KYC en pagos con criptomonedas: Lo que desarrolladores y empresas deben verificar

Ruta de pago isométrica que supera un umbral de verificación

KYC para pagos con criptomonedas significa identificar y verificar a su cliente antes de, o mientras, mueve valor por él. Si tiene que hacerlo depende menos de la tecnología que de lo que hace su negocio: custodiar fondos de clientes, intercambiar criptomonedas por fiat o solo proporcionar software. Esta guía explica dónde empieza la obligación, qué comprobaciones son estándar, cómo difieren las normas según la jurisdicción y qué decidir antes de integrar un flujo de pagos en su aplicación.

TL;DR

KYC es una capa del cumplimiento normativo en pagos con criptomonedas, junto con la evaluación de riesgos, el cribado de sanciones, la monitorización de transacciones, la conservación de registros y, donde aplique, los datos de la Travel Rule.
Los servicios de custodia, los exchanges y los on-ramps fiat son los puntos habituales donde se realizan las comprobaciones de identidad. Los proveedores de software neutrales pueden quedar fuera del perímetro, dependiendo de sus actividades y jurisdicción.
Las comprobaciones estándar cubren nombre, fecha de nacimiento, dirección y un documento de identidad gubernamental, con una selfie e información adicional para clientes de mayor riesgo.
La intensidad adecuada de las comprobaciones se basa en el riesgo, no en una comprobación idéntica para cada pago.
Defina su estatus regulatorio con asesoría legal primero, luego integre la verificación y la monitorización en el propio flujo de pagos.

Tabla de contenidos

Qué significa KYC en un flujo de pagos con criptomonedas
Quién tiene realmente que verificar a los clientes
Las comprobaciones que se requieren habitualmente
Basado en riesgo, no talla única
La Travel Rule y las wallets auto-custodiadas
Las normas cambian según la jurisdicción
Qué comprobar antes de integrar un flujo de pagos
Nuestra perspectiva
Desarrolle la parte técnica con Chaingateway
Preguntas frecuentes
Fuentes

Qué significa KYC en un flujo de pagos con criptomonedas

KYC son las siglas de “know your customer” (conozca a su cliente). En la práctica abarca identificar y verificar al cliente, comprender el propósito y la naturaleza prevista de la relación o transacción, y tomar medidas razonables para verificar a los beneficiarios efectivos. Así lo enmarca la guía de JMLSG del Reino Unido para proveedores de intercambio de criptoactivos y proveedores de wallets de custodia.

KYC no es la totalidad del cumplimiento. A su alrededor se sitúan la evaluación de riesgos de AML y contra la financiación del terrorismo, el cribado de sanciones y otros, la monitorización de transacciones, la notificación de actividades sospechosas, la conservación de registros y, donde aplique, la información de la travel rule. Cuando la gente busca “cumplimiento normativo en pagos con criptomonedas”, suele referirse a esta pila completa, y KYC es la puerta de entrada.

La base global proviene del Grupo de Acción Financiera (GAFI). Su guía actualizada sobre activos virtuales y proveedores de servicios de activos virtuales establece que los VASP deben aplicar medidas preventivas de AML/CFT, incluida la debida diligencia del cliente, la conservación de registros, la notificación de transacciones sospechosas y la travel rule. Las leyes nacionales implementan esa base, cada una a su manera.

Quién tiene realmente que verificar a los clientes

La primera pregunta no es “¿qué proveedor de KYC deberíamos elegir?”. Es “¿somos el tipo de negocio que tiene que verificar a alguien?”.

Servicios de custodia e intercambios

Si custodia fondos de clientes, intercambia criptoactivos por otros activos o fiat, o protege y administra criptoactivos, es probable que esté dentro del ámbito de aplicación. La guía de JMLSG indica que los proveedores de intercambio y los proveedores de monederos de custodia generalmente se encuentran dentro de los requisitos de debida diligencia del cliente. La custodia y transferencia de las claves de los clientes también puede situar a un negocio dentro del ámbito.

Proveedores de software neutrales

La misma guía señala que los desarrolladores de software y otros proveedores conectados a sistemas descentralizados pueden quedar fuera del perímetro. Depende de sus actividades y de si se benefician de las transacciones. “Pueden” es la palabra clave. Sus propias decisiones de diseño, como si alguna vez controla claves o se lleva una parte de los flujos, pueden moverle al otro lado de la línea.

Rampas de entrada y salida a fiat

Las blockchains sin permiso no tienen un único intermediario responsable. El Banco de Pagos Internacionales explica en su boletín sobre cumplimiento antilavado de dinero para criptoactivos que la verificación del cliente se realiza típicamente donde la cripto se encuentra con el sistema financiero convencional, como intercambios y rampas de salida. Añade que el historial de transacciones en blockchain puede complementar los controles KYC y AML.

Por eso, un comerciante que solo recibe cripto a menudo nunca realiza comprobaciones de identidad directamente, mientras que el intercambio donde el pagador compró las monedas sí lo hizo. También es por eso que la respuesta cambia en el momento en que añade una conversión a fiat o un saldo de custodia.

Flujo	Quién verifica típicamente al cliente	Qué confirmar
Monedero de custodia o saldo mantenido para usuarios	Usted, como proveedor del servicio	Licencia o registro, CDD completo, monitorización
Rampa de entrada o salida a fiat	El intercambio o procesador regulado	Quién es la parte regulada y qué datos le exigen a usted
Pagos de autocustodia, solo software	A menudo nadie en su capa	Si sus actividades y beneficio de las transacciones le ponen en el ámbito
Transferencias hacia o desde monederos autoalojados	El proveedor regulado en el otro lado	Normas locales de propiedad de monedero y de la regla de viaje

Las comprobaciones que se requieren comúnmente

Para un individuo, el conjunto estándar es simple. Los proveedores recopilan y verifican el nombre completo, la fecha de nacimiento y la dirección residencial, y comprueban un documento de identidad válido emitido por el gobierno, como un pasaporte o permiso de conducir. La guía de Veriff sobre KYC en cripto añade que las comprobaciones mejoradas pueden solicitar un selfie e información adicional, y que los requisitos varían según el intercambio. La visión general de Plaid sobre KYC para cripto describe el mismo conjunto de datos y dice que a los clientes sospechosos se les puede pedir más.

La misma guía de Veriff señala que los intercambios comúnmente restringen compras, retiradas o depósitos hasta que la verificación está completa, y que el KYC basado en riesgo puede incluir cribado de sanciones, personas expuestas políticamente y medios adversos, además de monitorización continua.

Algunos mercados verifican de forma diferente. El centro de ayuda de un proveedor describe cómo, en Indonesia, Sudáfrica y Nigeria, la verificación sin documentos suele comprobar un número oficial automáticamente: el NIK, el número del documento nacional de identidad o el NIN. Si atiende a usuarios en varios países, espere que el método de verificación cambie según la región, no solo las normas.

Qué ralentiza la verificación

Las fuentes que hemos revisado no proporcionan datos fiables sobre plazos, por lo que no inventaremos ninguno. Las causas prácticas son predecibles a partir de los propios controles: un documento que no coincide con el nombre o la dirección escritos, una imagen que el sistema no puede leer, un cliente que activa una alerta en el cribado o una solicitud de información adicional en un perfil de mayor riesgo. Diseñe su proceso de incorporación para que un cliente pueda reenviar la documentación sin empezar de cero, y para que su equipo de soporte pueda ver por qué un caso está pendiente.

Basado en el riesgo, no único para todos

El enfoque del GAFI se basa en el riesgo. La intensidad de la debida diligencia del cliente y la monitorización debe reflejar al cliente, el producto, la transacción y la geografía. Un pequeño pago recurrente de un cliente verificado no conlleva el mismo riesgo que una gran transferencia por primera vez desde una fuente poco clara.

La debida diligencia reforzada es donde esto se hace evidente. La unidad de inteligencia financiera de Malta, en sus procedimientos de implementación para el sector de criptoactivos, señala escenarios de mayor riesgo que la requieren, como transacciones que involucran jurisdicciones de alto riesgo, patrones inusuales o un origen de la riqueza o los fondos que no puede conciliarse con los volúmenes de transacciones conocidos.

Desencadenantes típicos de EDD que puede codificar como reglas:

Un cliente o contraparte vinculado a una jurisdicción de alto riesgo.
Importes o frecuencia de pago que se desvían del patrón establecido del cliente.
Fondos que no coinciden con el origen de la riqueza declarado.
Información del ordenante o beneficiario faltante o incompleta en una transferencia entrante.

Los equipos en otras categorías de pagos de alto riesgo ya ejecutan este tipo de monitorización de clientes basada en el riesgo, con suscripción, cribado de fraude y revisión continua. Los equipos de cripto pueden adoptar la misma disciplina: definir el desencadenante, derivar el caso, registrar la decisión.

La Travel Rule y las wallets autoalojadas

La Travel Rule exige que la información de identificación del remitente y el destinatario acompañe a la transferencia. Las normas de la Unión Europea sobre transferencias de criptoactivos, en vigor desde el 30 de diciembre de 2024, obligan a los proveedores a incluir los datos del ordenante y el beneficiario. Para transferencias superiores a 1.000 € que involucren una dirección autoalojada, el proveedor debe verificar si la persona correspondiente es propietaria o controla esa dirección.

Las directrices finales de la Autoridad Bancaria Europea exigen un método de verificación para wallets autoalojadas por defecto, según el análisis de Notabene sobre las directrices. El mismo análisis indica que los proveedores con limitaciones técnicas podrían utilizar pasos técnicos adicionales hasta el 31 de julio de 2025, aunque el cumplimiento total sigue siendo obligatorio.

La Travel Rule no se aplica de manera uniforme en todo el mundo. Según las cifras de GAFI 2024 citadas en la guía de la Travel Rule de la Autoridad Monetaria de Bermudas, aproximadamente el 30 % de las jurisdicciones no había implementado legislación sobre la Travel Rule. La misma guía indica que los proveedores de servicios de pago deben mantener los mensajes de la Travel Rule y obtener, verificar, transmitir o registrar la información del ordenante y del beneficiario según corresponda. La información faltante o incompleta puede fundamentar medidas reforzadas y evaluaciones de sospecha.

La Travel Rule y las wallets autoalojadas — diagrama general

Las reglas cambian según la jurisdicción

La regla que se le aplica a usted es la de los lugares donde opera y donde residen sus usuarios. Algunos ejemplos de páginas oficiales y de reguladores muestran cuánto difieren los detalles:

Unión Europea: las normas de transferencia mencionadas, con un umbral de 1000 € para la verificación de wallets autoalojadas.
Bermudas: El Reglamento 22(1) cubre todas las transferencias de fondos, en cualquier moneda, enviadas o recibidas por un proveedor de servicios de pago, incluidas las transferencias de activos digitales. El regulador espera un registro actualizado de contrapartes y la conservación de los mensajes de la Travel Rule, según la guía de la BMA mencionada.
Suiza y Liechtenstein: para wallets autoalojadas, Suiza exige verificación de identidad y prueba de titularidad, mientras que Liechtenstein exige una diligencia debida reforzada, según informa la visión general de Notabene sobre reglas de wallets no alojadas.
Reino Unido: la guía de JMLSG sobre quién está dentro del perímetro, comentada anteriormente.

Si atiende a clientes de EE. UU., el marco estadounidense es una cuestión aparte. El punto general de la investigación se mantiene: KYC es un requisito legal exigido por las autoridades supervisoras financieras, y cuál se le aplica a usted depende de su actividad y ubicación. Obtenga un dictamen por escrito de un abogado especializado en transmisión de dinero y AML en sus mercados objetivo antes de lanzar.

Qué comprobar antes de integrar un flujo de pago

Utilice esta lista en la fase de planificación, no después del lanzamiento.

Mapee su actividad. ¿Custodia alguna vez claves o saldos de usuarios? ¿Convierte a fiat? ¿Retiene una parte de las transacciones? Cada “sí” le acerca a un estatus regulado.
Identifique a la parte regulada. En cada flujo, anote quién realiza la debida diligencia del cliente. Si es un socio, obtenga por escrito sus requisitos de datos.
Enumere sus jurisdicciones. ¿Dónde está constituido y dónde residen sus usuarios y contrapartes? Verifique el estado de la Travel Rule en cada una.
Defina sus umbrales. Establezca importes y disparadores de riesgo que eleven un pago a controles reforzados.
Planifique la protección de datos. Los documentos de identidad son sensibles. Limite quién puede leerlos, defina periodos de retención con asesoramiento legal y mantenga los datos de verificación separados de los datos de pago en la medida de lo posible.
Asigne responsabilidad. Alguien debe ser titular del programa de cumplimiento, las alertas de sanciones y las decisiones sobre actividad sospechosa. “El equipo de ingeniería” no es un titular.
Conserve los registros. Almacene la decisión, los datos utilizados y la marca de tiempo de cada comprobación, para poder demostrar su trabajo.

Incluya las reglas en el código

Una visión de los profesionales en la investigación es que el cumplimiento funciona mejor integrado en los flujos de fondos como reglas deterministas en lugar de como un proceso manual separado. Estamos de acuerdo con la idea de ingeniería detrás de ello. Un pago que no puede alcanzar un estado de “liberado” hasta que pasen las comprobaciones requeridas es más fácil de auditar que una hoja de cálculo de excepciones.

Nuestra perspectiva

Construimos la infraestructura, no la opinión legal. Chaingateway es una API unificada para crear carteras, enviar transferencias de tokens, recibir notificaciones webhook y leer datos de transacciones decodificados a través de cadenas como Ethereum, Bitcoin, Tron, Solana, Polyggon, BNB Chain y Arbitrum. El cumplimiento es una capa que usted añade encima de eso, y el mejor lugar para añadirla es donde los pagos cambian de estado.

Nuestra perspectiva — diagrama general

Por eso pensamos en los webhooks como una herramienta de cumplimiento tanto como de conveniencia. Cuando llega un evento de pago entrante ya decodificado, con remitente, destinatario, token y cantidad en una sola carga útil, usted puede filtrarlo contra sus reglas antes de acreditar nada. Su propio motor de reglas decide si libera, retiene o escala. Su proveedor de KYC decide quién es el cliente. La API de blockchain le dice lo que realmente sucedió en la cadena.

También advertiríamos contra dos hábitos. Uno es tratar el KYC como un formulario único en el registro, cuando la monitorización basada en riesgo es continua. El otro es asumir que “somos solo software” resuelve su estatus. El regulador mira lo que usted hace, no cómo se llama a sí mismo.

— Bitblade

Construya el lado técnico con Chaingateway

Una vez que su modelo de cumplimiento esté claro, el trabajo de ingeniería es la creación de carteras, transferencias y manejo de eventos. Nuestra API de Blockchain le da una interfaz REST unificada a través de siete cadenas, con estimación automática de gas y peticiones firmadas con HMAC, y sin nodos que ejecutar. Webhooks y notificaciones de eventos envían eventos de pago en tiempo real a su backend, que es el gancho natural para la lógica de filtrado y monitorización. Si empieza desde cero, nuestra guía sobre crear una cartera cripto con una API recorre los primeros pasos.

Chaingateway

Los planes comienzan en 49 € al mes para Plus, 99 € para Pro, 249 € para Premium y 499 € para Enterprise, o 490 €, 990 €, 2.490 € y 4.990 € al año. Los detalles y límites de los planes están en la página de precios, y puede probar la API antes de suscribirse.

Preguntas frecuentes

¿Requiere KYC cada pago cripto?

No. Las obligaciones de KYC se aplican a ciertos negocios, principalmente intercambios, proveedores de carteras custodiales y otros proveedores de servicios regulados, en lugar de a cada transacción. Un proveedor de software neutral puede quedar fuera del perímetro, dependiendo de sus actividades y jurisdicción. Confirme su propio estatus con un abogado que conozca los mercados a los que sirve.

¿Qué documentos se suelen necesitar para el KYC cripto?

Normalmente un nombre completo, fecha de nacimiento, dirección residencial y un documento de identidad válido emitido por el gobierno, como un pasaporte o permiso de conducir. Las comprobaciones mejoradas pueden añadir un selfie e información adicional. Los requisitos varían según el proveedor y el país.

¿Puedo aceptar pagos cripto sin KYC?

A veces, si su actividad no le convierte en un proveedor regulado y su jurisdicción no le impone obligaciones. Añadir custodia, conversión a fiat o transferencias que impliquen monederos autoalojados puede cambiar eso, y las obligaciones de sanciones siguen aplicándose. Trátelo como una cuestión legal que resolver antes del lanzamiento, no como un ajuste técnico.

¿Qué es la Travel Rule?

Exige que la información del remitente y del destinatario acompañe a una transferencia de criptoactivos entre proveedores regulados. En la UE se aplica a los proveedores de servicios de criptoactivos desde el 30 de diciembre de 2024, con verificación de la titularidad del monedero para transferencias autoalojadas de 1.000 € o más. Otros países se encuentran en distintas fases.

¿Cuál es la diferencia entre KYC y AML?

KYC es la identificación y verificación del cliente. AML es el programa más amplio que también incluye evaluación de riesgos, monitorización, notificación de actividades sospechosas y conservación de registros. KYC alimenta a AML, pero superar el KYC no pone fin a sus obligaciones.