Quiero abrir un servicio de custodia de criptoactivos en España: requisitos y riesgos

¿Tienes razón?

Para saber si puedes abrir un servicio de custodia sin sorpresas debes revisar tres cosas. Primero: la naturaleza jurídica del servicio: ¿custodias claves privadas o solo administras accesos? La custodia de claves implica mayor responsabilidad y, muchas veces, obligaciones regulatorias. Segundo: la regulación aplicable según el modelo: si tu servicio implica actividad financiera (recepción de fondos, cambio entre monedas, inversión colectiva), podrías entrar en el ámbito de supervisión de autoridades financieras y necesitar registros específicos. Tercero: la estructura de responsabilidad y gobernanza: si usas terceros para almacenamiento (custodios tecnológicos, proveedores en la nube) debes pactar cláusulas de responsabilidad y control de acceso claros.

En México la regulación sobre criptoactivos ha evolucionado y puede intersectar normas de prevención de lavado, obligaciones fiscales y regulaciones para servicios financieros. No existe una única licencia nacional específica para "custodia de criptoactivos" con carácter universal, pero tu actividad puede implicar obligaciones ante autoridades como la Unidad de Inteligencia Financiera, el SAT, y autoridades de supervisión financiera según la naturaleza de los servicios ofrecidos.

Cómo se soluciona

1. Define el modelo de negocio con precisión: custodio tecnológico (almacenamiento de claves), proveedor de monedero como servicio, custodia institucional para terceros o custodia combinada con exchange. Cada modelo tiene distintos riesgos y requerimientos.
2. Realiza un análisis regulatorio y de cumplimiento. Consulta a un abogado o despacho para evaluar si tu actividad requiere registro, licencia o inscripción ante autoridades financieras, y para diseñar políticas de KYC/AML, conservación de registros y reporte de operaciones inusuales.
3. Implementa medidas de seguridad técnica y operativa. Establece custodia fría (cold storage), multi-sig, hardware security modules (HSM), segregación de funciones, backups georredundantes y pruebas de penetración periódicas. Documenta todo en políticas internas y acuerdos de servicio.
4. Contrata seguros y define responsabilidades contractuales. Un seguro cibernético y cláusulas claras con clientes sobre límites de responsabilidad y condiciones de recuperación reducen riesgos, aunque no eliminan la responsabilidad por negligencia.
5. Diseña contratos robustos con clientes y proveedores. Incluye niveles de servicio, cláusulas de responsabilidad, condiciones de acceso a claves y mecanismos de resolución de controversias; valora la cláusula de arbitraje y la jurisdicción aplicable.
6. Establece controles fiscales y contables. Registra operaciones ante SAT y diseña reportes para clientes. La tributación de operaciones con criptoactivos exige cumplimiento específico.

Qué puedes hacer hoy: redacta el modelo de negocio, identifica si vas a custodiar claves o solo acceder a wallets y pide una revisión legal preliminar.

Qué puede pasar

1) Operación exitosa con cumplimiento: si implementas controles, podrías operar con confianza y reputación, atraer clientes institucionales y expandir servicios.

2) Sanciones administrativas por incumplimientos de prevención de lavado, falta de registro o incumplimientos fiscales: las autoridades pueden imponer multas y medidas restrictivas. Es un riesgo real si no se regula debidamente la actividad.

3) Responsabilidad civil y penal por fallas de seguridad o complicidad en actividades ilícitas: si tus controles son deficientes y se usan fondos en delitos, podrías enfrentar demandas civiles de clientes y responsabilidades penales por omisión o cooperación.

Sobre la recuperación de pérdidas: incluso con sentencia a favor de un cliente, la ejecución depende de activos disponibles y seguros contratados; por eso la gobernanza y los contratos son claves.

Errores que arruinan el caso

• Externalizar custodia sin contratos claros y sin auditorías de seguridad del proveedor.
• No separar cuentas ni claves entre clientes; la mezcla de activos complica responsabilidades y recuperación.
• No implementar políticas KYC/AML ni monitoreo de transacciones sospechosas desde el inicio.
• Subestimar requisitos fiscales y contables: errores en reportes atraen sanciones.
• No contar con seguros ni planes de respuesta a incidentes.