«Yo no hice nada, ¿por qué han marcado mi cuenta?» Esta guía explica, al nivel en que la industria opera de verdad, las cuatro categorías de señales de monitorización AML que toda institución regulada debe vigilar —estructuración, desviación respecto a la línea base, coincidencia con tipologías y screening de direcciones on-chain— y por qué una señal activa una revisión, no un veredicto.
La entrega anterior de esta serie describió las cuatro categorías amplias que pueden llevar a una retención en una cuenta activa: monitorización de patrones transaccionales, screening de direcciones on-chain, denuncias de terceros y disparadores de protección del lado del usuario. La primera categoría es la que más preguntan los usuarios, casi siempre en alguna versión de «yo no hice nada, ¿por qué han marcado mi cuenta?». Esta guía responde a esa pregunta al nivel en que la industria opera de verdad. Describe las categorías de señales que las instituciones financieras reguladas están obligadas a vigilar. No describe las reglas internas de ninguna plataforma concreta, incluida Bitbase.
Quién define lo «sospechoso»
«Sospechoso» no es una etiqueta que cada exchange se invente por su cuenta. Es una categoría definida por los marcos internacionales contra el blanqueo de capitales y actualizada de forma continua a través de informes públicos.
La historia institucional recorre tres hitos. La Bank Secrecy Act estadounidense de 1970 introdujo los Currency Transaction Reports («CTR»): el primer requisito federal de reportar operaciones en efectivo por encima de un umbral, y el primer reconocimiento oficial de que la conducta diseñada para eludir ese umbral era en sí misma una señal. El Grupo de Acción Financiera Internacional («GAFI»), creado en París en 1989 por el G7, publica desde entonces informes de tipologías recurrentes: catálogos basados en casos sobre cómo aparecen realmente en los sistemas financieros el blanqueo de capitales, la financiación del terrorismo y los abusos relacionados. Después de 2013, la metodología de analítica de blockchain emergió como una tercera capa, aplicando el reconocimiento de patrones por dirección a los datos de los libros públicos.
La mayoría de las instituciones financieras reguladas —bancos, brókeres, transmisores de dinero, exchanges de cripto— convergen en dimensiones de monitorización muy parecidas. La razón es estructural: responden ante el mismo cuerpo de estándares internacionales. Las Recomendaciones 10 (diligencia debida del cliente), 11 (conservación de registros) y 20 (reporte de operaciones sospechosas) del GAFI forman la columna vertebral común.
Una nota terminológica antes de las categorías. Los profesionales de AML llaman a las señales de monitorización «indicadores de alerta»: patrones observables que merecen atención adicional, no conclusiones de culpabilidad. Esta guía usa «señal» en ese sentido a lo largo de todo el texto.
Señal de tipo uno — estructuración
La estructuración es la señal AML de manual. El concepto precede a la cripto en décadas. En su forma original de la era BSA, estructurar significaba partir un solo depósito grande en efectivo en varios más pequeños, cada uno justo por debajo del umbral que activaba un CTR, para evitar el requisito de reporte. La ley estadounidense trata la estructuración como delito propio desde 1986, cuando el 31 U.S.C. § 5324 —una disposición de la Bank Secrecy Act— la convirtió en tal.
La razón de que este patrón se marque con tanta insistencia es que puede observarse sin acceso alguno a la intención del cliente. Un sistema de monitorización no necesita saber por qué las transacciones tienen ese tamaño. Solo necesita observar que aterrizan sistemáticamente justo por debajo de los umbrales de reporte, que llegan en agrupaciones inusuales o que se reparten entre cuentas de formas que se parecen estadísticamente más a una estructuración evasiva que a una actividad comercial normal.
En cripto, la estructuración tiene variantes. Dividir una transferencia grande en varias transferencias más pequeñas hacia o desde la misma contraparte. Enrutar importes similares a través de varias cuentas a nombres distintos. Transacciones de prueba por importes pequeños seguidas de inmediato por una grande, en una secuencia que reproduce guiones de blanqueo conocidos. La Guía actualizada del GAFI para un enfoque basado en riesgos aplicado a los activos virtuales y los VASP (junio de 2019, revisada en octubre de 2021) nombra estos patrones en su catálogo de tipologías.
Dos características de la estructuración como señal. Primera: lo que se monitoriza es el patrón, no ninguna transacción individual. Una sola transacción por debajo de cualquier umbral no dice nada. Lo que registra el sistema es la forma de una secuencia. Segunda: la apariencia superficial de estructuración no implica por sí sola intención ilícita, porque muchos comportamientos legítimos —pagos recurrentes a proveedores por importes estandarizados, ciclos de nómina, divisiones rutinarias de suscripciones— pueden producir parecidos en la superficie. Precisamente por eso la señal activa una revisión y no una conclusión.
Señal de tipo dos — desviación respecto a la línea base
Toda cuenta establece una línea base de comportamiento a medida que se usa. Las dimensiones le resultarán familiares a cualquiera que haya leído un extracto bancario: fuentes de fondos habituales, contrapartes habituales, categorías de activo habituales, tamaños de transacción habituales, horarios habituales. La línea base en sí no se comunica al titular de la cuenta y, a efectos de monitorización, no hace falta que se comunique.
Cuando la actividad se aparta de esa línea base más de lo que explicaría una variación normal, la cuenta entra en revisión. Los apartamientos que suelen llamar la atención caen en varios patrones: un aumento de un orden de magnitud en el tamaño de las transacciones; un giro de las fuentes de fondos desde canales establecidos hacia otros nuevos; contrapartes nuevas concentradas en geografías de mayor riesgo. También se registran los cambios rápidos en la composición de activos: por ejemplo, una cuenta que lleva mucho tiempo operando activos de gran capitalización y de pronto rota por una serie de tokens de baja liquidez. Y lo mismo con transacciones agrupadas a horas inusuales respecto al ritmo establecido de la cuenta.
La línea base no está diseñada para castigar. Su función es la contraria: proporciona el estándar de comparación que permite al sistema tratar la actividad normal como normal, en lugar de tratar cada transacción como digna de comprobación por defecto. El coste de ese enfoque es que cualquier apartamiento suficientemente brusco de la línea base, incluso con una explicación benigna, se registra como señal.
En la práctica, hechos vitales con explicaciones legítimas pueden producir apartamientos de la línea base. Heredar fondos, vender una empresa, recibir un bonus grande, empezar una nueva estrategia de inversión o simplemente retomar la actividad tras un largo periodo de inactividad pueden aparecer como desviaciones. El sistema de monitorización no tiene acceso al motivo de fondo. Registra la forma del cambio. La verificación, aportada por el usuario durante la revisión, es el mecanismo por el que la explicación entra en el expediente.
El punto de encuadre: la desviación respecto a la línea base no es un veredicto de que algo va mal. Es el sistema anotando que el cuadro ha cambiado y que un revisor humano debería echarle un vistazo.
Señal de tipo tres — coincidencia con tipologías
El GAFI y sus organismos regionales publican informes de tipologías de forma continua desde los años noventa. También lo hacen las unidades de inteligencia financiera nacionales: FinCEN en Estados Unidos, la FCA en el Reino Unido, AUSTRAC en Australia y otras. Estos informes son catálogos basados en casos sobre cómo se han manifestado patrones concretos de abuso en casos observados: fraude por toma de control de cuentas, cadenas de estratificación en operaciones de blanqueo, guiones de manipulación de mercado, flujos de pago de ransomware, métodos de elusión de sanciones.
Los sistemas de monitorización usan esas tipologías como plantillas de referencia. Cuando la actividad de una cuenta muestra suficiente parecido con una tipología conocida —en patrones de transacción, perfiles de contraparte, horarios y otros rasgos—, la evaluación de similitud cruza un umbral y la cuenta entra en revisión. A eso se le llama «coincidencia con tipologías».
Importan dos características.
Primera: la coincidencia es probabilística. Un sistema de monitorización no declara en ningún sentido binario que una cuenta «coincide» con un esquema de blanqueo. Produce una evaluación de similitud, que puede ser alta, moderada o baja. Las coincidencias de baja confianza también hay que revisarlas, porque el coste de pasar por alto un caso real es mayor que el coste de descartar un falso positivo. Esa asimetría de costes es la razón de que la monitorización se diseñe para pecar de inclusiva en la fase de señal.
Segunda: las tipologías se actualizan. Aparecen patrones de abuso nuevos, los viejos evolucionan, el catálogo se revisa de forma continua. Un comportamiento de cuenta que hace seis meses no producía ninguna coincidencia puede producirla hoy, no porque la cuenta haya cambiado, sino porque la biblioteca de tipologías se ha ampliado para cubrir un patrón recién identificado. Esta es una de las razones de que la monitorización se describa como continua y no como una comprobación en un único momento.
Lo que la coincidencia con tipologías no es: una determinación de que la cuenta participa en la actividad que describe la tipología. Es la observación de que la superficie del comportamiento, en los rasgos que el sistema puede medir, se parece a un patrón conocido lo bastante como para merecer una mirada humana más atenta.
Señal de tipo cuatro — screening de direcciones on-chain
Los tres primeros tipos de señal leen el comportamiento del usuario. Este cuarto tipo lee otra cosa: el historial previo de los fondos del usuario.
Los marcos públicos de analítica de blockchain —desarrollados por firmas como Chainalysis, Elliptic y TRM Labs desde aproximadamente 2013— mantienen grandes bibliotecas de etiquetas de riesgo por dirección derivadas de datos públicos on-chain, investigaciones públicas y divulgaciones policiales. Las categorías habituales incluyen: direcciones ligadas a entidades sancionadas por la OFAC; direcciones operadas por mezcladores conocidos; direcciones vinculadas a exploits, incidentes de robo o pagos de ransomware atribuidos públicamente; direcciones asociadas a mercados de la darknet; direcciones implicadas en operaciones de estafa confirmadas.
Cuando llegan fondos a una cuenta de exchange desde una dirección que lleva una de esas etiquetas, la cuenta receptora puede entrar en revisión con independencia de la conducta del propio usuario. En sentido saliente funciona igual: una dirección de retiro que coincide con una etiqueta de sanciones o de robo activa una atención comparable. El Reglamento de transferencias de fondos de la Unión Europea, que entró en vigor junto con MiCA, formaliza un deber paralelo para los VASP de intercambiar información del ordenante y del beneficiario en transferencias por encima de determinados umbrales.
La implicación de cara al usuario es que la procedencia de los fondos, y no solo su destino, puede afectar al estado de la cuenta. Un usuario que recibió una transferencia cuyo historial previo desconocía puede encontrarse con que la cuenta receptora requiere verificación. Es un rasgo estructural de cómo interactúa la transparencia on-chain con las obligaciones AML: la cadena es pública, las etiquetas son metodología pública y las instituciones reguladas están obligadas a leer ambas.
Igual que con los tres tipos de señal anteriores, una coincidencia de etiqueta de dirección es un disparador de revisión, no una conclusión. Muchas asociaciones de etiqueta se resuelven en cuanto el usuario aporta documentación del origen de los fondos.
Una señal no es un veredicto
Este encuadre atraviesa todas las secciones anteriores.
En cada una de las cuatro categorías, la acción del sistema es la misma: una señal activa una obligación de revisión. La revisión la realizan personas, normalmente con la cooperación del usuario. Se pide al usuario que aporte contexto: explicaciones, documentación, registros de respaldo. La señal, la explicación del usuario y los hechos objetivos de que dispone el revisor determinan juntos lo que ocurre después.
Una señal, tomada por sí sola, no es una determinación de que algo vaya mal. Es una marca que merece atención. La mayoría de las señales se descartan tras la revisión. Una parte menor lleva a pasos adicionales, como verificación extra o restricciones de la cuenta. En casos con sospecha de abuso grave, la escalada a las autoridades competentes sigue la vía definida por la ley. Ninguna plataforma publica las proporciones, porque hacerlo desarmaría la función de monitorización.
Para un usuario con la cuenta marcada, la implicación es directa. La revisión es un procedimiento. Cooperar con las solicitudes de verificación, aportar documentación exacta y usar los canales oficiales de atención al cliente son las únicas acciones relevantes. No hay una vía más rápida, ni una persona con quien negociar por dentro, ni una técnica para quitar señales. El sistema está diseñado para pesar pruebas. La respuesta que le corresponde es aportarlas.
Esta es la segunda parte de una serie sobre cómo gestionan los exchanges regulados los controles de cuenta; sigue leyendo Bitbase Academy.
Lecturas relacionadas
Otros artículos de Bitbase sobre este tema:
- Bróker de cripto o exchange: ¿en qué se diferencian?
- Ratios de gastos y modelos de custodia de ETF de criptomonedas
- Liquidez agregada, entre exchanges y oculta
El contenido de esta guía (incluidas, entre otras, las funciones del producto, las redes admitidas, las estructuras de comisiones y los flujos operativos) refleja el estado del sistema y las condiciones generales del mercado en la fecha de publicación. Dada la volatilidad de los mercados de activos digitales y la evolución del entorno técnico, Bitbase se reserva el derecho de optimizar o ajustar los parámetros anteriores en cualquier momento. Los usuarios deben considerar autorizados los datos en tiempo real que se muestran en el sitio web oficial de Bitbase y en la interfaz de ejecución.
Esta guía es solo una visión general de las funciones del producto y de las comisiones. No constituye asesoramiento de inversión ni una oferta legal. Para los parámetros que afectan directamente a los fondos (redes admitidas, comisiones, importes mínimos, tiempos de procesamiento), verifica la información más actual en el Centro de ayuda oficial de Bitbase antes de ejecutar cualquier transacción.
Antes de usar Bitbase, los usuarios deben leer y aceptar las Condiciones de uso, la Declaración de divulgación de riesgos y la Política de privacidad. Todas las disposiciones relativas a los derechos del usuario, la seguridad de los activos, las advertencias de riesgo y la resolución de disputas se rigen por las versiones más recientes publicadas en el sitio web oficial de Bitbase.
Bitbase opera bajo principios de cumplimiento y transparencia del riesgo. Los usuarios de determinadas jurisdicciones pueden tener restringido el uso de Bitbase o de funciones concretas conforme a la normativa local. Bitbase conserva la interpretación final de las restricciones jurisdiccionales.
Los informes de tipologías del GAFI y las guías reguladoras nacionales se actualizan de forma continua. Este artículo refleja los estándares disponibles públicamente en la fecha de publicación y no constituye asesoramiento jurídico.
Este artículo describe una metodología de monitorización del sector documentada públicamente. No describe las reglas internas de monitorización de ninguna plataforma concreta.
