Quiero abrir un servicio de custodia de criptoactivos en España: requisitos y riesgos

¿Tienes razón?

Ofrecer custodia de criptoactivos implica responsabilidades que dependen de tres factores: si usted tiene control de las claves privadas, si administra recursos de terceros (fondos) y si ofrece servicios auxiliares como conversión fiat‑crypto. Si su servicio sólo facilita la conexión entre wallet del usuario y la blockchain sin retener claves, su exposición es menor. En cambio, cuando custodia fondos, su deber de cuidado aumenta y puede ser responsable por pérdidas derivadas de fallos técnicos, fraudes o mala gestión.

En Ecuador no existe un régimen específico exclusivamente para custodia de criptoactivos tan concreto como en otras jurisdicciones, pero aplican normas generales de protección al consumidor, obligaciones contractuales, y estándares de diligencia tecnológica y fiscal. Asimismo, si su actividad involucra prevención de lavado, deben incorporarse medidas KYC/AML conforme a la normativa vigente y a las obligaciones de reporte ante las autoridades correspondientes.

Cómo se soluciona

1) Defina legalmente el servicio. Determine si su negocio será custodial (control de claves) o no custodial. Redacte contratos que expliquen la naturaleza del servicio, riesgos asumidos y límites de responsabilidad.

2) Implementación técnica y auditorías. Establezca medidas de seguridad: separación de hot y cold wallets, procedimientos de recuperación, cifrado, controles de acceso con roles, doble firma cuando proceda y pruebas de stress. Contrate auditorías de seguridad y mantenga reportes técnicos que demuestren la diligencia.

3) Segregación y gobernanza de activos. Mantenga cuentas separadas para fondos propios y ajenos; documente procedimientos de registro y conciliación. Esto facilita la trazabilidad en caso de incidente y protege a los clientes ante insolvencia.

4) Políticas KYC/AML y cumplimiento fiscal. Adopte procedimientos de identificación y monitoreo de clientes según el riesgo de la operación. Establezca canales de reporte ante autoridades y mantenga registros adecuados para auditorías.

5) Contratos de servicio y seguros. Redacte contratos claros sobre límites de responsabilidad, procedimientos ante incidentes y mecanismos de compensación. Valore la contratación de pólizas de seguro cibernético o de custodia que cubran determinados riesgos.

6) Atención al cliente y gestión de incidentes. Tenga un protocolo para notificación de brechas, restitución provisional de fondos y cooperación con autoridades. Registre todas las comunicaciones.

7) Revisión regulatoria y fiscal. Evalúe obligaciones fiscales relacionadas con servicios prestados y la retención o reporte de operaciones. Mantenga asesoría contable y fiscal.

Qué puede hacer hoy: documente el modelo (custodia/no custodial), pruebe técnicamente la separación de activos y el acceso a claves, y prepare un borrador de contrato de servicio con cláusulas transparentes sobre riesgos.

Qué puede pasar

1) Resolución mediante corrección técnica y compensación. Si el daño proviene de un fallo limitado, la solución habitual es restaurar fondos desde reservas o seguros y mejorar controles.

2) Acuerdo entre partes. Las controversias por pérdida de activos suelen solucionarse mediante acuerdos que combinan restitución parcial y medidas de seguridad adicionales. Un acuerdo que ofrece compensación cierta puede ser preferible a un juicio largo.

3) Reclamo administrativo o judicial. Si hay negligencia demostrable en la custodia, puede abrirse una acción civil por incumplimiento contractual y, si procede, responsabilidades penales por negligencia grave o fraude. Además, la autoridad competente puede imponer sanciones administrativas por incumplimientos de protección al consumidor o de prevención de lavado.

En caso de sentencia favorable, la ejecución dependerá de la solvencia del proveedor y de la posibilidad de embargar activos claros; por eso la segregación de activos y los seguros son cruciales para dar confianza a los clientes.

Errores que arruinan el caso

• No segregar activos: mezclar fondos propios con de clientes complica la restitución y eleva el riesgo de insolvencia.
• No auditar seguridad: ausencia de pruebas de auditoría técnica dificulta demostrar diligencia.
• Contratos ambiguos: cláusulas oscuras sobre responsabilidad generan litigios y pérdidas reputacionales.
• No tener plan de respuesta a incidentes: la falta de protocolo eleva pérdidas y sanciones.
• Falta de cumplimiento KYC/AML: puede atraer sanciones y poner en riesgo al negocio.