En breve: El KYC, o Know Your Customer (Conozca a su Cliente) es un proceso que utilizan los servicios cripto para confirmar quiénes son sus clientes y decidir qué nivel de acceso les deben otorgar. Bien hecho, verifica la persona, comprueba el documento de identidad, examina los riesgos regulatorios y de fraude y vincula los datos de identidad con cuenta, cartera, Travel Rule, impuesto y flujos de trabajo de recuperación.
Con la pseudoanonimidad que ofrecen las criptomonedas, se ha vuelto aparentemente más fácil para los delincuentes participar en actividades ilícitas. Pero a medida que la industria madura, las autoridades regulatorias han introducido procedimientos obligatorios de KYC y AML para hacer frente a estos riesgos.
En este artículo, se explicará cómo funciona el KYC en el entorno cripto, qué empresas del sector cripto lo necesitan y cómo implementarlo si está listo para asumir ese desafío.
¿Qué es el KYC en cripto?
El KYC, o Know Your Customer (Conozca a su Cliente), es un proceso que utilizan las instituciones financieras para verificar la identidad de sus clientes. El objetivo del KYC es prevenir el lavado de dinero, la financiación del terrorismo y otros delitos financieros, asegurando que los usuarios sean quienes dicen ser.
El marco moderno del KYC tomó forma tras los atentados del 11 de septiembre, cuando la Ley USA PATRIOT introdujo el Programa de identificación de clientes (CIP) y convirtió la verificación de la identidad en un requisito federal, en lugar de una buena práctica voluntaria.
El proceso KYC no es algo específico para la industria cripto. Originalmente concebida como una normativa para las organizaciones financieras tradicionales, como los bancos, ahora es una forma de sacar la industria de cripto de la clandestinidad y hacerla más transparente y segura.
Normalmente el proceso KYC exige a los clientes que proporcionen información personal, como su nombre, dirección, fecha de nacimiento y documento de identidad emitido por el gobierno. Esta información después se verifica mediante varios métodos, como la autenticación de documentos, las comprobaciones biométricas, y, cuando procede, la comparación con fuentes de datos fiables.
El KYC también suele incluir control en prevención de lavado de dinero (AML), como revisión de sanciones, personas políticamente expuestas (PEP) y medios adversos, para ayudar a la empresa a evaluar si puede prestar servicio al cliente de acuerdo con su política de riesgo y cumplimiento normativo.
Una vez verificada la identidad del usuario, se le habilita el acceso a los servicios solicitados. Por ejemplo, para comprar, vender, retirar o prestar criptomonedas.
Es importante tener en cuenta que el KYC es un requisito legal en muchas jurisdicciones. No cumplir con estas regulaciones puede conllevar sanciones, la prohibición total de operar e incluso consecuencias penales o sanciones por presunta participación en el blanqueo de capitales o la financiación del terrorismo.
¿Qué servicios cripto exigen KYC?
El abanico de servicios que pueden requerir el KYC incluye intercambio centralizado (VASPs), billeteras cripto con custodia y marketplaces de intercambio P2P (persona a persona). Algunos otros ejemplos de proveedores de servicios relacionados con criptomonedas que pueden exigir KYC también incluyen:
-
Rampas de entrada y de salida de dinero fiat: servicios que permiten a los usuarios intercambiar criptomonedas y monedas tradicionales mediante tarjetas bancarias, transferencias bancarias o proveedores de pagos.
-
Servicios de trading OTC (over-the-counter). Estas plataformas permiten ejecutar órdenes – normalmente de montos elevados – directamente con una contraparte a través de una mesa OTC, en lugar de hacerlo en un mercado abierto.
-
Plataformas de préstamos cripto. Tales plataformas permiten a los usuarios acceder a créditos utilizando criptomonedas como garantía.
-
Procesadores de pago. Estos servicios ofrecen a los comercios la posibilidad de aceptar pagos con criptomonedas por sus bienes o servicios.
-
Plataformas de venta de tokens. Son plataformas que permiten a empresas del sector cripto recaudar fondos ofreciendo sus tokens a inversores interesados en etapas tempranas.
-
Cajeros automáticos y quioscos de criptomonedas: máquinas físicas que permiten a los usuarios comprar o vender criptomonedas, a menudo con efectivo, tarjetas o transferencias electrónicas.
-
Corredurías de criptomonedas y aplicaciones de trading alojadas: servicios basados en cuentas que ofrecen a los usuarios una interfaz gestionada para comprar, vender o mantener criptomonedas.
Sin embargo, no es el tipo específico de servicio lo que determina si una empresa debe cumplir con KYC. Los dos factores clave son:
-
La jurisdicción en la que la empresa cripto desea operar;
-
El volumen de fondos que gestiona.
Veamos estos factores con más detalle.
Suscríbase para recibir un resumen quincenal del blog de Regula
¿Cómo varían los requisitos de KYC para las criptomonedas según la región?
En muchas jurisdicciones, no es legal que una empresa cripto opere sin implementar algún tipo de proceso de KYC. Mientras que los aspectos específicos de la normativa varían según el país, todos los equipos de KYC pueden organizar su trabajo en torno a tres requisitos recurrentes: la concesión de licencias, los controles contra el blanqueo de capitales y las transferencias trazables.
Muchas de estas normas locales se basan en las directrices del Grupo de Acción Financiera Internacional (GAFI), el organismo internacional encargado de establecer las normas en materia de lucha contra el blanqueo de capitales (AML) y la financiación del terrorismo (CFT). El GAFI no concede licencias directamente a las empresas del sector cripto, pero sus recomendaciones marcan la pauta sobre cómo regulan los países los activos virtuales y los proveedores de servicios relacionados con los activos virtuales.
También supervisa las jurisdicciones con regímenes débiles en materia de AML/CFT a través de sus listas grises y negras. Si un país no cumple las normas del GAFI, puede ser sometido a una mayor supervisión o ser identificado como de alto riesgo. Esto afecta no solo a la reputación del país, sino también a la forma en que los bancos y otras entidades reguladas tratan a las contrapartes de esa jurisdicción. Por ejemplo, en febrero de 2026, el GAFI solicitó las contramedidas contra Irán y la RPDC, y que se reforzara la diligencia debida en el caso de Myanmar.
Estados Unidos: FinCEN, obligaciones de BSA e informe fiscal
El mercado estadounidense es uno de los más regulados. Un ejemplo claro de los desafíos en el mercado norteamericano es Binance US. En 2019, Binance tuvo que lanzar una plataforma de intercambio independiente para poder cumplir con todos los requisitos (es decir, para poder seguir operando en el mercado estadounidense).
En Estados Unidos, los criptoactivos están bajo el marco de la Bank Secrecy Act (BSA). Todas las plataformas de intercambio de criptomonedas deben registrarse en FinCEN y exigir la verificación de identidad a sus usuarios para cumplir con las regulaciones AML (contra el lavado de dinero) y CFT (contra la financiación del terrorismo).
Además, el IRS es uno de los principales organismos que promueve la verificación de identidad en el país. Para las transacciones con activos digitales realizadas en 2025, los corredores de criptomonedas con servicio de custodia deben declarar los ingresos brutos en el Formulario 1099-DA; la declaración del coste de adquisición se aplicará posteriormente a los activos sujetos a esta normativa adquiridos a partir del 1 de enero de 2026.
Aparte de regulaciones federales, existen requisitos de licencia a nivel estatal. Por ejemplo:
-
Nueva York: Para llevar a cabo actividades empresariales con monedas virtuales, las entidades pueden solicitar una BitLicense o una autorización en virtud de la Ley Bancaria de Nueva York.
-
California: El Departamento de Protección e Innovación Financiera de California (DFPI) exige que la mayoría de las empresas de activos digitales que prestan servicios a residentes de California cuenten con una licencia conforme a la Ley de Activos Financieros Digitales (DFAL). Las multas por incumplimiento pueden ascender hasta 100 000 dólares al día.
-
Texas: Generalmente las plataformas de criptomonedas deben disponer de una Licencia de Transmisor de Dinero (MTL) expedida por el Departamento de Banca de Texas si custodian activos de clientes, gestionan cajeros automáticos o quioscos de criptomonedas, o operan con monedas estables.
Unión Europea: MiCA y Travel Rule
La Unión Europea también es un mercado intensamente regulado, en el que las normativas nacionales sobre criptomonedas, antes muy fragmentadas, ya han evolucionado hacia un régimen regulatorio más armonizado. Hasta la fecha, se han puesto en marcha varias iniciativas importantes que afectan al KYC.
La primera es la 5.ª Directiva contra el Lavado de Dinero (AMLD5), que incluyó a los servicios de intercambio de criptoactivos y a los proveedores de carteras de custodia en el ámbito de aplicación de la normativa de la UE en materia de lucha contra el blanqueo de capitales y la financiación del terrorismo, y los sometió a obligaciones de diligencia debida respecto al cliente y de presentación de informes.
MiCA, el reglamento sobre mercados de criptoactivos, ahora ofrece a los proveedores de servicios relacionados con criptoactivos un marco de autorización común en toda la UE.
La Travel Rule de la UE introduce un requisito de calidad de los datos y trazabilidad para las transferencias de criptoactivos. En virtud del Reglamento (UE) 2023/1113, los proveedores de servicios de criptoactivos deben recopilar y transmitir la información requerida sobre el originador y el beneficiario en las transferencias sujetas a dicha normativa, y las directrices de la EBA aclaran los requisitos de información operativa.
Además, la UE ha adoptado un nuevo paquete de AML, centrado en el Reglamento contra el blanqueo de capitales (AMLR) y en la directiva complementaria, conocida a menudo como AMLD6. Este paquete armonizará aún más la diligencia debida con respecto al cliente, la verificación de la identidad, los controles de la titularidad real y la supervisión continua en toda la UE, lo que hará que las expectativas de KYC sean más coherentes entre los Estados miembros.
Otros regiones importantes
Además de EE. UU. y la UE, existen otras jurisdicciones de gran relevancia que cuentan con marcos normativos bien desarrollados en materia de criptomonedas y KYC con los que se encuentran la mayoría de las empresas del sector.
El Reino Unido ha introducido un régimen integral sobre criptoactivos en virtud del Reglamento de 2026 de la Ley de Servicios y Mercados Financieros de 2000 (Criptoactivos). Esto incorpora a las empresas de criptoactivos al ámbito regulatorio, exigiendo la autorización de la Autoridad de Conducta Financiera (FCA) para numerosas actividades, entre las que se incluyen:
-
La venta o suscripción de criptoactivos que cumplan los requisitos a consumidores del Reino Unido (incluso en el caso de empresas extranjeras)
-
La gestión de plataformas de trading, la intermediación, la concesión y obtención de préstamos, el staking y determinadas actividades de DeFi
El nuevo régimen entrará en vigor el 25 de octubre de 2027.
Los EAU es un mercado de activos virtuales de más rápido crecimiento en Oriente Medio con un marco normativo de muchas capas especialmente diseñado para servicios cripto.
-
A nivel federal, la Resolución del Gabinete N.º 111 de 2022 establece el marco legal para los activos virtuales y requiere el cumplimiento de AML/CFT y la protección de inversores.
-
La Autoridad del Mercado de Capitales (CMA) regula trading de activos virtuales y actividades financieras relacionadas en el territorio continental, mientras que el Banco Central de los Emiratos Árabes Unidos regula determinados aspectos relacionados con las monedas estables y los tokens de pago.
Paralelamente, los distintos emiratos y las zonas francas financieras cuentan con sus propios regímenes. El Emirato de Dubái, por ejemplo, ha creado la Autoridad Reguladora de Activos Virtuales (VARA), que ya emitió su Reglamento de Activos Virtuales y Actividades Relacionadas 2023.
El principal marco normativo de Singapur en materia de criptomonedas es la Ley de Servicios de Pago, en virtud de la cual las empresas del sector cripto que presten servicios a clientes de Singapur deben contar con una licencia de Token de Pago Digital (DPT) expedida por la Autoridad Monetaria de Singapur. Otro régimen independiente y más restringido – el de los Proveedores de Servicios de Tokens Digitales (DTSP) – entró en vigor el 30 de junio de 2025 y se aplica a las entidades con sede en Singapur que presten servicios exclusivamente a clientes extranjeros.
¿Pueden los servicios de criptomonedas posponer el KYC hasta que los usuarios alcancen volúmenes más elevados?
En general, en industrias reguladas, servicios cripto no pueden posponer legalmente el KYC hasta que los usuarios alcancen volúmenes más elevados. El KYC es la primera fase de la diligencia debida en materia de AML/CFT, y los organismos reguladores exigen a las empresas que verifiquen la identidad y evalúen el riesgo antes de permitir que los clientes utilicen los servicios.
Al mismo tiempo, los organismos reguladores permiten aplicar un enfoque basado en el riesgo a la intensidad de los controles (CDD simplificada vs. CDD reforzada), pero no omiten por completo del KYC a los usuarios con un volumen de actividad reducido. Una de las opciones es implementar una incorporación progresiva, en la que los usuarios puedan empezar con funciones limitadas y completar el KYC antes de desbloquear todas las funcionalidades. Por ejemplo:
| Nivel | Datos de identidad requeridos | Capacidades disponibles |
|---|---|---|
| Nivel 0 – No hay KYC |
|
La mayoría de las plataformas de intercambio de mayor prestigio ya no ofrecen esta opción, o la limitan a “sólo visualización” o al cierre de posiciones. |
| Nivel 1 – KYC básico |
En adición a Nivel 0:
|
Ofrece una experiencia comercial completa: rampas de entrada y de salida de dinero fiat, trading, retiradas de entre unos 25 000 y 1 millón de dólares al día, dependiendo de la plataforma de intercambio. |
| Nivel 2 – Intermedio |
En adición a Nivel 1:
|
Permite acceder a límites más altos de depósito y trading. |
| Nivel 3 – Avanzado/ Pro (Diligencia debida reforzada) |
En adición a Nivel 2:
|
Límites máximos. |
¿Puede un servicio cripto operar sin KYC?
La implementación generalizada del KYC por parte de los servicios cripto ha generado debate sobre su impacto en la industria. Cuando Binance introdujo el KYC, más del 96 % de sus usuarios aceptaron el cambio. En el caso de ShapeShift, sin embargo, el KYC provocó la pérdida del 95 % de su base de usuarios, lo que obligó a la plataforma a cambiar por completo su modelo de negocio para poder mantenerse a flote.
Por un lado, los procedimientos de KYC aportan mayor seguridad al público en general. Esto mejora la reputación de la industria y favorece una mayor adopción de las criptomonedas por parte de una comunidad más amplia. Al verificar la identidad de los usuarios, los servicios cripto pueden reducir el riesgo de fraude, suplantación de identidad, exposición de sanciones, abuso de cuenta y otros riesgos de delitos financieros.
Por otro lado, el KYC puede crear fricciones para los usuarios que valoran la rapidez, la privacidad y la posibilidad de realizar transacciones sin comprobaciones de identidad vinculadas a una cuenta. En el ámbito de las criptomonedas, esa preocupación es mayor que en muchos otros servicios financieros, ya que la privacidad y la autocustodia siempre han formado parte del atractivo de este mercado.
Sin embargo, para la mayoría de las empresas en cripto que aspiran a operar en mercados de alto impacto, la ausencia de KYC no constituye una estrategia de crecimiento realista. Si un servicio gestiona activos, procesa pagos en dinero fiat, actúa como intermediario en operaciones, ofrece servicios de préstamo o de intermediación, lleva a cabo ventas de tokens, establece límites o controla el acceso a la actividad financiera, el KYC suele estar vinculado a la concesión de licencias.
KYC y protocolos descentralizados
Los protocolos descentralizados son un caso diferente. Es posible que un protocolo que permita a los usuarios interactuar directamente desde carteras de autocustodia no aplique un proceso de KYC basado en cuentas, como lo hacen las plataformas de intercambio centralizadas, las carteras de custodia o los servicios de entrada de dinero fiat.
Sin embargo, la capa empresarial que rodea a un protocolo puede seguir generando obligaciones. Un front-end alojado, un puente con dinero fiat, un operador que cobra comisiones, controles administrativos, un servicio de atención al cliente, controles de sanciones o restricciones de acceso basadas en la ubicación geográfica pueden alterar el análisis.
¿Cómo funciona el proceso KYC en el mundo de las criptomonedas?
Aunque los enfoques de los distintos servicios pueden variar en algunos detalles, pero en general, el proceso de KYC en cripto consta de cuatro partes: la recopilación de datos personales de los usuarios, la verificación de la identidad, la diligencia debida y la supervisión continua.
Un proceso típico de KYC en el sector cripto.
Paso 1: Recopilación de información personal del usuario
El usuario crea una cuenta y proporciona sus datos personales como nombre, número de teléfono, dirección, fecha de nacimiento y una identificación oficial.
Algunos servicios permiten ingresar parte de esta información de forma manual, aunque lo más común es que el módulo sea semi o totalmente automatizado. Por ejemplo, los datos personales pueden extraerse directamente desde el documento de identidad. Es importante destacar que la solución de automatización de ingreso de datos debe estar especializada en el procesamiento de documentos de identidad, ya que el coste de los errores es elevado.
Herramientas utilizadas: Soluciones de automatización de ingreso y extracción de datos, OCR, módulo de captura biométrica.
Paso 2: Verificación de identidad
Una vez recopilada la información del usuario, debe verificarse. Esta verificación suele dividirse en dos partes: confirmar que el documento de identidad proporcionado sea auténtico y válido, y asegurarse de que la persona que lo presenta no sea un impostor.
Normalmente, es un procedimiento iterativo que se lleva a cabo mediante diferentes soluciones de software. Por ejemplo, el proceso de verificación documental basado en tecnologías de Regula incluye:
-
el reconocimiento automático del tipo de documento y del país de origen;
-
la lectura y validación de todos los datos, incluyendo los codificados en zonas legibles por máquina, códigos de barras y chips RFID;
-
la comparación cruzada de la información proveniente de todas las fuentes.
Cuando se incluye la verificación biométrica, también se realiza un reconocimiento facial y una prueba de vida.
Herramientas utilizadas: Software de verificación de documentos, software de reconocimiento facial, módulo de prueba de vida.
Paso 3. Análisis de diligencia debida
El proceso de diligencia debida se activa si se detecta alguna alerta en las etapas anteriores, por ejemplo, si el usuario ha estado vinculado a actividades fraudulentas conocidas. También puede aplicarse cuando el usuario supera ciertos montos de operación y comienza a mover sumas más significativas. Esta fase implica verificaciones adicionales, conocidas comúnmente como KYC 2.
El procedimiento puede incluir la comparación de la información con registros públicos, verificación de antecedentes, revisión del historial financiero y métodos de verificación manual como una llamada en vivo al cliente para confirmar su identidad.
Una práctica común para vincular al usuario con su identidad es solicitar la confirmación de su dirección real o actual. Por regla general, esto se confirma mediante la carga de facturas de servicios como agua, luz o alquiler, etc.
Herramientas utilizadas: Software de evaluación de riesgos.
Paso 4. Supervisión continua
La aprobación no supone el final del proceso de KYC. Las cuentas de criptomonedas pueden llegar a ser de riesgo más adelante debido a cambios en el comportamiento, nuevas carteras, actualizaciones de sanciones, apropiación de cuentas, patrones de transacciones inusuales o datos de clientes desactualizados.
Algunos de desencadenadores incluyen:
-
Documentos de identidad caducados o sustituidos
-
Nueva información sobre residencia o fiscalidad
-
Nuevo dispositivo o evento de recuperación de cuenta
-
Vínculos con direcciones y contrapartes de alto riesgo
-
Actualización de las listas de sanciones o de PEP
-
Larga inactividad de la cuenta seguida de un movimiento de gran cuantía
-
Intentos repetidos y fallidos de inicio de sesión o de autenticación biométrica
La revisión periódica debe combinar una revisión basada en el tiempo con una basada en eventos para que las modificaciones de alto riesgo reciban la atención necesaria cuando se produzcan. En la plataforma Regula IDV, el historial de perfiles y los registros de sesiones pueden ayudar a los equipos a revisar comprobaciones anteriores cuando un usuario solicita límites más altos, recupera una cuenta o activa una alerta de riesgo relacionada con la cartera.
Para los usuarios estándares de bajo riesgo el KYC frecuentemente puede ser automatizado. Si el documento de identidad es válido y legible, los datos extraídos son coherentes, la selfie coincide con el retrato del documento, se superan las pruebas de vida, la revisión de sanciones y de PEP no arroja resultados relevantes y las señales del dispositivo o de la cartera parecen normales, el usuario suele poder completar el proceso sin necesidad de una revisión manual.
Pero “completamente automatizado” no debería significar “sin soporte humano”. En el proceso real de incorporación a las criptomonedas, lo difícil es decidir qué hacer cuando algo no está claro. Ese proceso de toma de decisiones suele ser el siguiente:
-
Aprobación: Se reconoce el documento, los datos se extraen correctamente, se superan las comprobaciones de autenticidad, los datos biométricos coinciden y la revisión no detecta señales de riesgo relevantes.
-
Reintento: La imagen está borrosa, el brillo oculta campos clave, la calidad de la selfie es demasiado baja o el usuario ha capturado la página equivocada del documento.
-
Revisión: Los datos del documento no coinciden entre las distintas zonas, la comparación facial es incierta, la revisión indica una posible coincidencia o la exposición de la cartera requiere contexto.
-
Ampliación: El usuario solicita límites más altos, utiliza un nuevo dispositivo durante la recuperación, se conecta a carteras de mayor riesgo o pasa de una actividad minorista a un comportamiento de tipo empresarial.
-
Bloqueo: El documento parece manipulado, las pruebas de vida fallan repetidamente, se confirma la exposición a sanciones o no se puede verificar la identidad con suficiente certeza.
Un enfoque basado en una plataforma lo hace más fácil de gestionar. En lugar de combinar herramientas independientes para la comprobación de documentos, los datos biométricos, el análisis, los nuevos intentos y la revisión, los equipos de criptomonedas pueden crear flujos basados en el riesgo y árboles de decisión en un único lugar. Y lo que es igual de importante, se registra cada interacción. Esto proporciona a los equipos de cumplimiento normativo, lucha contra el fraude y operaciones un registro claro de lo que se ha comprobado y de los motivos por los que se tomó una decisión.
Cómo implementar el procedimiento de KYC en cripto
Aunque la implementación del KYC en el sector de las criptomonedas es una tarea importante y de gran responsabilidad, no es algo único. El mercado de los proveedores de servicios de KYC está muy desarrollado y es competitivo, por lo que, técnicamente, incorporar un módulo de KYC puede resultar bastante sencillo.
La solución para este reto dependerá en gran parte de la filosofía de desarrollo de su empresa. Puede optar por asociarse con un proveedor de servicios KYC e integrar un módulo ya desarrollado, o bien construirlo internamente, adquiriendo las distintas tecnologías necesarias como bloques para realizar la tarea.
Si opta por la segunda opción, Regula está aquí para acompañarle como aliado tecnológico confiable. Con más de 30 años de experiencia en verificación de documentos e identidad, Regula ofrece tecnologías de vanguardia que le permiten crear flujos de verificación personalizados, garantizar la seguridad y autenticar usuarios al instante sin generar fricción en la experiencia del usuario.
¿Le interesa saber cómo la plataforma Regula IDV puede ayudar a su empresa a cumplir con la normativa KYC? Póngase en contacto con nosotros.
