Due diligence

¿Qué es la due diligence en las criptomonedas?

La due diligence es el proceso estructurado de investigar una criptomoneda, un protocolo blockchain, un token, una wallet, un contrato inteligente, un proveedor de servicios o una oportunidad de inversión antes de comprometer dinero o datos, o de firmar una autorización.

Consiste en verificar afirmaciones importantes, identificar riesgos, revisar las pruebas disponibles y decidir si la oportunidad se ajusta a los objetivos y la tolerancia al riesgo del usuario.

La due diligence en el sector cripto va más allá de comprobar si el precio de un token ha subido recientemente.

Analiza la tecnología, la economía, la gobernanza, la seguridad, la custodia, la liquidez, la estructura jurídica y las personas que hay detrás del proyecto.

También tiene en cuenta qué podría salir mal después de que el usuario compre el activo o conecte una wallet.

La guía de Investor.gov sobre investigación de inversiones describe la due diligence como la investigación de una oportunidad antes de invertir y la revisión de información que vaya más allá de las afirmaciones del promotor.

La due diligence no puede garantizar beneficios ni eliminar todos los riesgos.

Su objetivo es reducir los errores evitables y hacer más visible la incertidumbre antes de que resulte difícil revertir una decisión.

Por qué la due diligence es esencial en el sector cripto

Los usuarios de criptomonedas pueden transferir activos valiosos directamente mediante transacciones blockchain, sin depender de un proceso centralizado para revertir los pagos.

Esta libertad implica una mayor responsabilidad para quien controla la wallet o la cuenta.

Una transacción firmada con una clave privada válida puede ser irreversible incluso si el usuario se ha equivocado de destinatario o no ha entendido los permisos de un contrato.

Un token puede perder la mayor parte de su valor debido a la inflación, una demanda escasa, una liquidez débil, fallos de seguridad, disputas de gobernanza o restricciones regulatorias.

Un protocolo técnicamente funcional puede seguir siendo una mala inversión si su token no captura valor del aumento de uso.

Un servicio que parece rentable puede quebrar si la organización que custodia los activos de los clientes se vuelve insolvente o suspende las retiradas.

La advertencia de la CFTC sobre los riesgos de las monedas virtuales destaca la volatilidad, los ataques informáticos, el fraude, las protecciones limitadas y la dificultad de recuperar fondos perdidos.

La due diligence ayuda a distinguir los riesgos de mercado de los riesgos técnicos, de custodia, jurídicos, operativos y de fraude.

Due diligence frente a DYOR

DYOR significa «Do Your Own Research» (haz tu propia investigación), mientras que due diligence describe un proceso de investigación y toma de decisiones más organizado.

Ambos conceptos animan a los usuarios a verificar la información de forma independiente.

DYOR suele utilizarse como recordatorio general, mientras que la due diligence normalmente implica preguntas documentadas, pruebas, análisis de riesgos y criterios de aprobación.

Una búsqueda informal en Internet puede formar parte de la due diligence, pero rara vez basta por sí sola.

Un proceso completo compara documentos primarios, registros blockchain, código fuente, investigaciones independientes, información jurídica y datos de mercado.

También debe identificar qué hechos siguen sin conocerse.

Las expresiones «DYOR» o «esto no es asesoramiento financiero» no eximen al promotor de responsabilidad por hacer afirmaciones engañosas.

Tipos de due diligence en el sector cripto

La due diligence de inversión analiza si un activo cripto tiene una finalidad económica razonable, una valoración adecuada, una estructura de oferta y un perfil de riesgo aceptables.

La due diligence técnica evalúa la arquitectura blockchain, el código fuente, los contratos inteligentes, los supuestos de seguridad, la infraestructura y el mantenimiento del software.

La due diligence operativa revisa cómo gestiona una organización las wallets, las claves, los empleados, los proveedores, las transacciones, las copias de seguridad y la respuesta ante incidentes.

La due diligence jurídica examina los derechos de propiedad, las entidades empresariales, las licencias, los contratos, las restricciones geográficas y el posible tratamiento regulatorio.

La due diligence de contraparte evalúa la solvencia financiera, la seguridad, la reputación y las obligaciones contractuales de un custodio, emisor, prestatario, validador o proveedor de servicios.

La due diligence on-chain utiliza datos públicos de blockchain para verificar la oferta de tokens, la actividad de la tesorería, el control de los contratos, la liquidez y las afirmaciones sobre transacciones.

Las revisiones institucionales pueden combinar todas estas áreas y requerir la aprobación de equipos técnicos, jurídicos, financieros, de cumplimiento y de riesgos.

Define la decisión antes de investigar

Un proceso de due diligence útil comienza por definir la decisión concreta que se está considerando.

Comprar un token requiere una investigación distinta a depositar activos en un contrato inteligente de préstamo.

Operar un validador requiere una investigación distinta a utilizar una wallet de autocustodia.

Una operación a corto plazo se centra especialmente en la liquidez, la ejecución, la estructura del mercado y los próximos cambios en la oferta.

Una inversión a largo plazo exige un análisis más profundo de la gobernanza, la adopción, la seguridad, la competencia y la futura emisión de tokens.

Una integración empresarial debe tener en cuenta el tiempo de actividad, la finalidad de las transacciones, la contabilidad, las obligaciones jurídicas, el soporte y la recuperación operativa.

La cantidad y profundidad de la investigación deben aumentar con el valor, la duración, la complejidad y la irreversibilidad de la decisión.

Utiliza una jerarquía de fuentes

Una due diligence sólida da más peso a las fuentes directas, verificables, actuales e independientes.

Entre las fuentes primarias se incluyen el código fuente, los registros blockchain, las direcciones de contratos inteligentes, las especificaciones oficiales, los documentos jurídicos, los estados financieros, las propuestas de gobernanza y las bases de datos de los reguladores.

Las fuentes secundarias incluyen artículos de investigación, revisiones técnicas, noticias, análisis de mercado y material educativo.

Los sitios promocionales, las publicaciones patrocinadas, los mensajes anónimos y las afirmaciones de influencers requieren verificación adicional, ya que quien habla podría beneficiarse de la decisión del usuario.

Una fuente controlada por el proyecto puede describir correctamente el diseño previsto y, al mismo tiempo, omitir debilidades o conflictos.

Una fuente independiente también puede ser incorrecta, estar desactualizada o presentar sesgos.

Por tanto, las conclusiones importantes deben basarse en varias formas de evidencia y no en un único documento atractivo.

Comprende la finalidad del proyecto

La primera pregunta sobre el proyecto es qué problema afirma resolver la tecnología.

El proyecto debe identificar a los usuarios a los que se dirige, el problema actual que tienen y por qué blockchain ofrece una mejora significativa.

Un caso de uso válido puede implicar verificación compartida, activos programables, resistencia a la censura, escasez digital, liquidación o coordinación entre partes que no confían plenamente entre sí.

Una blockchain puede añadir costes y complejidad innecesarios si una única organización de confianza ya controla todos los aspectos importantes del servicio.

La explicación del proyecto debería entenderse sin depender por completo de la jerga técnica o financiera.

Los usuarios deben distinguir el producto actual de la hoja de ruta futura.

El plan de lanzar una función no demuestra que funcione ni que los clientes vayan a utilizarla.

Verifica que el producto existe

Una revisión de due diligence debe confirmar si la blockchain, aplicación, wallet o protocolo anunciado está operativo.

Una mainnet, una testnet pública, un repositorio de código fuente, un explorador, una interfaz de aplicación o la documentación para desarrolladores pueden aportar pruebas de desarrollo.

Los usuarios deberían probar el producto con una pequeña cantidad cuando hacerlo sea seguro y legal.

Un vídeo de demostración no demuestra que el producto público tenga las mismas capacidades.

La actividad artificial de transacciones puede hacer que una red inactiva parezca popular.

Que una aplicación funcione tampoco demuestra que su token tenga una valoración justa o sea necesario.

El revisor debería dejar constancia de qué funciones están operativas hoy, cuáles siguen siendo experimentales y cuáles dependen de desarrollos futuros.

Lee el white paper con criterio

Un white paper debería explicar la arquitectura del sistema, el modelo económico, la gobernanza, los supuestos de seguridad y los usuarios a los que se dirige.

El revisor debe identificar qué afirmaciones pueden comprobarse de forma independiente.

Las afirmaciones sobre la velocidad de las transacciones deberían explicar el tipo de transacción, el hardware, las condiciones de la red, la finalidad y el método de prueba.

Las afirmaciones sobre descentralización deberían identificar quién opera la infraestructura, desarrolla el software, controla las actualizaciones y tiene poder de gobernanza.

Las afirmaciones sobre la demanda de tokens deberían explicar por qué los usuarios tienen que adquirir o conservar el activo.

Un white paper puede quedar desactualizado tras cambios en el software, la tokenomics o la gobernanza.

Debe compararse con el código actual, los registros de despliegue, la documentación y las decisiones de gobernanza.

Revisa el código fuente

El código fuente público permite a desarrolladores e investigadores inspeccionar el funcionamiento de un protocolo o aplicación.

El revisor debería verificar que el repositorio pertenece a la organización auténtica del proyecto.

El historial de confirmaciones puede mostrar si el desarrollo está activo, concentrado en unos pocos colaboradores o depende de componentes copiados.

Los problemas abiertos pueden revelar defectos sin resolver, problemas de compatibilidad y decisiones de diseño controvertidas.

Las etiquetas de versiones y las instrucciones de compilación ayudan a determinar si el software desplegado se corresponde con el código fuente público.

Que el código sea público no significa automáticamente que el sistema sea seguro.

Puede que pocas personas hayan revisado el código y que la versión desplegada difiera de la que aparece en el repositorio.

Evalúa el mantenimiento del software

El software que controla criptomonedas requiere mantenimiento continuo porque cambian los sistemas operativos, las dependencias, las redes y las técnicas de ataque.

El revisor debería comprobar la fecha y el contenido de las versiones recientes.

Las confirmaciones frecuentes no bastan si solo incluyen cambios de formato o actualizaciones automatizadas de dependencias.

Entre las señales importantes figuran las correcciones de seguridad, las mejoras de las pruebas, la documentación, la resolución de problemas y el trabajo de compatibilidad.

Un proyecto puede seguir funcionando cuando su equipo original lo abandona, pero el software sin mantenimiento se vuelve cada vez más arriesgado.

La revisión debería determinar si varias personas independientes conocen el código crítico.

Un sistema que depende por completo de un único desarrollador presenta un riesgo importante de continuidad.

Due diligence de contratos inteligentes

La due diligence de un contrato inteligente comienza verificando la blockchain correcta y la dirección completa del contrato.

Los tokens fraudulentos pueden copiar el nombre y el símbolo de un activo legítimo y utilizar código sin relación alguna.

Si la blockchain permite verificar el código fuente del contrato, el revisor debería comprobarlo.

Debe identificar las funciones de acuñación, congelación, pausa, inclusión en listas negras, modificación de comisiones, transferencia de propiedad, actualización y retirada de emergencia.

Las consideraciones de seguridad actuales de Solidity describen riesgos como la reentrada, las llamadas externas, los límites de gas, la exposición de datos privados y los errores de autorización.

Un contrato puede funcionar exactamente según lo escrito y, aun así, producir un resultado que el usuario no esperaba.

Por tanto, el diseño económico y de gobernanza debe revisarse junto con el código.

Riesgos de los contratos actualizables

Un contrato inteligente actualizable permite modificar su lógica después de que los usuarios empiecen a interactuar con él.

La posibilidad de actualizarlo puede servir para corregir vulnerabilidades y añadir funciones.

También puede permitir que un administrador cambie las reglas de retirada, las comisiones, el comportamiento del token o los controles de acceso.

El revisor debería identificar quién tiene autoridad para actualizar el contrato y cuántas firmas se requieren.

Un periodo de espera puede dar a los usuarios la oportunidad de revisar una actualización prevista antes de que entre en vigor.

Una actualización de emergencia sin periodo de espera puede reducir el tiempo de respuesta durante un ataque, pero aumenta la confianza que se deposita en el administrador.

La existencia de facultades de actualización significa que los usuarios confían tanto en el código actual como en las decisiones futuras de quien tiene la autoridad.

Auditorías de contratos inteligentes

Una auditoría de contrato inteligente es una revisión experta cuyo objetivo es identificar debilidades de seguridad y diseño.

El revisor debería verificar la empresa auditora, la fecha del informe, la versión del código, el alcance, los métodos de prueba y los hallazgos pendientes.

La auditoría de una versión de un contrato no se aplica automáticamente a despliegues o actualizaciones posteriores.

Un proyecto puede mostrar el logotipo de una auditoría sin publicar el informe completo.

Los hallazgos declarados como resueltos deben cotejarse con el código corregido, en lugar de aceptarse basándose únicamente en una respuesta escrita.

Una auditoría reduce la incertidumbre, pero no puede demostrar que no exista ninguna vulnerabilidad posible.

Los protocolos de gran valor deberían combinar auditorías con pruebas, monitorización, programas de reporte de errores, permisos limitados y procedimientos para incidentes.

Revisa las claves administrativas

Las claves administrativas pueden controlar actualizaciones, emisión de tokens, transferencias de tesorería, pausas de contratos, ajustes de oráculos o funciones de emergencia.

El revisor debería determinar si una única clave privada puede ejecutar una acción crítica.

Un sistema multifirma puede exigir la aprobación de varios firmantes, pero su seguridad depende de que sean independientes y protejan adecuadamente sus claves.

Una wallet que requiere cinco firmas de cinco empleados que utilizan el mismo sistema comprometido puede ofrecer menos protección de la que sugiere esa cifra.

Los bloqueos temporales, los límites de gasto, la separación de funciones y la monitorización pública pueden reducir el riesgo administrativo.

El proyecto debería explicar qué ocurre si una clave administrativa se pierde o se roba.

Las facultades de control ocultas o mal documentadas son una señal de alarma importante en una due diligence.

Revisa el equipo de desarrollo

La due diligence del equipo comprueba si las afirmaciones profesionales y técnicas importantes pueden verificarse de forma independiente.

Entre las pruebas pertinentes pueden figurar productos anteriores, contribuciones públicas a código, trabajos académicos, historial laboral, registros jurídicos y presentaciones técnicas.

La identidad pública puede mejorar la rendición de cuentas, pero no garantiza un comportamiento honesto o competente.

Un equipo anónimo no es automáticamente fraudulento, aunque el anonimato limita las comprobaciones de antecedentes y las vías de recurso jurídico.

El revisor debería examinar si los fundadores abandonaron proyectos anteriores o hicieron afirmaciones sin fundamento.

Pueden existir conflictos si los miembros del equipo controlan la oferta de tokens, los activos de tesorería, los acuerdos de creación de mercado y los votos de gobernanza.

El proyecto debería contar con un plan creíble para continuar si se marcha una persona importante.

Identifica la entidad jurídica

Un sitio cripto puede estar gestionado por una o varias empresas, fundaciones, asociaciones o grupos informales de desarrollo.

La due diligence debería identificar qué entidad jurídica firma contratos, contrata personal, emite tokens, posee propiedad intelectual y controla los activos de tesorería.

El país en el que está constituida la entidad puede influir en la resolución de disputas, la presentación de informes, la fiscalidad y los derechos de los acreedores.

Las condiciones del servicio deberían indicar qué legislación rige la relación con el usuario.

Una interfaz descentralizada puede seguir siendo mantenida por una empresa identificable.

Una fundación puede apoyar el desarrollo de un protocolo sin asumir responsabilidad por todas las aplicaciones creadas en la red.

La falta de claridad sobre la responsabilidad jurídica puede dificultar la recuperación tras un fraude, una insolvencia o un fallo operativo.

Comprende la utilidad del token

La utilidad de un token describe cómo se utiliza un activo dentro de una blockchain o aplicación.

Un token puede pagar comisiones de transacción, proteger el consenso, otorgar derechos de voto en la gobernanza, desbloquear servicios, representar otro activo o servir como garantía.

El revisor debería determinar qué funciones están activas actualmente.

Un uso previsto no genera demanda en el presente.

El proyecto debería explicar por qué el token es necesario, en vez de utilizar un activo existente o un sistema de cuentas ordinario.

Un protocolo útil puede tener un token que capture poco valor de la actividad del protocolo.

Por tanto, la due diligence debe distinguir la utilidad del producto del valor del token como inversión.

Analiza la oferta de tokens

El análisis de la oferta de tokens examina la oferta en circulación, la oferta total, la oferta máxima, la emisión futura, la quema y la autoridad para acuñar tokens.

Un precio bajo del token significa poco si no se conoce cuántas unidades existen.

Un protocolo sin oferta máxima puede tener, aun así, un ritmo de emisión predecible.

Un token que afirma tener una oferta máxima fija puede incluir una función administrativa capaz de crear más unidades.

El revisor debería comparar las cifras de oferta publicadas con los datos on-chain del contrato.

Los tokens envueltos, puenteados, bloqueados o quemados pueden complicar los cálculos de la oferta.

Debe documentarse cualquier incertidumbre sobre cómo se mide la oferta.

Revisa la asignación de tokens

La asignación de tokens muestra cómo se distribuye la oferta entre fundadores, empleados, inversores, usuarios, fundaciones, tesorerías y programas de incentivos.

Una asignación muy concentrada puede generar presión vendedora y control de la gobernanza.

La expresión «asignación a la comunidad» puede ocultar que un grupo reducido controla la distribución.

Cuando sea posible, el revisor debería identificar las direcciones o los contratos que mantienen las asignaciones principales.

Las entidades relacionadas pueden repartir sus tenencias entre varias direcciones.

Los porcentajes de asignación deben calcularse con respecto a la cifra de oferta pertinente.

El proyecto debería explicar cómo se pueden utilizar los tokens aún no distribuidos y quién aprueba su liberación.

Vesting y desbloqueo de tokens

El vesting restringe las transferencias de tokens hasta que se alcancen determinadas fechas o condiciones.

Un periodo de cliff es un intervalo durante el cual no se libera ninguno de los tokens asignados.

Los grandes desbloqueos pueden aumentar la oferta en circulación y generar una posible presión vendedora.

El revisor debería identificar las próximas fechas de desbloqueo, los destinatarios, las cantidades y los métodos de liberación.

El calendario publicado debe compararse con los contratos de vesting reales o la actividad de las wallets.

Los acuerdos informales pueden ser más fáciles de modificar que las restricciones impuestas mediante código.

El riesgo de desbloqueo debe tenerse en cuenta aunque la capitalización actual del token según la oferta en circulación parezca modesta.

Capitalización de mercado y valoración totalmente diluida

La capitalización de mercado suele calcularse multiplicando el precio del token por la oferta en circulación.

La valoración totalmente diluida estima el valor utilizando una cifra de oferta mayor que supone que los tokens futuros están en circulación.

Ninguna de estas cifras representa la cantidad de efectivo que podría retirarse del mercado.

Un token con poca negociación puede mostrar una valoración elevada a partir de un pequeño número de transacciones.

La valoración totalmente diluida puede revelar riesgo de dilución, pero no indica cuándo entrará en circulación la oferta futura.

El revisor debería comparar la valoración con el uso, los ingresos, las comisiones, los activos protegidos, el desarrollo y la competencia.

Las métricas de valoración deben interpretarse de forma distinta para activos de pago, tokens de gobernanza, stablecoins y derechos tokenizados.

Due diligence de liquidez

La liquidez mide la facilidad con la que se puede comprar o vender un activo sin provocar un gran cambio de precio.

El volumen diario declarado no demuestra que un usuario pueda ejecutar una operación grande cerca del precio mostrado.

El revisor debería analizar la profundidad del libro de órdenes, las reservas de los pools de liquidez, los spreads, el deslizamiento y la disponibilidad de las retiradas.

La liquidez puede estar concentrada en una plataforma, una blockchain o un par de trading.

Los creadores de mercado pueden retirar órdenes en periodos de tensión.

Un pool de liquidez también puede estar expuesto a riesgos de contratos inteligentes, de tokens y de precios.

Un informe de due diligence debería estimar el efecto probable sobre la ejecución del tamaño de posición previsto.

Concentración de titulares

La concentración de titulares mide qué proporción de la oferta controlan las direcciones grandes o las entidades relacionadas.

Un titular importante puede influir en el precio o la gobernanza.

Una dirección blockchain puede corresponder a una tesorería de protocolo, un contrato de vesting, un bridge, un custodio o muchos usuarios individuales.

Varias direcciones también pueden pertenecer a un mismo propietario.

Por tanto, las etiquetas de direcciones deben considerarse pruebas, no identidades confirmadas.

Los investigadores deberían examinar las transferencias entre wallets grandes y compararlas con los registros de asignación.

Una concentración elevada no es automáticamente inaceptable, pero debe ser coherente con el plan declarado de descentralización y distribución.

Revisa los activos y gastos de la tesorería

La tesorería de un proyecto puede financiar empleados, desarrollo, subvenciones, revisiones de seguridad, marketing y programas del ecosistema.

La due diligence debería identificar las direcciones de tesorería, los activos, los firmantes, las políticas de gasto y la autonomía operativa estimada.

Una tesorería que mantiene principalmente su propio token puede perder poder adquisitivo durante la misma caída que reduce la actividad del proyecto.

Los activos estables pueden reducir la volatilidad, pero introducen riesgos de emisor, custodia y regulación.

Las transferencias importantes sin explicación deberían investigarse mediante registros de gobernanza e informes financieros oficiales.

Los saldos on-chain transparentes no muestran todas las obligaciones ni los acuerdos off-chain.

Una gobernanza sólida de tesorería incluye presupuestos, aprobaciones, informes y separación de funciones.

Ingresos y sostenibilidad económica

Un proyecto cripto sostenible necesita una fuente de financiación o demanda económica creíble.

Los ingresos del protocolo pueden proceder de comisiones de transacción, intereses de préstamos, comisiones de trading, suscripciones, almacenamiento, emisión u otros servicios.

Las recompensas en tokens creadas mediante inflación no equivalen a ingresos pagados por usuarios externos.

Un rendimiento elevado puede depender de la emisión continua de tokens o de nuevos depósitos.

El revisor debería identificar quién paga, quién recibe valor y qué gastos hay que cubrir.

Los incentivos temporales pueden aumentar la actividad sin crear demanda duradera.

La due diligence económica debería modelar qué ocurre cuando disminuyen las subvenciones.

Due diligence de gobernanza

La gobernanza determina cómo se modifica un protocolo y quién controla las decisiones importantes.

Entre los sistemas posibles se incluyen la votación con tokens, la adopción por validadores, las decisiones de una fundación, la coordinación de desarrolladores, la aprobación multifirma o combinaciones de estos métodos.

El revisor debería identificar quién puede presentar propuestas y cómo se calcula el poder de voto.

Los tokens delegados pueden concentrar el poder en unos pocos representantes.

Una participación electoral baja puede permitir que una minoría de la oferta apruebe cambios importantes.

Algunas votaciones son consultivas, mientras que los administradores ejecutan la decisión final.

La investigación sobre gobernanza debe distinguir las normas formales de la influencia práctica de fundadores, desarrolladores, grandes titulares y proveedores de servicios.

Evalúa las afirmaciones sobre descentralización

La descentralización no es una propiedad binaria.

Una blockchain puede descentralizar la validación de transacciones y, al mismo tiempo, concentrar el desarrollo de software o el alojamiento de infraestructura.

Un protocolo puede tener muchos titulares de tokens, pero un solo administrador puede controlar las actualizaciones.

Una aplicación descentralizada puede depender de un sitio web alojado de forma centralizada y de un feed de precios.

La due diligence debería analizar la distribución de validadores, la diversidad de clientes, el poder de gobernanza, las claves administrativas, las dependencias de datos y las opciones de salida de los usuarios.

El revisor debería preguntar qué parte puede detener, censurar, modificar o redirigir el sistema.

Las afirmaciones sobre descentralización deben respaldarse con pruebas operativas actuales.

Due diligence on-chain

Los registros públicos de blockchain pueden verificar la emisión de tokens, las transferencias de tesorería, los despliegues de contratos, la actividad de gobernanza, la liquidez y la distribución de titulares.

El análisis on-chain puede revelar comportamientos distintos de los descritos en el material promocional.

También puede interpretarse mal si se presenta una transferencia aislada sin contexto.

Una transferencia entre direcciones no representa necesariamente una compra, una venta o un cambio de titularidad efectiva.

Los bridges, las wallets de custodia, las reorganizaciones internas y las migraciones de contratos pueden generar grandes movimientos.

El revisor debería combinar los datos blockchain con el código de los contratos, los anuncios del proyecto y la información jurídica.

Toda conclusión importante debería conservar los hashes de transacción y las direcciones correspondientes para poder verificarse posteriormente.

Due diligence de custodia

La due diligence de custodia determina quién controla las claves privadas y cómo se pueden recuperar, transferir o congelar los activos.

La autocustodia da a los usuarios control directo y les hace responsables de las copias de seguridad y la seguridad de las transacciones.

La custodia de terceros crea dependencia de la seguridad, solvencia, políticas y obligaciones jurídicas del proveedor.

El boletín de la SEC sobre custodia de criptoactivos recomienda preguntar quién conserva las claves, cómo se almacenan los activos y qué ocurre si el proveedor sufre un ataque informático o quiebra.

El revisor debería examinar las normas de retirada, la arquitectura de las wallets, las afirmaciones sobre seguros, la segregación, la recuperación de claves y el tratamiento en caso de insolvencia.

El saldo de una cuenta en una plataforma puede representar un derecho contractual, en lugar de un activo on-chain identificable por separado.

Due diligence de autocustodia

Una revisión de autocustodia debería examinar el origen de la wallet, el proceso de actualización, el sistema de recuperación, las redes compatibles y la información mostrada para las transacciones.

Los usuarios deberían comprobar si la wallet genera las claves localmente y si otra parte puede acceder a las copias de seguridad.

Las frases de recuperación deben permanecer offline y nunca introducirse en sitios web normales.

Las aplicaciones experimentales deberían probarse con una wallet independiente y un saldo pequeño.

Los dispositivos de hardware deberían adquirirse mediante un canal de suministro de confianza y comprobarse para detectar indicios de configuración previa.

El proceso de recuperación debería probarse antes de depender de él para proteger activos importantes.

La autocustodia elimina a una contraparte, pero aumenta la responsabilidad operativa.

Due diligence de contraparte

La due diligence de contraparte evalúa a cualquier persona u organización que deba custodiar activos, devolver fondos, emitir un token, prestar un servicio o cumplir una obligación de reembolso.

La revisión debería identificar la entidad jurídica y la jurisdicción responsable.

Pueden ser pertinentes los estados financieros, los informes de reservas, las obligaciones, las auditorías, la propiedad, la dirección y las transacciones con partes relacionadas.

Una instantánea de prueba de reservas no necesariamente muestra todas las obligaciones ni los activos prestados.

La alerta de la SEC sobre los riesgos de los criptoactivos advierte que los mecanismos de prueba de reservas pueden no ofrecer protecciones comparables a las de una auditoría de estados financieros.

Las condiciones deberían explicar cómo se tratan los activos de los clientes en caso de insolvencia.

Una marca conocida o una gran base de usuarios no eliminan el riesgo de contraparte.

Due diligence de stablecoins

La due diligence de una stablecoin examina el mecanismo diseñado para mantener el valor de referencia del token.

En el caso de tokens respaldados por reservas, la revisión debería abarcar los activos de reserva, los custodios, la liquidez, los derechos de reembolso, la información publicada y la propiedad jurídica.

En diseños respaldados por criptoactivos, debería analizar la calidad de las garantías, la sobregarantía, la liquidación, los oráculos y las situaciones de tensión del mercado.

Los diseños algorítmicos pueden depender de incentivos y tokens relacionados, en lugar de reservas íntegramente reembolsables.

Una stablecoin puede cotizar por debajo de su objetivo si los usuarios desconfían de las reservas, el reembolso o la liquidez del mercado.

También deben identificarse las facultades de congelación e inclusión en listas negras.

La palabra «estable» describe un objetivo, no una garantía.

Due diligence de staking

La due diligence de staking examina cómo se generan las recompensas y qué riesgos afectan al capital inicial.

Las recompensas pueden proceder de la emisión del protocolo, las comisiones de transacción o ambas.

El revisor debería comprender las obligaciones de los validadores, los periodos de bloqueo, los plazos de retirada, el slashing y los requisitos de software.

El staking delegado añade riesgos de contraparte o de rendimiento del validador.

Los activos de staking líquido introducen riesgos adicionales de contratos inteligentes, liquidez y desviación de precio.

Una cifra porcentual anual elevada puede verse compensada por la inflación del token o la caída de su valor de mercado.

Las recompensas de staking no deben describirse como intereses sin riesgo.

Due diligence de DeFi

La due diligence de las finanzas descentralizadas debe analizar toda la cadena de protocolos interconectados.

Una aplicación de préstamos puede depender de tokens de garantía, stablecoins, oráculos de precios, bridges, software de liquidación, gobernanza y liquidez externa.

Un fallo en un componente puede propagarse a toda la posición.

El revisor debería examinar los factores de garantía, las penalizaciones por liquidación, las reglas de los tipos de interés, los límites de retirada y la posibilidad de actualizar los contratos.

El rendimiento anunciado debe desglosarse entre comisiones, incentivos en tokens, apalancamiento y exposición a precios.

La composabilidad permite crear funciones financieras útiles, pero aumenta el riesgo derivado de las dependencias.

Antes de depositar una cantidad importante, se debería probar el protocolo con una cantidad pequeña.

Due diligence de oráculos

Un oráculo proporciona información externa o calculada a un contrato inteligente.

Los protocolos que dependen de precios pueden fallar si el oráculo se retrasa, se manipula, deja de estar disponible o se basa en un mercado con poca liquidez.

El revisor debería identificar los mercados de origen, la frecuencia de actualización, el método de agregación, las reglas alternativas y las facultades administrativas.

Un feed de precios derivado de un único mercado con poca liquidez es más fácil de manipular que uno diversificado.

Los cálculos ponderados en el tiempo pueden reducir ciertas formas de manipulación, pero reaccionan más lentamente a los cambios de precio reales.

El protocolo debería definir qué ocurre cuando el oráculo deja de actualizarse.

La seguridad del oráculo debe evaluarse junto con las reglas de liquidación y garantías.

Due diligence de bridges

Un bridge blockchain transfiere o representa valor entre distintas redes.

El bridge puede bloquear un activo en una cadena y emitir un token relacionado en otra.

La due diligence debería analizar la custodia, los validadores, los contratos inteligentes, la verificación de mensajes, las claves de actualización, los límites y los controles de emergencia.

Un bridge puede introducir riesgos aunque ambas blockchains conectadas sigan siendo seguras.

El activo envuelto puede perder valor si el respaldo bloqueado es robado o deja de estar accesible.

Los usuarios deberían confirmar qué organización o contrato puede pausar las retiradas o sustituir a los firmantes.

La exposición a un bridge debe limitarse en función de la seguridad y la liquidez del sistema completo.

Due diligence regulatoria

La regulación cripto varía según el lugar, la actividad, el producto y el tipo de cliente.

El tratamiento de un token puede variar en función de cómo se ofrezca y utilice.

La custodia, los pagos, los préstamos, los derivados, las stablecoins y los activos tokenizados pueden quedar sujetos a marcos jurídicos distintos.

La due diligence debería verificar los registros o licencias en bases de datos oficiales de los reguladores, en lugar de confiar en la página de marketing de una empresa.

La actualización de 2026 del GAFI sobre activos virtuales informa de una expansión continua de las licencias, los registros, la evaluación de riesgos, la supervisión y la aplicación de la Travel Rule.

El acceso a un servicio puede cambiar cuando cambian las leyes o las restricciones geográficas.

Para operaciones importantes o transfronterizas puede ser necesario asesoramiento jurídico.

Due diligence de AML y sanciones

La due diligence en materia de prevención del blanqueo de capitales analiza si una empresa cripto identifica a sus clientes, supervisa las transacciones, comprueba las sanciones e informa de actividades sospechosas cuando es obligatorio.

El revisor debería evaluar si las políticas se ajustan a las jurisdicciones y los servicios implicados.

Una política por escrito tiene poco valor si la organización carece de personal formado, sistemas y mecanismos de aplicación.

Las transacciones con wallets autocustodiadas pueden someterse a revisiones adicionales conforme a las normas aplicables.

Un cumplimiento deficiente puede exponer un servicio a medidas de ejecución, restricciones bancarias, congelación de activos o pérdida del acceso operativo.

La recopilación excesiva de datos también puede crear riesgos de privacidad y ciberseguridad.

Los usuarios deberían comprender qué información personal y de transacciones recopila el proveedor y durante cuánto tiempo la conserva.

Due diligence fiscal

Las transacciones con criptomonedas pueden generar obligaciones fiscales y de conservación de registros incluso cuando los fondos permanecen on-chain.

Las ventas, los intercambios, los pagos, las recompensas de staking, los ingresos de minería, los airdrops y las donaciones pueden recibir tratamientos distintos.

La guía actual del IRS sobre activos digitales indica que los contribuyentes estadounidenses deben declarar los ingresos y las transmisiones de activos digitales sujetos a declaración y conservar los documentos justificativos.

Las normas de declaración actuales también utilizan el Form 1099-DA para determinadas operaciones de intermediarios conforme a los requisitos aplicables.

Es posible que un formulario fiscal no incluya todos los datos necesarios para calcular el coste de adquisición.

Los usuarios deberían conservar las fechas de adquisición, cantidades, valores, comisiones, transferencias entre wallets y finalidad de las transacciones.

Las normas fiscales dependen de la jurisdicción y las circunstancias personales, por lo que puede ser necesario obtener asesoramiento cualificado.

Investiga el historial de seguridad

El historial de seguridad de un proyecto puede mostrar cómo responde su equipo bajo presión.

El revisor debería examinar exploits anteriores, interrupciones del servicio, pérdidas de claves, errores de software y prácticas de divulgación.

Un incidente no demuestra automáticamente que el sistema actual sea inseguro.

La respuesta debería explicar la causa, los usuarios afectados, las medidas correctivas, las compensaciones y las lecciones aprendidas.

Los equipos que ocultan incidentes o culpan a los usuarios sin pruebas generan motivos adicionales de preocupación.

Los fallos repetidos relacionados con la misma debilidad de control sugieren una gestión de riesgos deficiente.

Que un proyecto no tenga incidentes declarados puede significar que es seguro, reciente, poco probado o poco transparente.

Ciberseguridad y controles operativos

Las organizaciones que custodian o controlan criptoactivos deberían utilizar varias capas de controles de ciberseguridad y operativos.

Entre los controles pertinentes se incluyen la autenticación multifactor, las claves protegidas por hardware, las revisiones de acceso, los límites de transacción, la separación de aprobaciones, la monitorización, las copias de seguridad y la respuesta ante incidentes.

Cuando sea pertinente, los empleados con acceso privilegiado deberían someterse a comprobaciones de antecedentes y recibir formación en seguridad.

Las dependencias de software críticas deben inventariarse y supervisarse.

Las copias de seguridad deben probarse, no limitarse a crearse.

La recuperación ante desastres debería contemplar la pérdida de instalaciones, cuentas en la nube, empleados, dispositivos y sistemas de comunicación.

La due diligence debería comprobar que las afirmaciones de seguridad describen prácticas operativas, no intenciones futuras.

Identifica los conflictos de intereses

Los promotores, investigadores, desarrolladores, influencers y asesores pueden obtener beneficios económicos de la adopción o subida de precio de un token.

Un conflicto no convierte automáticamente en falsas las afirmaciones de una persona.

Sí influye en el grado de confianza que debería darse a esas afirmaciones sin pruebas independientes.

El revisor debería identificar las tenencias de tokens, la remuneración, los acuerdos de referidos, las asignaciones para inversores, las relaciones de creación de mercado y los cargos en consejos.

Un proyecto puede pagar por un informe favorable de investigación sin hacer evidente el patrocinio.

Los miembros del equipo pueden tener la posibilidad de vender tokens mientras animan al público a comprarlos.

Los conflictos importantes deben divulgarse con claridad y tenerse en cuenta en la evaluación final de riesgos.

Reconoce las señales de fraude

Las promesas de beneficios garantizados y las afirmaciones de que una inversión no puede generar pérdidas son señales de alarma importantes.

La presión para enviar criptomonedas de inmediato suele tener como objetivo impedir una investigación cuidadosa.

Las solicitudes de claves privadas o frases de recuperación deben tratarse como intentos de tomar el control de la wallet.

Las falsas alianzas, las biografías copiadas, las auditorías inventadas y las capturas de pantalla editadas son recursos promocionales habituales.

La guía de la FTC sobre estafas con criptomonedas advierte sobre los rendimientos garantizados, los pagos anticipados en criptomonedas, la suplantación de identidad y las ofertas de inversión inesperadas.

Un proyecto legítimo debería dar tiempo a los usuarios para revisar las pruebas y no pedirles información secreta de la wallet.

Perderse una oportunidad especulativa es menos perjudicial que transferir fondos a una dirección fraudulenta.

Crea un registro de riesgos

Un registro de riesgos recoge los riesgos identificados, su probabilidad, su posible impacto, las pruebas, la persona responsable y los controles posibles.

Los riesgos cripto pueden agruparse en categorías técnicas, de mercado, custodia, gobernanza, jurídicas, liquidez, contraparte y operativas.

Cada riesgo debería describirse con claridad, en lugar de limitarse a una valoración imprecisa.

Un contrato inteligente de alto riesgo puede resultar aceptable para experimentar con una asignación de prueba pequeña.

El mismo riesgo puede ser inaceptable para las reservas de una tesorería.

El registro debería identificar los riesgos que no se pueden reducir.

Así, quien toma la decisión puede comparar los beneficios esperados con la exposición restante.

Utiliza el análisis de escenarios

El análisis de escenarios pregunta cómo se comportaría la inversión o el protocolo en condiciones adversas.

Entre los escenarios posibles figuran una caída del 70% del token, la pérdida de paridad de una stablecoin, el fallo de un bridge, la pausa de un contrato inteligente o la venta de un titular importante.

Otros escenarios incluyen la indisponibilidad del sitio web, la vulneración de una clave administrativa, una restricción jurídica, la interrupción de un validador o la suspensión de retiradas.

El revisor debería estimar si el usuario podría salir y a qué coste.

Una posición que parece segura en condiciones normales puede resultar imposible de cerrar durante una situación de tensión.

El análisis debería incluir fallos correlacionados, ya que varios riesgos cripto pueden producirse al mismo tiempo.

La asignación final debería poder soportar escenarios graves pero realistas.

Documenta la tesis de inversión

Una tesis de inversión explica por qué un activo podría aumentar o conservar su valor.

Debería identificar la adopción prevista, la demanda económica, el comportamiento de la oferta, la ventaja competitiva y el horizonte temporal.

La tesis debería indicar qué pruebas demostrarían que es incorrecta.

Una subida de precio no demuestra que todas las suposiciones sean correctas.

Una caída de precio tampoco demuestra automáticamente que la tecnología haya fracasado.

Dejar por escrito las suposiciones facilita revisar la decisión sin reescribir la historia.

La tesis debería actualizarse cuando cambien hechos importantes.

Due diligence continua

La due diligence no termina después de comprar un token o aprobar un protocolo.

Los proyectos cambian mediante actualizaciones, votaciones de gobernanza, desbloqueos de tokens, nuevos responsables, incidentes y novedades jurídicas.

Los usuarios deberían supervisar los cambios administrativos, las transferencias de tesorería, los despliegues de contratos, las versiones del software y las comunicaciones de seguridad.

Debe revisarse el tamaño de la cartera cuando los movimientos de precio creen una concentración no deseada.

Un proveedor que era solvente cuando se incorporó puede tener problemas de liquidez más adelante.

Los límites de riesgo y los criterios de salida deberían revisarse con un calendario definido.

Cada vez que cambia una prueba importante, mantener un activo constituye una nueva decisión.

Ejemplo de un proceso de due diligence cripto

Supongamos que un usuario se plantea depositar stablecoins en un nuevo protocolo de préstamos.

Primero verifica el sitio web oficial, la blockchain, las direcciones de los contratos y las condiciones jurídicas.

Lee la documentación e identifica cómo obtienen rendimientos los prestamistas.

Revisa el código de los contratos, las auditorías, la autoridad de actualización, el oráculo, las reglas de garantía y el proceso de liquidación.

Examina los depósitos y las retiradas actuales, la concentración de prestatarios, los fondos de tesorería y los incidentes anteriores.

Comprueba por separado los riesgos de reserva y reembolso de la stablecoin.

Calcula las posibles pérdidas por un exploit de contrato inteligente, la pérdida de paridad de una stablecoin o una demora en las retiradas.

Después empieza con una cantidad pequeña y supervisa el protocolo antes de aumentar la exposición.

Errores habituales en la due diligence

Un error frecuente es basarse únicamente en información producida por el proyecto.

Otro es dar por hecho que un producto funcional convierte su token en una buena inversión.

Un tercer error es considerar una auditoría de contrato inteligente como una garantía.

Un cuarto error es ignorar las claves administrativas y las facultades de actualización.

Un quinto error es revisar la oferta actual sin estudiar los futuros desbloqueos de tokens.

Un sexto error es medir la liquidez solo mediante el volumen de trading declarado.

Un séptimo error es tratar las direcciones blockchain públicas como identidades jurídicas confirmadas.

Un octavo error es ignorar las consecuencias de custodia, fiscales y regulatorias.

Un noveno error es investigar una vez y no supervisar nunca los cambios posteriores.

Un décimo error es sustituir la toma de decisiones basada en pruebas por el miedo a perderse una oportunidad.

Preguntas frecuentes

¿Qué significa due diligence en el sector cripto?

Significa investigar sistemáticamente un proyecto, activo, protocolo o servicio de criptomonedas antes de comprometer fondos o firmar transacciones.

¿Por qué es importante la due diligence en el sector cripto?

Ayuda a identificar fraudes, vulnerabilidades técnicas, tokenomics engañosa, problemas de custodia, límites de liquidez e incertidumbre jurídica.

¿La due diligence es lo mismo que DYOR?

Son conceptos estrechamente relacionados, aunque due diligence suele describir un proceso más estructurado, documentado y orientado a la toma de decisiones.

¿La due diligence garantiza beneficios?

No. Reduce la incertidumbre evitable, pero no puede predecir todos los movimientos del mercado, los fallos de software ni los acontecimientos futuros.

¿Por dónde debería empezar la due diligence cripto?

Debería empezar por la decisión concreta, la finalidad del proyecto, los documentos primarios, el producto actual, el equipo, el código, los contratos y la estructura del token.

¿Cuáles son las fuentes primarias en la investigación cripto?

Incluyen los registros blockchain, el código fuente, las direcciones de contratos inteligentes, las especificaciones oficiales, los documentos jurídicos, las propuestas de gobernanza y los informes de auditoría.

¿Basta con el white paper para hacer due diligence?

No. El white paper expone el diseño y las afirmaciones del proyecto, que deben contrastarse con el código actual, los despliegues, el uso y las pruebas independientes.

¿El código abierto demuestra que un proyecto es seguro?

No. El código público puede contener vulnerabilidades y diferir del software o los contratos realmente desplegados.

¿Una auditoría garantiza la seguridad de un contrato inteligente?

No. Una auditoría puede reducir el riesgo, pero pasar por alto vulnerabilidades o quedar desactualizada tras una actualización.

¿Qué debe revisarse en un contrato de token?

Los usuarios deberían examinar la acuñación, congelación, pausa, comisiones, inclusión en listas negras, propiedad, actualizaciones, oferta y permisos administrativos.

¿Qué es la due diligence de tokenomics?

Es la revisión de la utilidad, oferta, emisión, distribución, vesting, incentivos, gobernanza y captura de valor económico del token.

¿Por qué son importantes los desbloqueos de tokens?

Los desbloqueos pueden aumentar la oferta en circulación y permitir que fundadores, empleados o inversores vendan tokens anteriormente restringidos.

¿Un precio bajo significa que un token está infravalorado?

No. La valoración depende de la oferta, la liquidez, la demanda, la utilidad, la emisión futura y la actividad económica del proyecto.

¿Qué es la due diligence de liquidez?

Es la revisión de la profundidad de mercado, los spreads, el deslizamiento, las reservas de los pools, el acceso a las retiradas y el coste probable de abrir o cerrar una posición.

¿Qué es la due diligence on-chain?

Utiliza los registros públicos de blockchain para verificar la oferta de tokens, la concentración de titulares, la actividad de tesorería, los contratos, la liquidez y el comportamiento de gobernanza.

¿Los datos on-chain permiten identificar a todos los propietarios de wallets?

No. Una persona puede controlar muchas direcciones y una dirección puede representar a muchos usuarios.

¿Qué es la due diligence de custodia?

Examina quién controla las claves privadas, cómo se almacenan los activos, cómo funcionan las retiradas y qué ocurre tras un robo, una pérdida o una insolvencia.

¿Qué debe comprobarse antes de utilizar un custodio?

Los usuarios deberían revisar la entidad jurídica, la seguridad, la segregación de activos, las normas de retirada, la situación financiera, los controles de claves y las condiciones de insolvencia.

¿Basta con la prueba de reservas?

No. Una instantánea de reservas puede no revelar todas las obligaciones, los activos prestados, las disputas de propiedad ni las obligaciones off-chain.

¿Qué debe comprobarse en una stablecoin?

La due diligence debería abarcar las reservas, los derechos de reembolso, el riesgo del emisor, los custodios, la liquidez, los contratos inteligentes, las condiciones jurídicas y las facultades de congelación.

¿Qué debe comprobarse antes de hacer staking?

Los usuarios deberían revisar las fuentes de las recompensas, la inflación, los periodos de bloqueo, las retiradas, el slashing, el riesgo de los validadores, el riesgo de los contratos y la volatilidad del precio del token.

¿Cuáles son las principales señales de fraude cripto?

Entre las principales señales figuran los rendimientos garantizados, las exigencias de pago urgente, las solicitudes de frases de recuperación, las alianzas falsas y las facultades de control ocultas.

¿La regulación demuestra que un producto cripto es seguro?

No. El estatus regulatorio puede implicar supervisión y obligaciones jurídicas, pero no elimina los riesgos de mercado, seguridad, custodia u operativa.

¿La due diligence debería incluir los impuestos?

Sí. Antes de operar, hacer staking, obtener rendimientos, intercambiar o gastar activos digitales, los usuarios deberían comprender las obligaciones de registro y el posible tratamiento fiscal.

¿Con qué frecuencia debería actualizarse la due diligence?

Debería actualizarse cuando se produzcan acontecimientos importantes y mediante revisiones periódicas adecuadas al valor y al riesgo de la posición.

¿Cuál es la regla más importante de la due diligence?

La regla principal es verificar las afirmaciones importantes mediante pruebas fiables antes de transferir fondos o firmar una autorización irreversible.

Conclusión

La due diligence es el proceso basado en pruebas para evaluar un criptoactivo, protocolo, wallet, proveedor de servicios o transacción antes de asumir sus riesgos.

Una revisión completa tiene en cuenta la tecnología, los contratos inteligentes, la oferta de tokens, la liquidez, la gobernanza, la custodia, las contrapartes, la seguridad, la legislación, los impuestos y los controles operativos.

Las fuentes primarias, como los registros blockchain, el código, las especificaciones, los documentos jurídicos y las direcciones de contratos, ofrecen el mejor punto de partida.

Las afirmaciones promocionales deberían compararse con análisis independientes y actividad observable.

Un producto funcional, un equipo público, una auditoría de contratos inteligentes o una comunidad numerosa pueden aportar pruebas útiles, pero no garantizan el éxito ni la seguridad.

Una due diligence rigurosa identifica las facultades administrativas, los futuros desbloqueos de tokens, las dependencias ocultas, los acuerdos de custodia y las condiciones de salida realistas.

También registra las preguntas pendientes y analiza cómo podría comportarse la posición durante episodios graves de tensión técnica o de mercado.

El proceso debe continuar después de la decisión inicial, porque los protocolos, las personas, la regulación y las condiciones financieras cambian.

La due diligence no puede eliminar la incertidumbre ni garantizar beneficios.

Puede ayudar a los usuarios cripto a sustituir el entusiasmo, la urgencia y las promesas sin fundamento por hechos verificables, riesgos definidos y decisiones más disciplinadas.