AML y KYC

¿Qué son AML y KYC?

AML y KYC hacen referencia a los controles contra el blanqueo de capitales y de verificación de la identidad de los clientes que utilizan las empresas cripto para impedir que los activos digitales se empleen en actividades financieras ilegales.

AML son las siglas de Anti-Money Laundering (prevención del blanqueo de capitales) e incluye políticas, sistemas y procedimientos diseñados para detectar y prevenir el blanqueo de capitales, la financiación del terrorismo, la evasión de sanciones, el fraude, las estafas, los pagos de ransomware y otros delitos financieros.

KYC son las siglas de Know Your Customer (conoce a tu cliente) y se refiere al proceso de identificar y verificar a un cliente antes de iniciar una relación comercial o durante esta.

En el sector de las criptomonedas, AML y KYC suelen implicar comprobar la identidad del usuario, entender el propósito de su actividad, revisar posibles vínculos con sanciones, supervisar las transacciones y comunicar las actividades sospechosas cuando lo exija la ley.

Los dos términos están estrechamente relacionados, pero no significan lo mismo.

KYC es una parte importante de AML, mientras que AML es un marco de cumplimiento más amplio que también incluye la diligencia debida del cliente, la supervisión de transacciones, el análisis de blockchain, la comprobación de sanciones, el cumplimiento de la Travel Rule, la evaluación de riesgos, la conservación de registros, la formación del personal y la comunicación de actividades sospechosas.

El Grupo de Acción Financiera Internacional (GAFI) establece normas mundiales para los activos virtuales y los proveedores de servicios de activos virtuales. Muchos países utilizan estas normas al elaborar sus reglas locales de AML para el sector cripto.

Para los usuarios habituales de criptomonedas, AML y KYC pueden presentarse como verificación de identidad, comprobación de documentos, solicitudes de justificantes de domicilio, preguntas sobre el origen de los fondos, revisiones de depósitos y retiradas o restricciones temporales de la cuenta cuando aparecen indicios de riesgo.

Para las empresas cripto, AML y KYC son requisitos fundamentales para operar de forma responsable, proteger a los usuarios, reducir el fraude, cumplir las obligaciones legales y favorecer unos mercados de activos digitales más seguros.

Por qué AML y KYC son importantes en el sector cripto

AML y KYC son importantes porque las criptomonedas permiten transferir valor rápidamente a través de fronteras, carteras, tokens, blockchains y aplicaciones.

Esta velocidad hace que las criptomonedas sean útiles para pagos, trading, liquidaciones con stablecoins, DeFi, activos tokenizados y acceso financiero global.

La misma velocidad también puede ser aprovechada por delincuentes para mover fondos robados, ocultar ingresos de estafas, eludir sanciones, recibir pagos de ransomware o transferir dinero a través de numerosas carteras y protocolos.

AML y KYC ayudan a reducir estos riesgos al integrar la identidad del cliente, la actividad de la cuenta, el comportamiento de las carteras y el historial de transacciones en un único proceso de evaluación de riesgos.

Sin KYC, es posible que una plataforma no sepa quién utiliza sus servicios.

Sin supervisión AML, una plataforma puede conocer la identidad del usuario y, aun así, pasar por alto comportamientos sospechosos en las transacciones después del alta.

Unos controles sólidos de AML y KYC ayudan a identificar a los usuarios de riesgo antes de que puedan abusar de una plataforma y a detectar actividad sospechosa una vez abierta la cuenta.

También protegen a los usuarios habituales, porque los mismos controles pueden ayudar a detectar fondos robados, redes de phishing, estafas románticas, fraudes de inversión, cuentas mula, actividad procedente de carteras pirateadas y vínculos con carteras sancionadas.

Las transacciones cripto suelen ser irreversibles, por lo que la prevención y la detección temprana son especialmente importantes.

AML frente a KYC

AML es el sistema más amplio utilizado para prevenir y detectar delitos financieros.

KYC es la parte de ese sistema dedicada a verificar la identidad.

AML analiza si los fondos, la actividad, los clientes, las contrapartes o los patrones de transacciones podrían estar relacionados con actividades financieras ilegales.

KYC comprueba quién es el cliente y si es posible verificar su identidad.

Una forma sencilla de entender la diferencia es que KYC inicia la relación con el cliente, mientras que AML se mantiene durante toda la relación.

KYC puede realizarse cuando un usuario se registra en un servicio cripto, aumenta los límites de su cuenta, realiza una transacción de gran importe, abre una cuenta empresarial o activa una revisión de riesgos.

AML continúa después del alta mediante la supervisión de depósitos, retiradas, intercambios, patrones de trading, exposición en blockchain, comportamiento de los dispositivos, riesgos jurisdiccionales y cambios inusuales en las cuentas.

Una plataforma puede completar el KYC y, aun así, tener que presentar más adelante un informe de actividad sospechosa si el comportamiento del usuario resulta sospechoso.

Por eso, AML y KYC deben entenderse como un proceso de cumplimiento continuo, no como una comprobación de identidad puntual.

Cómo funciona KYC en el sector cripto

En el sector cripto, el proceso KYC suele comenzar cuando un usuario crea una cuenta o solicita acceso a servicios de mayor riesgo.

Una plataforma puede solicitar el nombre legal, la fecha de nacimiento, la nacionalidad, el domicilio, el número de teléfono, la dirección de correo electrónico, un documento de identidad, un selfie, un justificante de residencia o información fiscal.

En las cuentas empresariales, el proceso KYC también puede incluir documentos de registro de la empresa, información sobre la titularidad, datos de los administradores, el origen de los fondos, el origen del patrimonio, la actividad empresarial y las transacciones previstas.

La plataforma puede cotejar la información de identidad con documentos oficiales, registros públicos, listas de sanciones, listas de personas políticamente expuestas, fuentes de información adversa y bases de datos de fraude.

Algunas plataformas también utilizan comprobaciones de prueba de vida para reducir el riesgo de documentos falsos, identidades robadas o intentos de alta basados en deepfakes.

Tras la verificación, se asigna al usuario una calificación de riesgo que ayuda a determinar los límites de la cuenta, el nivel de supervisión y la necesidad de realizar una revisión reforzada.

El KYC no significa que todos los usuarios sean sospechosos.

Significa que la plataforma debe saber quién utiliza el servicio y comprobar si la actividad encaja con el perfil del usuario.

Diligencia debida del cliente

La diligencia debida del cliente, conocida como CDD por sus siglas en inglés, es el proceso de conocer la identidad, el perfil de riesgo, el comportamiento previsto y el propósito de uso de un servicio cripto de un cliente.

La CDD va más allá de recopilar un documento de identidad.

Comprueba si la actividad del cliente resulta coherente con quién es, dónde se encuentra, qué productos utiliza y cómo mueve sus fondos.

Un usuario particular de bajo riesgo puede necesitar únicamente una verificación de identidad estándar y una supervisión rutinaria.

Un usuario de mayor riesgo puede necesitar más documentos, más preguntas, límites más estrictos o una diligencia debida reforzada.

El riesgo puede aumentar cuando un cliente está relacionado con jurisdicciones de alto riesgo, estructuras empresariales complejas, personas políticamente expuestas, actividad inusual de carteras, herramientas de mejora de la privacidad o transferencias cuantiosas sin explicación.

La CDD es especialmente importante en el sector cripto porque un cliente verificado puede interactuar posteriormente con carteras de alto riesgo, protocolos DeFi, bridges cross-chain, mixers, fondos pirateados o direcciones sancionadas.

Por ello, la diligencia debida del cliente debe actualizarse cuando cambia su actividad.

Diligencia debida reforzada

La diligencia debida reforzada, conocida como EDD por sus siglas en inglés, es un nivel de revisión más exhaustivo para los clientes o las transacciones de mayor riesgo.

La EDD puede incluir comprobaciones del origen de los fondos, revisión del origen del patrimonio, documentos de identidad adicionales, documentación empresarial, pruebas de titularidad de carteras, revisión de contratos, explicaciones de las transacciones y aprobación de responsables sénior de cumplimiento.

Una plataforma cripto puede aplicar la EDD cuando un usuario envía o recibe transferencias de gran importe, interactúa con carteras de alto riesgo, utiliza estructuras de cuentas complejas, opera desde una jurisdicción de alto riesgo o muestra un comportamiento que no coincide con el perfil de cliente inicial.

La EDD no significa automáticamente que el usuario haya hecho algo malo.

Es un proceso basado en el riesgo que se utiliza cuando las comprobaciones habituales no bastan para entender la actividad.

Para los usuarios, la mejor forma de gestionar una EDD es facilitar información precisa, conservar registros de las compras y transferencias de criptomonedas y evitar mover fondos de otras personas sin una razón legítima clara.

Supervisión de transacciones AML

La supervisión de transacciones es la parte de AML que analiza la actividad de los clientes para detectar comportamientos sospechosos.

En el sector cripto, puede incluir depósitos, retiradas, operaciones, intercambios, transferencias de stablecoins, cambios de cartera, actividad de inicio de sesión, actividad de dispositivos y exposición en blockchain.

Un sistema de supervisión puede señalar movimientos rápidos de fondos, numerosos depósitos pequeños seguidos de una retirada grande, intentos reiterados de retirada fallidos, vínculos con estafas conocidas, exposición a carteras de ransomware o transacciones con direcciones sancionadas.

También puede señalar el salto entre cadenas, que se produce cuando los fondos se mueven entre distintas blockchains para dificultar su rastreo.

Una buena supervisión de transacciones combina los datos del perfil del cliente con el análisis de blockchain y el comportamiento de la cuenta.

Una transferencia grande puede ser normal en una cuenta empresarial y, en cambio, resultar inusual en una cuenta particular recién abierta y sin actividad previa.

Este contexto importa porque los sistemas AML deben centrarse en el riesgo, en lugar de tratar todas las transacciones de la misma manera.

Análisis de blockchain y AML/KYC

El análisis de blockchain consiste en utilizar herramientas de datos para estudiar las transacciones públicas, las relaciones entre carteras, los flujos de fondos, la exposición a riesgos y los vínculos con actividades ilícitas conocidas.

Las blockchains públicas son seudónimas: las direcciones de las carteras no muestran automáticamente el nombre legal de una persona.

Sin embargo, el comportamiento de las carteras puede revelar patrones, vínculos, grupos, contrapartes y exposición a servicios de riesgo.

Las herramientas de análisis de blockchain pueden identificar carteras relacionadas con hackeos, estafas, ransomware, mercados de la darknet, fondos robados, entidades sancionadas, redes de fraude, mixers, bridges o servicios de alto riesgo.

Estas herramientas ayudan a los equipos de cumplimiento a decidir si un depósito, una retirada o una interacción con una cartera requiere una revisión adicional.

El análisis de blockchain es potente, pero no es perfecto.

Las etiquetas de las carteras pueden estar incompletas, la titularidad puede ser incierta y los delincuentes pueden utilizar direcciones nuevas o métodos complejos para transferir fondos.

Por este motivo, el análisis debe servir de apoyo a las investigaciones, no sustituir la revisión humana.

Comprobación de sanciones

La comprobación de sanciones analiza si un cliente, una cartera, una transacción, una empresa o una contraparte están vinculados a personas, entidades, jurisdicciones o direcciones blockchain sancionadas.

Los controles de sanciones son importantes en el sector cripto porque los activos digitales pueden transferirse globalmente sin recurrir a los sistemas bancarios tradicionales.

La Oficina de Control de Activos Extranjeros de Estados Unidos (OFAC) ha publicado directrices de cumplimiento de sanciones adaptadas al sector de las monedas virtuales.

La comprobación de sanciones en el sector cripto puede incluir verificaciones de nombres, análisis de carteras, geolocalización de IP, revisión de dispositivos y contrapartes, supervisión de transacciones y análisis de la exposición en blockchain.

Si aparece un riesgo relacionado con sanciones, la plataforma puede bloquear, retrasar, rechazar o congelar la actividad, o remitirla a revisión.

La comprobación de sanciones también puede tener en cuenta la exposición indirecta, por ejemplo, si los fondos pasaron por una cartera de riesgo antes de llegar al usuario.

Esto puede generar falsos positivos, por lo que son importantes unos procedimientos de revisión sólidos.

La Travel Rule en el sector cripto

La Travel Rule es un requisito importante de AML aplicable a determinadas transferencias de criptomonedas entre proveedores de servicios regulados.

Exige que determinada información sobre el emisor y el destinatario acompañe a las transferencias sujetas a esta norma.

El objetivo es reducir el anonimato de las transferencias cripto realizadas a través de intermediarios regulados y facilitar su investigación cuando se produce actividad sospechosa.

La actualización específica del GAFI de 2025 sobre activos virtuales y VASP indicó que 99 jurisdicciones habían aprobado o estaban en proceso de aprobar leyes para aplicar la Travel Rule.

Las directrices de la Autoridad Bancaria Europea sobre la Travel Rule abordan los requisitos de información para las transferencias de fondos y determinadas transferencias de criptoactivos conforme a la normativa europea.

En la práctica, el cumplimiento de la Travel Rule puede exigir a una plataforma que determine si la cartera de destino pertenece a otro proveedor de servicios regulado, a una cartera autogestionada o a una contraparte desconocida.

También puede exigir que los proveedores de servicios compartan información de forma segura, protegiendo al mismo tiempo la privacidad y la seguridad de los datos de los usuarios.

VASP y CASP

VASP significa Virtual Asset Service Provider, es decir, proveedor de servicios de activos virtuales.

El GAFI utiliza este término para describir a las empresas que realizan determinadas actividades relacionadas con activos virtuales por cuenta de otras personas.

Un VASP puede ofrecer servicios de transferencia, custodia, intercambio, salvaguarda o administración de criptoactivos, así como servicios financieros relacionados con activos virtuales.

CASP significa Crypto-Asset Service Provider, es decir, proveedor de servicios de criptoactivos.

Este término se utiliza en algunos marcos regulatorios, especialmente en Europa.

Ambos términos son importantes porque las obligaciones de AML y KYC suelen depender de que una empresa se considere un proveedor de servicios regulado.

Una empresa que se considere VASP o CASP puede tener que aplicar diligencia debida del cliente, supervisión de transacciones, cumplimiento de la Travel Rule, controles de sanciones, procedimientos de comunicación, gobernanza y conservación de registros.

Es posible que los usuarios no vean directamente estas clasificaciones, pero influyen en la forma en que los servicios cripto recopilan información y revisan las transacciones.

AML y KYC en las carteras autogestionadas

Una cartera autogestionada es una cartera cripto en la que el usuario controla directamente las claves privadas.

Las carteras autogestionadas son importantes porque permiten a los usuarios conservar criptomonedas sin depender de un custodio.

También plantean desafíos de AML porque es posible que una plataforma regulada no sepa quién controla la cartera externa.

Cuando un usuario retira fondos a una cartera autogestionada o deposita fondos desde ella, la plataforma puede analizar la dirección y evaluar el riesgo en blockchain.

En algunos casos, la plataforma puede pedir al usuario que verifique la titularidad de la cartera o explique el origen de los fondos.

La autocustodia no es sospechosa automáticamente.

El riesgo depende del historial de la cartera, el comportamiento de las transacciones, las contrapartes, la exposición a actividades ilícitas y sanciones, y el perfil general del usuario.

AML y KYC en DeFi

Las finanzas descentralizadas plantean desafíos específicos de AML y KYC porque muchos protocolos DeFi funcionan mediante contratos inteligentes, en lugar de intermediarios tradicionales con cuentas.

Un usuario puede conectar una cartera a una aplicación descentralizada e interactuar con pools de liquidez, protocolos de préstamo, bridges, derivados o intercambios de tokens.

Esta estructura puede dificultar la verificación de identidad estándar a nivel del protocolo.

Sin embargo, los controles AML pueden aplicarse en las rampas de entrada desde dinero fiduciario, los servicios de custodia, las herramientas de análisis de carteras, las interfaces reguladas, las capas de acceso institucional, los proveedores de análisis y las relaciones comerciales off-chain.

Las medidas AML relacionadas con DeFi suelen centrarse en la exposición de las carteras, el riesgo de los contratos inteligentes y los bridges, los flujos de fondos ilícitos, la exposición a sanciones y el análisis de las rutas de las transacciones.

Es posible que se hagan preguntas a un usuario si los fondos siguen una ruta DeFi vinculada a activos robados, protocolos de alto riesgo o patrones sospechosos de transferencia de fondos.

DeFi no elimina el riesgo de delitos financieros.

Cambia dónde se aplican los controles AML y KYC y cómo se llevan a cabo las investigaciones.

AML y KYC en las stablecoins

Las stablecoins son importantes para AML y KYC porque se utilizan ampliamente en trading, liquidaciones, pagos, garantías y transferencias transfronterizas.

Como están diseñadas para reducir la volatilidad de los precios, los delincuentes pueden intentar utilizarlas para conservar el valor mientras mueven fondos rápidamente.

Los controles AML relacionados con las stablecoins pueden incluir comprobaciones del emisor, supervisión de carteras, controles de sanciones, revisión de reembolsos, límites de transacción y comunicación de actividades sospechosas.

Algunos contratos de stablecoins incluyen controles técnicos que pueden permitir congelar o restringir activos cuando lo exijan la ley o las políticas aplicables.

Esto genera un entorno de cumplimiento distinto al de los criptoactivos que no cuentan con funciones de congelación por parte del emisor.

Los usuarios deben entender que las transferencias de stablecoins pueden revisarse, retrasarse o restringirse si surgen problemas relacionados con AML o sanciones.

Comunicación de actividades sospechosas

La comunicación de actividades sospechosas consiste en informar a la autoridad competente cuando una empresa regulada detecta actividad que podría estar relacionada con delitos financieros.

En el sector cripto, la actividad sospechosa puede incluir ingresos de estafas, exposición a ransomware, fondos pirateados, cuentas mula, identidades falsas, evasión de sanciones, fraccionamiento de operaciones, saltos entre cadenas o transferencias inexplicables de alto riesgo.

Las directrices de FinCEN sobre monedas virtuales convertibles explican cómo determinadas empresas que administran, intercambian o transmiten monedas virtuales convertibles pueden estar sujetas a las obligaciones de la Ley de Secreto Bancario de Estados Unidos.

La presentación de un informe de actividad sospechosa no significa que el usuario haya sido condenado por un delito.

Se trata de un informe confidencial que ayuda a las autoridades a identificar patrones, investigar redes y relacionar información financiera.

Las empresas cripto necesitan procedimientos claros para que el personal sepa cuándo escalar alertas, cómo investigar casos y cuándo puede ser obligatorio presentar un informe.

Señales de alerta habituales de AML y KYC en el sector cripto

Una cuenta nueva que recibe y retira rápidamente grandes cantidades de criptomonedas puede ser una señal de alerta.

Un usuario que divide una transferencia grande en muchas transferencias pequeñas puede suscitar sospechas de fraccionamiento de operaciones.

Los fondos vinculados a carteras de estafas o ransomware, mercados de la darknet, mixers, activos robados o direcciones sancionadas requieren una revisión más exhaustiva.

El movimiento rápido de fondos entre numerosas carteras, activos o blockchains sin un motivo claro puede indicar una estratificación de operaciones.

Un cliente que se niega a proporcionar información sobre el origen de los fondos puede aumentar el riesgo.

La actividad de inicio de sesión desde ubicaciones que no coinciden con el perfil del cliente puede requerir una investigación.

Los cambios reiterados en una cuenta antes de retirar fondos pueden indicar un riesgo de apropiación de la cuenta.

Que numerosos usuarios sin relación entre sí envíen fondos a una misma cartera puede indicar actividad de cuentas mula o fraude organizado.

Los indicadores de alerta del GAFI para activos virtuales ofrecen ejemplos de patrones sospechosos que pueden aparecer en la actividad cripto.

Cómo crean programas de AML y KYC las empresas cripto

Un programa sólido de AML y KYC comienza con una evaluación de riesgos.

La empresa identifica los tipos de clientes, productos, servicios, activos, jurisdicciones, canales de prestación y flujos de transacciones que utiliza.

A continuación, crea controles en función de esos riesgos.

Los controles fundamentales suelen incluir la identificación del cliente, la verificación de documentos, la diligencia debida del cliente, la diligencia debida reforzada, la comprobación de sanciones, la supervisión de transacciones, el análisis de blockchain, el cumplimiento de la Travel Rule, la comunicación de actividades sospechosas y la conservación de registros.

Un programa sólido también incluye responsables de cumplimiento, formación del personal, pruebas independientes, registros de auditoría, procedimientos de escalado y actualizaciones periódicas de las políticas.

La tecnología es importante, pero no basta por sí sola.

También hacen falta revisión humana, criterio jurídico, gobernanza y documentación, ya que las decisiones AML pueden afectar a los usuarios, los fondos y las obligaciones regulatorias.

Enfoque basado en el riesgo para AML y KYC

Un enfoque basado en el riesgo implica aplicar controles más estrictos cuando el riesgo es mayor y controles más sencillos cuando es menor.

Este enfoque es importante porque no todos los usuarios de criptomonedas ni todas las transacciones tienen el mismo nivel de riesgo.

Una transferencia pequeña de un usuario verificado desde hace tiempo puede entrañar un riesgo distinto al de un depósito grande vinculado a un grupo de carteras de alto riesgo.

Una cuenta empresarial con una estructura de titularidad compleja puede requerir más revisiones que una cuenta particular básica.

Una transferencia que involucra a una jurisdicción de alto riesgo puede requerir más comprobaciones que una transferencia entre dos clientes verificados de bajo riesgo.

Los controles de AML y KYC basados en el riesgo ayudan a las empresas a centrar sus recursos en las amenazas más graves y a reducir las dificultades innecesarias para los usuarios de bajo riesgo.

También favorecen un cumplimiento más equitativo, ya que las decisiones se basan en pruebas y factores de riesgo documentados, y no únicamente en suposiciones.

AML, KYC y privacidad de los usuarios

AML y KYC generan una tensión real entre la prevención de delitos financieros y la privacidad de los usuarios.

Los usuarios de criptomonedas pueden querer proteger su privacidad por motivos legítimos, como la seguridad personal, la confidencialidad empresarial, la protección frente a filtraciones de datos y la libertad frente a una vigilancia innecesaria.

Los organismos reguladores y las fuerzas de seguridad necesitan información suficiente para detectar fraudes, blanqueo de capitales, evasión de sanciones, financiación del terrorismo y otros delitos graves.

El desafío consiste en recopilar la información necesaria para cumplir la normativa sin obtener ni exponer más datos personales de los necesarios.

Los buenos programas de AML y KYC deben aplicar medidas de almacenamiento seguro, controles de acceso, cifrado, minimización de datos, límites de conservación e intercambio de información que tenga en cuenta la privacidad.

Los sistemas de la Travel Rule también deben proteger la información confidencial de los clientes cuando los datos se transfieren entre proveedores de servicios.

El cumplimiento responsable no debe tratar la privacidad como un enemigo.

Debe proteger a los usuarios que actúan conforme a la ley y, al mismo tiempo, dificultar los usos delictivos.

Cómo afectan AML y KYC a los usuarios habituales de criptomonedas

AML y KYC afectan más directamente a los usuarios al abrir cuentas, realizar depósitos y retiradas, efectuar transferencias de gran importe y someterse a revisiones por actividad inusual.

Es posible que un usuario tenga que verificar su identidad antes de utilizar determinados servicios o aumentar sus límites.

Una plataforma puede solicitar información adicional cuando los fondos proceden de una cartera de alto riesgo o cuando la actividad cambia de repente.

Una retirada puede retrasarse si la comprobación de sanciones, la revisión de la cartera o la información exigida por la Travel Rule están incompletas.

Un depósito puede revisarse si la cartera emisora tiene vínculos con hackeos, estafas, mixers u otras categorías de alto riesgo.

Los usuarios pueden evitar problemas si conservan registros de compras, operaciones, ingresos, recompensas de minería, airdrops, pagos empresariales y transferencias entre carteras.

También deben evitar recibir fondos de desconocidos, mover dinero para otras personas o participar en planes que prometan ocultar el origen de los fondos.

Unos registros precisos pueden agilizar y facilitar la resolución de las revisiones AML.

Ventajas de AML y KYC en el sector cripto

AML y KYC ayudan a reducir el uso de las criptomonedas para el blanqueo de capitales y la financiación del terrorismo.

Ayudan a detectar fondos robados, activos pirateados, pagos de ransomware, ingresos de estafas y exposición a sanciones.

Respaldan las investigaciones de las fuerzas de seguridad cuando se producen grandes fraudes, hackeos o redes de financiación ilícita.

Ayudan a proteger a los usuarios frente a la apropiación de cuentas, las tramas de cuentas mula, las redes de phishing y las contrapartes de alto riesgo.

Ofrecen a las instituciones reguladas más confianza para participar en los mercados de activos digitales.

Pueden reforzar la confianza a largo plazo, ya que es más probable que los usuarios utilicen servicios cripto que se toman en serio la seguridad y la prevención de delitos financieros.

También ayudan a distinguir la actividad cripto legítima de su uso delictivo.

Limitaciones de AML y KYC

AML y KYC no pueden impedir todos los delitos.

Los delincuentes pueden utilizar identidades robadas, cuentas mula, documentos de identidad sintéticos, servicios no regulados, herramientas de privacidad, bridges o patrones complejos de transferencia de fondos.

El análisis de blockchain puede no detectar carteras nuevas o interpretar erróneamente algunas rutas de transacción.

Los sistemas automatizados pueden generar falsos positivos que afecten a usuarios legítimos.

La normativa también varía según la jurisdicción, lo que complica el cumplimiento global para las empresas cripto.

Una supervisión excesivamente agresiva puede perjudicar la experiencia de usuario y generar problemas de privacidad.

Por este motivo, AML y KYC deben combinar tecnología, revisión humana, análisis jurídico, procedimientos documentados y decisiones proporcionales.

Malentendidos habituales sobre AML y KYC

Un malentendido es creer que AML y KYC significan lo mismo.

KYC es solo una parte de AML.

Otro malentendido es pensar que las transacciones cripto son completamente anónimas.

La mayoría de las transacciones en blockchains públicas son visibles y muchas pueden analizarse mediante herramientas de análisis de blockchain.

Un tercer malentendido es creer que las carteras autogestionadas son automáticamente ilegales o sospechosas.

Las carteras autogestionadas pueden utilizarse legítimamente para la autocustodia, aunque las transferencias relacionadas con ellas pueden seguir sometiéndose a controles de riesgo.

Un cuarto malentendido es pensar que AML y KYC solo se aplican al convertir criptomonedas en dinero fiduciario.

AML y KYC también pueden aplicarse a transferencias entre criptomonedas, servicios de custodia, stablecoins, intercambios de tokens, pagos y otras actividades reguladas relacionadas con activos virtuales.

Un quinto malentendido es creer que la verificación de identidad, por sí sola, hace que una plataforma sea segura.

La seguridad también requiere supervisión de transacciones, comprobación de sanciones, controles de seguridad, gestión de riesgos y un comportamiento responsable por parte de los usuarios.

Buenas prácticas de AML y KYC para usuarios cripto

Los usuarios deben facilitar información de identidad precisa cuando utilizan servicios cripto regulados.

Deben conservar registros que demuestren cómo adquirieron sus criptoactivos.

Deben evitar aceptar fondos de desconocidos que les pidan reenviar el dinero a otra parte.

Deben actuar con cautela ante los planes de inversión que prometen rentabilidades garantizadas o les piden mover fondos entre varias carteras.

Deben comprobar cuidadosamente las direcciones de las carteras antes de enviar fondos.

Deben evitar los servicios que anuncian formas ilegales de blanquear capitales o eludir sanciones.

Deben entender que proteger la privacidad no es lo mismo que ocultar actividades ilegales.

Si un equipo de cumplimiento solicita información sobre una transacción, deben responder de forma clara y sincera.

Buenas prácticas de AML y KYC para empresas cripto

Las empresas cripto deben mantener una política escrita de AML y KYC basada en una evaluación de riesgos documentada.

Deben verificar a los clientes teniendo en cuenta el riesgo del producto, el de la jurisdicción, los límites de transacción y el modelo de negocio.

Deben comprobar a los clientes y las carteras para detectar sanciones y exposición a actividades de alto riesgo.

Deben supervisar las transacciones de forma continua, en lugar de depender únicamente de las comprobaciones realizadas durante el alta.

Deben utilizar herramientas de análisis de blockchain y contar también con revisión humana para los casos complejos.

Deben proteger los datos de los clientes con controles de seguridad sólidos y un acceso limitado.

Deben formar al personal para que reconozca señales de alerta y escale la actividad sospechosa.

Deben probar sus controles periódicamente y actualizarlos cuando cambien las leyes, los patrones delictivos o la tecnología.

Preguntas frecuentes

¿Qué significan AML y KYC en el sector cripto?

AML y KYC son los controles de prevención del blanqueo de capitales y verificación de clientes utilizados para impedir que los servicios de criptomonedas se empleen en actividades financieras ilegales.

¿Cuál es la diferencia entre AML y KYC?

AML es el marco más amplio de prevención de delitos financieros, mientras que KYC es el proceso de identificar y verificar a los clientes.

¿Por qué las plataformas cripto exigen KYC?

Las plataformas cripto exigen KYC para verificar a los usuarios, reducir el fraude, cumplir las obligaciones legales, detectar riesgos relacionados con sanciones y facilitar una supervisión más segura de las transacciones.

¿Qué información suele solicitarse para el KYC de criptomonedas?

El KYC de criptomonedas puede requerir el nombre legal, la fecha de nacimiento, el domicilio, un documento oficial de identidad, un selfie, un justificante de domicilio, información fiscal o documentos empresariales.

¿Qué es la diligencia debida del cliente?

La diligencia debida del cliente es el proceso de conocer la identidad, la actividad prevista, el origen de los fondos y el perfil de riesgo de un cliente.

¿Qué es la diligencia debida reforzada?

La diligencia debida reforzada es una revisión más exhaustiva que se aplica a clientes de mayor riesgo, actividad inusual, transacciones de gran importe o estructuras de cuentas complejas.

¿Qué es la Travel Rule en el sector cripto?

La Travel Rule exige que determinada información sobre el emisor y el destinatario acompañe a las transferencias cripto sujetas a esta norma entre proveedores de servicios regulados.

¿Se pueden rastrear las transacciones de blockchain?

Muchas transacciones en blockchains públicas pueden rastrearse porque los datos son visibles, aunque para identificar a la persona real que hay detrás de una cartera puede ser necesaria información adicional.

¿Están permitidas las carteras autogestionadas según las normas AML y KYC?

Por lo general, las carteras autogestionadas están permitidas, pero las plataformas reguladas pueden supervisar las transferencias relacionadas con ellas y solicitar más información cuando aparecen señales de riesgo.

¿Qué ocurre si se señala una transacción cripto?

En función del riesgo y de los requisitos legales, la transacción puede revisarse, retrasarse, rechazarse, escalarse o comunicarse, o puede solicitarse información adicional.

¿Se aplican AML y KYC a DeFi?

AML y KYC pueden aplicarse en torno a DeFi mediante interfaces reguladas, pasarelas de entrada desde dinero fiduciario, servicios de custodia, puntos de acceso institucional, análisis de carteras e investigaciones de transacciones.

¿AML y KYC perjudican la privacidad en el sector cripto?

AML y KYC pueden plantear problemas de privacidad, por lo que los buenos programas de cumplimiento deben utilizar medidas seguras de gestión de datos, acceso limitado, minimización de datos y controles proporcionales basados en el riesgo.

Conclusión

AML y KYC son algunos de los conceptos de cumplimiento más importantes del sector de las criptomonedas.

Combinan la verificación de la identidad de los clientes con controles más amplios contra el blanqueo de capitales que supervisan los fondos, las carteras, las transacciones, la exposición a sanciones y los comportamientos sospechosos.

KYC ayuda a una empresa cripto a saber quién es el cliente.

AML ayuda a la empresa a determinar si la actividad del cliente puede estar relacionada con delitos financieros.

En conjunto, reducen el riesgo de que los servicios cripto se utilicen para blanquear capitales, financiar el terrorismo, eludir sanciones, gestionar pagos de ransomware, realizar estafas o mover fondos robados.

AML y KYC también contribuyen a proteger a los usuarios, ya que pueden ayudar a detectar activos pirateados, cuentas mula, exposición sospechosa de carteras y redes de fraude organizado.

Al mismo tiempo, AML y KYC deben equilibrarse con la privacidad, la seguridad de los datos, la proporcionalidad y el trato justo a los usuarios legítimos.

No todas las transacciones inusuales son delictivas ni todas las carteras autogestionadas son sospechosas.

El enfoque más sólido se basa en el riesgo y en pruebas, y combina la tecnología con el criterio humano.

Para los usuarios, entender AML y KYC explica por qué las plataformas cripto solicitan documentos de identidad, por qué pueden revisar las transacciones y por qué son importantes los registros sobre el origen de los fondos.

Para las empresas, AML y KYC no son solo una obligación legal, sino también un sistema de confianza y seguridad.

A medida que las criptomonedas se integran más con las stablecoins, DeFi, los activos tokenizados, los pagos y las finanzas globales, AML y KYC seguirán siendo fundamentales para la adopción responsable de los activos digitales.