Quiero abrir un servicio de custodia de criptoactivos en España: requisitos y riesgos

Nota previa: el enunciado original menciona España; aquí lo adaptamos a Chile. Aunque el marco específico varía, los riesgos y obligaciones prácticas para un custodio de criptoactivos se repiten: responsabilidad por pérdida de activos, obligaciones de prevención de lavado de activos, deberes de información y contratos claros con clientes y proveedores.

¿Tienes razón?

El elemento central es el control de claves privadas. Si tu servicio guarda o gestiona las claves en nombre de clientes, actúas como custodio y asumes obligaciones de cuidado y diligencia. Tres factores que determinan tu estatus y riesgos: (1) control técnico de las claves, (2) relación contractual con el cliente (custodia, administración, mandato) y (3) si procesas fondos o conviertes criptoactivos a moneda local. Si solo ofreces software que los usuarios controlan localmente, tu carga es menor; si además ofreces servicios de negociación, liquidación o conversión, tus obligaciones aumentan.

Regulaciones específicas sobre servicios de custodia varían y pueden incluir requisitos de inscripción, transparencia y medidas de prevención de lavado de activos. Además, las expectativas de los clientes sobre seguridad son altas; una falla técnica o un ataque pueden derivar en responsabilidad civil y pérdida de reputación.

Cómo se soluciona

1. Modela el servicio y documenta responsabilidades. Define si ofreces custodia caliente, fría o híbrida, quién tiene acceso a las claves, y qué garantías ofreces.
2. Redacta contratos robustos. Incluye descripción de servicios, límites de responsabilidad, medidas de seguridad, procedimientos de recuperación, políticas de gestión de incidentes y protocolos para conflicto entre usuarios.
3. Implementa controles técnicos y organizativos. Llaves en HSM, multi‑sig, segregación de funciones, backups en lugares seguros y pruebas de recuperación. Mantén auditorías regulares y registro de accesos.
4. Cumple con obligaciones de prevención de lavado de activos. Establece políticas KYC/AML proporcionales al nivel de riesgo, monitoreo de transacciones y reportes cuando corresponda. Obtén asesoría para ajustar procedimientos a la normativa chilena vigente.
5. Seguros y segregación de activos. Valora coberturas contra hacking y fraude, y diseña mecanismos para segregar activos de clientes si es viable jurídicamente.
6. Transparencia y comunicación. Publica términos claros, tarifas, riesgos y procedimientos para retiro y bloqueo de activos. Habilita canales de atención y registro de reclamos.
7. Auditoría externa. Somete procesos técnicos y controles a auditorías de terceros y publica resúmenes de resultados.

Puedes ejecutar buena parte del modelo sin abogado, pero necesitas asesoría para redacción contractual, cumplimiento KYC/AML y evaluación de requerimientos regulatorios. Si vas a recibir inversión o operar a escala, la asesoría jurídica es esencial.

Qué puede pasar

1) Solución mediante negociación o remedio técnico. Muchos incidentes se resuelven con reconstitución de fondos desde backups o seguros, o con acuerdos para compensar a clientes.

2) Acuerdo o conciliación. Un cliente afectado puede negociar reembolso o compensación. A veces un arreglo evita litigio y mala prensa.

3) Juicio y sanciones. Si la pérdida se debe a negligencia grave, incumplimiento contractual o falta de medidas de AML, podrías enfrentar demandas civiles y sanciones administrativas. En juicio, si pierdes, podrías ser condenado a reparar el daño y a pagar costas; ejecutar una sentencia depende de tus activos y pólizas.

Y si ganas, ¿cobro? Una sentencia favorable te reconoce derechos, pero la recuperación dependerá de la solvencia de la contraparte o de las garantías pactadas.

Errores que arruinan el caso

• No segregar fondos ni llevar registros claros por cliente.
• Ahorrar en seguridad: no usar HSMs, no multi‑sig ni pruebas de recuperación.
• Contratos pobres que limitan responsabilidad sin medidas compensatorias.
• Falta de políticas KYC/AML o registros de transacciones.
• No contratar auditorías externas que den confianza a clientes e inversores.