea, a los que suele hacerse referencia con el nombre Lazarus Group. La RPDC está sujeta a las sanciones del Consejo de Seguridad de la ONU conforme a la resolución 1718 (2006) y a resoluciones posteriores, cuyo objetivo es cortar la financiación de sus programas de armas.
El Grupo de Expertos que apoyaba al Comité 1718 documentó esta actividad durante años. En su informe publicado en marzo de 2024, señaló que investigaba 58 presuntos ciberataques contra empresas relacionadas con criptomonedas entre 2017 y 2023, por un valor aproximado de USD 3.000 millones, e informó que el robo cibernético generó hasta la mitad de los ingresos en moneda extranjera de la RPDC. El mandato del Grupo terminó el 30 de abril de 2024 después de que en marzo de 2024 se vetara un proyecto de resolución para renovarlo. Luego, un grupo de 11 Estados creó un equipo de seguimiento fuera del marco de la ONU, que sigue informando sobre los robos cibernéticos de la RPDC. El robo de aproximadamente USD 1.460 millones del exchange Bybit en febrero de 2025 se atribuyó a actores de la RPDC.
El patrón de blanqueo descrito en los informes públicos es constante: intercambios rápidos de tokens robados en exchanges descentralizados, uso de mezcladores y puentes entre cadenas, conversión a bitcoin o stablecoins y retiro de fondos a través de corredores OTC y cuentas en exchanges de jurisdicciones permisivas. El Grupo de Expertos y los informes públicos posteriores también describieron a trabajadores de TI de la RPDC en el extranjero que utilizaban identidades falsas o prestadas para conseguir empleos remotos y contratos independientes, a menudo pagados en stablecoins. Para una VASP, esto genera una segunda exposición: incorporar a un cliente que, en realidad, actúa en nombre de un Estado designado.
Ransomware y ciberdelincuentes designados
Algunos regímenes autónomos designan a operadores de ransomware, a las personas que están detrás de ellos y a los servicios que blanquean sus ganancias. Esto afecta a las VASP de dos maneras. Una víctima que compra criptomonedas a través de un exchange para pagar un rescate puede enviarlas a una dirección controlada por una parte designada, lo que puede convertir el pago, y cualquier empresa que lo facilite, en una infracción de sanciones. Además, las ganancias del rescate pueden llegar más adelante a los exchanges como depósitos con exposición directa o indirecta. Las empresas que prestan servicios a compañías de respuesta a incidentes o a víctimas necesitan un procedimiento para las transferencias relacionadas con rescates: verificar el destino, elevar el caso al responsable de sanciones y consultar a la autoridad competente antes de enviar nada.
Tipologías de evasión
| Tipología | Cómo funciona | Señales que puede detectar una VASP | Control típico |
|---|---|---|---|
| Servicios anidados | Un exchange sin licencia o una mesa OTC opera a través de una cuenta en una VASP más grande | Volúmenes muy altos, muchas contrapartes no relacionadas, depósitos de clústeres vinculados a servicios sancionados | Diligencia debida sobre la contraparte y el cliente; prohibir el anidamiento no declarado |
| Corredores OTC | Los corredores convierten grandes cantidades en efectivo o mediante transferencias bancarias fuera de los mercados regulados | Operaciones por cifras redondas, entradas y salidas rápidas, vínculos con robos o clústeres de mezcladores | Diligencia debida reforzada sobre los corredores; verificación de exposición |
| Saltos entre cadenas | Los fondos pasan de una cadena a otra mediante puentes y servicios de intercambio para romper el rastro | Depósitos procedentes de contratos de puentes poco después de un robo conocido | Análisis entre cadenas; retenciones de entradas recientes de alto riesgo |
| VPN y proxies | Los usuarios en territorios sancionados ocultan su ubicación | Direcciones IP de proveedores de alojamiento, discrepancias de zona horaria o idioma | Controles de geolocalización con detección de VPN |
| Empresas pantalla y testaferros | Un nombre aparentemente legítimo encubre a un propietario designado | Historial corporativo escaso, cambios de titularidad tras una designación | Análisis de titularidad y control; nueva verificación |
| Fraude de identidad | Identidades falsas o prestadas, como en el caso de los trabajadores de TI de la RPDC | Dispositivos o direcciones de pago compartidos entre cuentas, perfiles incoherentes | Comprobaciones de vida, análisis de dispositivos, monitoreo del comportamiento |
Estas tipologías se combinan. Un solo caso puede incluir un mezclador, un puente, un corredor OTC y una cuenta anidada, y cada paso reduce la posibilidad de que una simple verificación contra una lista lo detecte. Las lecciones Señales de alerta y tipologías y Análisis de cadenas de bloques para el cumplimiento abordan el monitoreo.
Geografía: controles de IP y ubicación
Algunas sanciones son territoriales: prohíben operar con personas ubicadas en un país o región, o que residan habitualmente allí. Para una empresa en línea sin sucursales, la única manera de aplicarlas es inferir dónde se encuentra el cliente. Entre las señales útiles se incluyen:
- el país del documento de identidad y la dirección residencial declarada;
- la dirección IP durante el registro, el inicio de sesión y el retiro, con indicadores de VPN, nodos de salida de Tor y proveedores de alojamiento;
- el código de país del número de teléfono y el país de las cuentas bancarias o tarjetas vinculadas;
- la configuración del dispositivo, como la zona horaria y el idioma, que debe usarse como evidencia complementaria y no como prueba.
Un buen control combina estas señales. Bloquear las direcciones IP de territorios sancionados en el acceso inicial es lo mínimo; revisar los datos de IP de las cuentas existentes y actuar ante discrepancias es lo que distingue un programa eficaz de uno meramente cosmético. Un cliente que superó el proceso de incorporación con un documento de un país permitido, pero inicia sesión mes tras mes desde un territorio sancionado, genera una alerta de sanciones, no una simple curiosidad.
A veces las señales serán contradictorias, y el procedimiento debe indicar qué hacer en esos casos. Un único inicio de sesión desde un territorio sancionado por parte de un cliente de larga trayectoria y con antecedentes coherentes puede justificar una solicitud de explicación, por ejemplo, pruebas de que estaba de viaje. Los inicios de sesión repetidos, un patrón de VPN que comienza justo después de la incorporación o el cambio a un número de teléfono con el código de ese país justifican restringir la cuenta hasta aclarar la ubicación del cliente, y terminar la relación si no es posible hacerlo. Cada decisión, incluida la evidencia proporcionada por el cliente, debe constar en el expediente del caso. La lección Gestión de un programa de cumplimiento de sanciones muestra cómo las medidas de cumplimiento públicas han sancionado a empresas que recopilaron estos datos y los ignoraron.
Enfoque del examen: por qué las direcciones incluidas en listas son puntos de partida, no límites, y por qué verificar solo direcciones no permite detectar la mayor parte de la exposición; que la Lista Consolidada de la ONU no tiene un campo específico para las direcciones de activos virtuales y que las designaciones de la ONU alcanzan a las criptomonedas a través de nombres y entidades; los servicios designados y las entidades sucesoras; el patrón de robo y blanqueo de la RPDC y el papel del Grupo de Expertos (las cifras corresponden a un contexto fechado); los trabajadores de TI de la RPDC como riesgo durante la incorporación; los pagos de rescates como riesgo de sanciones; las principales tipologías de evasión y sus señales; la combinación de señales de IP, documento, teléfono y dispositivo para las sanciones territoriales y la actuación sobre los datos de IP de los clientes existentes.