KYC Creep: cómo las criptomonedas se convierten en lo que juraron reemplazar

Cuando Bitcoin llegó, no era una nueva interfaz bancaria. No prometía un mejor proceso de incorporación, un chatbot amigable o una tarjeta de débito con cashback. Prometía liquidación sin permisos: dinero que se mueve no a través de bancos, procesadores, tarjetas o sistemas DTC (Digital Transaction Clearing) sancionados por el Estado, sino a través de un medio criptográfico descentralizado.

El mito fundacional de las criptomonedas se centró en la libertad: en parte real, en parte aspiracional. Bitcoin no era totalmente anónimo; solo ofrecía seudoanonimato. Tenía un registro público, una característica que en la práctica a menudo actuaba como un diferencial de privacidad. Sin embargo, la distancia entre una persona que iniciaba una transacción en un nodo y el escaneo de su pasaporte en un procedimiento de KYC (Know Your Customer) de un exchange era lo suficientemente amplia como para brindar una sensación de independencia. Uno no estaba atado a una cuenta bancaria, una tarjeta, una aplicación de procesamiento, una autoridad de control de capitales o un depositario gubernamental. Las criptomonedas, en su fase inicial, se consideraban una forma de eludir una capa completa de infraestructura financiera con permisos.

En los primeros días, la retórica de la soberanía estaba en todas partes: si no son tus claves, no son tus monedas; sé tu propio banco; el código es la ley; los terceros de confianza son vulnerabilidades de seguridad. Todo eso tenía cierto romanticismo: la sensación de que algo andaba fundamentalmente mal con el sistema (el capitalismo de vigilancia patrocinado por el Estado) y de contar con un mecanismo correctivo.

Luego, las redes cripto comenzaron a acumular valor: un valor sustancial, líquido y que atraía la atención. Los exchanges pasaron de ser pequeños y poco prácticos intermediarios extrabursátiles a necesidades de infraestructura financiera. Las stablecoins se convirtieron en rieles de liquidación. Los complejos financieros tradicionales ingresaron al espacio: fondos de capital de riesgo, gestores de activos, reguladores y especuladores minoristas. Estos últimos a menudo tenían poco interés en desintermediar nada. Todo lo que querían era una aplicación, un token, un sustituto del dólar con una UI/UX conveniente, algo de confiabilidad y un custodio de confianza. «Si no son tus claves, no son tus monedas» era una frase bonita, pero un minero nigeriano no bancarizado probablemente tenía más interés en que las claves de otra persona aseguraran los ahorros de toda su vida.

Así es como las redes cripto quedaron expuestas a la larga pinza del KYC creep. La capa de liquidación sin permisos no permaneció así por mucho tiempo: comenzó a acumular fricción en sus márgenes, transformándose lentamente en un instrumento financiero totalmente compatible con KYC.

Los primeros compromisos de privacidad en las criptomonedas rara vez llegaron como decretos impactantes de desplatformación. Llegaron en forma de mejoras convenientes: verificación de correo electrónico, vinculación de teléfono, selfie con documento de identidad, comprobante de domicilio, origen de los fondos, formularios de beneficiarios, análisis de billeteras: todas fricciones transaccionales normales en cualquier relación financiera, desde la apertura de una cuenta bancaria hasta la verificación de usuario en un exchange de criptomonedas. Al usuario, tal vez, ni siquiera le importaba; después de todo, no tenía nada que ocultar. Solo quería comprar algunas monedas, especular con el alza, mover sus stablecoins de una billetera a otra sin bloqueos ni demoras. Se acostumbró al KYC creep: la acumulación gradual de datos transaccionales de identificación personal que, a su vez, se volvieron valiosos para los actores maliciosos.

El mismo autoengaño de «no tengo nada que ocultar» alimenta el KYC creep en el ecosistema cripto: el usuario se convence a sí mismo y al sistema de que es simplemente un cliente más de un banco digital, uno que paga tarifas pero disfruta de mayores rendimientos en sus depósitos de stablecoins. Sin embargo, incluso mientras el custodio cripto le otorga una mayor autonomía financiera, vincula silenciosamente su cuenta a una lista cada vez mayor de identificadores personales e historiales de transacciones, todo lo cual puede resultar útil cuando las autoridades federales investigan pagos de ransomware, esquemas de lavado de dinero o financiamiento del terrorismo de Estado.

Cuando la ley encontró el libro contable

Los primeros puntos de presión del KYC creep no surgieron de la nada. Respondieron al marcado deseo de los primeros usuarios de Bitcoin de desintermediar la mayor cantidad posible de capas de la infraestructura financiera. De manera inadvertida, BTC y las redes cripto se convirtieron en plataformas de liquidación de uso múltiple: para remesas, compras en la dark web, sitios web de apuestas, pagos de ransomware, evasión fiscal extraterritorial y transacciones cotidianas. La mala reputación fue parcialmente merecida: Silk Road 2.0, el mercado de la dark web cerrado en 2013, se pagó, en parte, con bitcoins.

Sin embargo, a las fuerzas de seguridad solo les tomó unos pocos años darse cuenta de que los bitcoins eran, de hecho, dinero en efectivo. Las bases de usuarios de monedas virtuales estaban creciendo y diversificándose, y eso implicaba riesgos para la seguridad nacional y la integridad financiera. En 2013, la guía de la FinCEN formalizó algunas restricciones para los administradores de billeteras de monedas virtuales y exchanges. Si bien los usuarios no estaban categorizados como MSB (Money Services Businesses), sus administradores tenían que lidiar con mayores obligaciones de cumplimiento de KYC y contra el lavado de dinero (AML). En otras palabras, la ley reconoció la posibilidad de que las billeteras de bitcoin pudieran usarse para el lavado de dinero y la financiación ilícita del terrorismo, al igual que la moneda tradicional.

La guía no acabó con la industria cripto; de hecho, aceleró su crecimiento e institucionalización. Solo rediseñó la separación entre la blockchain sin permisos y los exchanges de criptomonedas con permisos que atendían a usuarios reales. Estos últimos eran en muchos aspectos similares a las instituciones financieras tradicionales: debían someterse a controles de secreto bancario, contar con programas adecuados de AML/lucha contra la financiación del terrorismo (CFT), registrarse como MSB ante la FinCEN, y así sucesivamente.

La misma dinámica funcionó en Nueva York, donde se exigió a las empresas de criptomonedas que obtuvieran una BitLicense en 2015. Muchos en la industria consideraron que los requisitos eran excesivamente onerosos y algunas compañías (por ejemplo, Bitstamp) abandonaron el estado. En la práctica, sin embargo, las empresas cripto se acostumbraron a la idea de operar como entidades financieras reguladas. La industria sobrevivió y se transformó: los negocios aprendieron a manejar mayores obligaciones de conocimiento del cliente y vigilancia de transacciones.

El ejemplo más destacado de la presión sobre la privacidad llegó en forma de la citación judicial del IRS a Coinbase en 2016. El Servicio de Impuestos Internos (IRS) solicitó a Coinbase que revelara información sobre todos los residentes estadounidenses que hubieran participado en transacciones con bitcoin en los últimos años. Coinbase se resistió a la solicitud, y la citación inicial se redujo en alcance en 2017, cuando el tribunal ordenó a Coinbase proporcionar información sobre el subconjunto de contribuyentes que habían utilizado su servicio.

El caso Coinbase ilustra un aspecto esencial de la pérdida progresiva de privacidad: a menudo llega bajo la apariencia de una citación de un tercero y no de una orden gubernamental directa. A largo plazo, el caso permitió al gobierno establecer un vínculo crítico entre billeteras seudónimas y personas del mundo real. A partir de este momento, el potencial anonimizador de la blockchain se redujo significativamente, ya que el exchange poseía información personal sobre sus usuarios.

En efecto, el caso Coinbase marcó el principio del fin para la privacidad en el mundo cripto. La citación del IRS actuó como un shock para el sistema, tras el cual las redes cripto se volvieron significativamente más transparentes para las agencias gubernamentales. Se podría decir que la descentralización, la transparencia y el anonimato de las criptomonedas se han visto comprometidos de manera importante debido a que un tribunal ordenó a un solo exchange que revelara información sobre todos sus usuarios.

Las fuerzas del orden también se están dando cuenta de que las blockchains públicas son depósitos permanentes de evidencia. Un banco puede tomar tu efectivo, pero una blockchain almacenará para siempre que alguna vez lo tuviste. Si una billetera pertenecía a un usuario anónimo, ahora es potencialmente posible identificarlo analizando las direcciones con las que interactuó on-chain. Mejor aún, si un exchange de criptomonedas ya ha vinculado una de estas direcciones a una persona, probablemente podrá identificar todas las demás direcciones asociadas a esa persona. Una vez más, la privacidad de las transacciones cripto resulta ser contextual y temporal.

La citación del IRS y la posterior divulgación por parte de Coinbase representan solo una palanca del aparato más amplio del KYC creep. A medida que las monedas virtuales ganaron mayor aceptación y popularidad, su adopción quedó inexorablemente ligada al sistema financiero tradicional. Así es como los requisitos de KYC llegaron a aplicarse a las redes cripto: primero en forma de rastreo de transacciones y análisis de billeteras, y posteriormente como solicitudes directas de datos por parte de agencias gubernamentales.

Personas razonables pueden discrepar sobre los detalles, argumentando que las concesiones de privacidad en cripto están justificadas por la necesidad de combatir el fraude y el lavado de dinero. Después de todo, las redes cripto se utilizan con frecuencia para mover fondos ilícitos: pagos de ransomware, ganancias del narcotráfico, financiamiento del terrorismo y más. Sería irresponsable que las infraestructuras financieras, incluidos los exchanges de criptomonedas, ignoraran estos riesgos. Como tal, es razonable esperar que los requisitos de KYC se apliquen a las transacciones cripto como una forma de separar los fondos ilegítimos de los que no lo son.

La industria de AML ha lidiado durante mucho tiempo con objeciones similares respecto al secreto bancario tradicional. Como resultó ser, cuantos más instrumentos hay disponibles para rastrear fondos ilícitos, más lagunas aparecen para moverlos. Todo el marco de AML es una respuesta a la insuficiencia percibida del sistema financiero tradicional para contrarrestar el lavado de dinero, el financiamiento del terrorismo y otras formas de desvío de valor. Por analogía, uno puede imaginar a la industria cripto desarrollando tecnologías de KYC cada vez más sofisticadas para combatir a los actores maliciosos centrados en la privacidad. Bajo esa perspectiva, el actual KYC creep en el cumplimiento normativo de cripto es solo el comienzo.

La máquina de cumplimiento adquiere memoria

La siguiente etapa en la eterna lucha entre privacidad y regulación recibió el nombre de KYT: Know Your Transaction. La industria pasó de los protocolos de KYC (Know Your Customer) en la apertura de cuentas al monitoreo continuo de transacciones, a medida que los oficiales de AML (Anti-Money Laundering) buscaban identificar y marcar fondos ilícitos. El foco del monitoreo de transacciones pasó de si una billetera determinada pertenecía a un terrorista a si enviaba o recibía pagos de direcciones fraudulentas, mercados de la dark web, dominios de ransomware, servicios de mezcla y otras entidades on-chain dudosas.

En gran medida, este avance fue impulsado por las recomendaciones del GAFI (Grupo de Acción Financiera Internacional) sobre activos virtuales, que se finalizaron en 2019. En respuesta a la creciente prominencia de los casos de uso ilícito de criptomonedas, el GAFI emitió directrices actualizadas de AML/CFT (lucha contra la financiación del terrorismo) para los proveedores de servicios de activos virtuales (VASP). De manera muy notable, la Travel Rule ahora exige a los VASP obtener y compartir información sobre el originador y el beneficiario en transacciones transfronterizas de valor superior a un determinado umbral.

En efecto, la industria cripto le dice un afectuoso adiós a la privacidad, ya que la carga de la prueba ahora recae en el usuario para demostrar que una billetera determinada no está vinculada a ninguna actividad ilícita. Al mismo tiempo, varias jurisdicciones se disponen a imponer una supervisión aún más estricta. Por ejemplo, el Reglamento sobre la transferencia de fondos de la UE, que pasó a ser directamente aplicable en los Estados miembros en 2023, apunta a cualquier transferencia de criptoactivos. En conjunto con la Travel Rule, la regulación MiCA (Markets in Crypto-Assets) de la UE, que entra en vigor en 2024, impondrá obligaciones de concesión de licencias y supervisión a los proveedores de servicios de criptoactivos. En efecto, para operar libremente dentro del espacio económico de la UE, una empresa cripto tendrá que funcionar como un banco.

El KYC creep más reciente se sintetiza en el intensificado monitoreo de transacciones impulsado por KYT y los esfuerzos de rastreo de fondos ilícitos. A la primera señal de actividad sospechosa, los exchanges de criptomonedas emplean software de cumplimiento de AML para escanear las transacciones y asignar puntuaciones de riesgo a las direcciones involucradas en gastos de la dark web, evasión de sanciones y otras actividades prohibidas. Como resultado, el retiro de fondos puede suspenderse temporalmente, un depósito rechazarse o el saldo de la cuenta retenerse mientras el equipo de cumplimiento investiga.

En la práctica, un usuario de criptomonedas ahora espera el mismo nivel de privacidad que un cliente bancario convencional, y por la misma razón: la infraestructura de cumplimiento del exchange de criptomonedas sirve para mantener a raya los fondos ilícitos. Al mismo tiempo, el usuario que optó por participar en transacciones sin permisos con total anonimato puede llevarse una sorpresa, ya que varios aspectos de su comportamiento financiero ahora caen bajo un mayor escrutinio. A este respecto, la diligencia debida impulsada por KYT refleja el paradigma financiero tradicional, donde las instituciones financieras emplean soluciones de monitoreo de transacciones para señalar movimientos sospechosos de fondos. Al final, la infraestructura del exchange de criptomonedas tiene el mismo propósito: reducir la exposición al riesgo de lavado de dinero.

Los usuarios de exchanges de criptomonedas, en los niveles más bajos de la pila de protocolos, enfrentan los mismos riesgos de privacidad que sus contrapartes en las finanzas tradicionales. Si bien el sistema no es en absoluto simple, se reduce a las mismas preguntas que se le hacen al cliente bancario tradicional: ¿quién es usted y qué pretende hacer con mi dinero?

El incidente de Tornado Cash y la inclusión de privacy coins en listas negras

En 2022, Tornado Cash, un popular mezclador de privacidad, fue objeto de sanciones por parte de la OFAC (Office of Foreign Assets Control) que impusieron importantes restricciones a su posterior desarrollo y crecimiento. Al hacerlo, el Tesoro de EE. UU. puso efectivamente en riesgo muchas iniciativas cripto centradas en la privacidad, ya que la jurisdicción con sede en EE. UU. es, con diferencia, la más influyente en la industria cripto. Las sanciones a Tornado Cash desataron un acalorado debate no solo entre los defensores de la privacidad sino también en el público en general, ya que la idea misma de la privacidad financiera on-chain dista mucho de ser popular entre las audiencias convencionales.

De hecho, la existencia misma de Tornado Cash y protocolos similares centrados en la privacidad está en contradicción directa con la postura del gobierno de los EE. UU. sobre la regulación de las criptomonedas. El litigio concluyó finalmente en 2025 cuando el Tesoro decidió retirar a Tornado Cash de la lista, y muchos en la comunidad de privacidad interpretaron el evento como una aprobación tácita de la OFAC a los protocolos de contratos inteligentes favorables a la privacidad.

En realidad, el incidente de Tornado Cash sirve como una ilustración más de la erosión de la privacidad. En este caso, los usuarios de billeteras centradas en la privacidad fueron quienes se llevaron la peor parte de las medidas coercitivas. Más importante aún, las sanciones a Tornado Cash y la subsecuente exclusión de depósitos con privacy coins por parte de los exchanges de criptomonedas sirven como un duro recordatorio para la industria cripto de que el anonimato es un privilegio otorgado por la regulación, no un derecho garantizado por diseño. En este sentido, el incidente de Tornado Cash y la continua exclusión de listas de privacy coins son dos caras de la misma moneda. A medida que las billeteras favorables a la privacidad y los protocolos coinjoin se vuelven cada vez más difíciles de usar, incluso las personas más conscientes de la privacidad se ven sometidas a un mayor escrutinio por parte de los exchanges de criptomonedas.

Además, el incidente de Tornado Cash sirve como un aleccionador recordatorio para las empresas cripto de que los casos de uso de las privacy coins son incompatibles con el régimen actual de KYC/AML. En respuesta a las sanciones contra Tornado Cash, varios exchanges de criptomonedas incluyeron a las privacy coins en listas negras, dificultando o incluso imposibilitando sus depósitos y retiros. Exclusiones y restricciones similares se aplicaron a billeteras centradas en la privacidad y a otras herramientas diseñadas para mejorar el anonimato.

El acuerdo de Binance y la deslistación de privacy coins

El acuerdo multimillonario de Binance con el gobierno de EE. UU. por infracciones de AML y de sanciones sirve como una historia con moraleja para toda la industria cripto. En particular, el fundador de Binance se declaró culpable de facilitar actividad financiera ilícita, mientras que la propia empresa enfrenta multas exorbitantes y un escrutinio de AML reforzado en los próximos años. En la práctica, la expansión desenfrenada del exchange de criptomonedas, que dependió en gran medida de protocolos ligeros de KYC/AML, tiene un costo significativo. En el mismo sentido, la historia de otras redes cripto está repleta de controversias relacionadas con el KYC surgidas del deseo de las firmas de escalar a toda costa.

Al final, el escaneo facial se volvió normal. El comprobante de domicilio se volvió normal. El preguntar por qué recibí los fondos se volvió normal. La revisión de la puntuación de riesgo se volvió normal. Todo lo que alguna vez le hubiera parecido al primer usuario excesivamente invasivo en términos de KYC es ahora una parte rutinaria de la experiencia de usuario de un exchange de criptomonedas. Los usuarios que antes se resistían a una solicitud de KYC de una empresa cripto ahora son mucho menos propensos a objetar, habiendo aceptado el KYC como una condición para participar en el sistema.

La ideología que perdió frente a la conveniencia

Debería haber habido una revuelta, al menos entre los usuarios más ideológicos. En realidad, no hubo ninguna. Algunos usuarios optaron por marginarse: pasaron a la autocustodia, los exchanges descentralizados, las privacy coins, los protocolos coinjoin, el comercio peer-to-peer y los espacios sin KYC, pero fueron la minoría. La mayoría simplemente acató las normas, subiendo sus documentos a cualquier billetera que el exchange les solicitara y siguiendo su camino. En gran parte, esto se debió a que nunca quisieron las funciones que la desintermediación cripto prometía.

Para reiterarlo, no fue la vigilancia estatal sino la falta de rendimiento lo que convenció a la gente de migrar a las stablecoins. No fue el control de la política lo que motivó a la gente a usar criptomonedas; fue la capacidad de especular. Fue la posibilidad de que el minero individual convirtiera unos miles de dólares en una salida multimillonaria. Fue la promesa de una banca sin permisos para los no bancarizados, no las fantasías anarcocapitalistas de una descentralización genuina. A los usuarios les importaba el sistema en la medida en que servía a sus intereses. Como tal, estaban dispuestos a ceder en sus ideales libertarios en favor de la conveniencia, la seguridad y mejores rendimientos.

Esto no busca restar valor a sus decisiones; en todo caso, es reconocerlos como humanos. Las personas no quieren pasar su vida tratando de evadir la vigilancia del Estado; quieren que su salario en stablecoins sea verdaderamente estable. Quieren pagar el alquiler, no lavar dinero. Quieren que el depósito en USD del profesional independiente sea procesado, no robado. Quieren que la inversión de la vivienda familiar esté protegida, no estafada. Por lo tanto, cuando se debe elegir entre una billetera de autocustodia y un exchange adaptado al KYC, este último tiene pocas dificultades para ganarse al usuario promedio. Y el usuario continúa usando ese exchange, sin saber qué más le espera. El KYC es solo la puerta de entrada: el exchange posee su información personal y puede utilizarla para hacerle pagar más.

Aquí es donde la ingenuidad de «no tengo nada que ocultar» se encuentra con las realidades prácticas de la larga cola de información personal. El anonimato es bueno, pero tiene sus costos. Un usuario que solo quiere comprar, vender o mantener stablecoins puede creer razonablemente que su transacción no debería estar sujeta al mismo escrutinio de KYC que la transferencia cripto de un oligarca.

Ese usuario tendría razón en la medida en que nada le impide elegir otro exchange: uno sin obligaciones de KYC, KYT o AML. En realidad, sin embargo, a menudo tiene pocas opciones al respecto: valora la estabilidad y la conveniencia, y las otras opciones no proporcionan ninguna de las dos. Como tal, cumple con las comprobaciones de KYC, creyéndose simplemente un cliente bancario más. No toma en cuenta el hecho de que el equivalente para un cliente bancario a un escaneo de KYC es mucho menos invasivo.

«No tengo nada que ocultar» es un argumento razonable en un vacío de opciones, pero deja de serlo una vez que se eliminan las alternativas. El usuario no sabe que su comodidad tiene un precio. Tiene poco interés en pagar ese precio, y tiene aún menos interés en comprenderlo.

Los falsos positivos son un problema, por supuesto: un usuario resulta bloqueado porque sus stablecoins pasaron por un mezclador, un sitio web de apuestas, un exchange hackeado, una dirección sancionada o una billetera listada por la OFAC. A veces es culpa del usuario, a veces no. En cualquiera de los dos casos, la moneda es ahora un pasivo, no un activo: su historial on-chain es una amenaza para la existencia financiera del usuario. Se vuelve consciente, aunque sea de forma lejana, de los costos que impone la conveniencia. Sin embargo, los casos atípicos siguen siendo atípicos: sus problemas son inconvenientes pero manejables dentro del sistema en general.

Qué significa la libertad después de la adopción masiva

Hay una pregunta fundamentalmente triste en el corazón de este artículo. ¿De qué sirve una moneda anti-establishment, anticonformista y centrada en la libertad que se transforma silenciosamente en lo de siempre pero con una capa de blockchain encima? ¿Dónde está la libertad cuando todas las puertas exigen identidad, todos los grandes exchanges realizan verificaciones de AML, las stablecoins pueden congelar cuentas, cada billetera tiene una puntuación de riesgo y cada herramienta de privacidad se incluye en listas negras por considerarse ilegítima?

No debería importar. La adopción de las criptomonedas para todos es excelente si la adopción es por elección, pero habrá muchas concesiones mientras la privacidad por defecto no se vea comprometida por diseño. Las criptomonedas son mucho mejores que las finanzas tradicionales en casi todos los puntos de captura de valor, pero los usuarios que desean vivir en una economía cripto con permisos están aceptando implícitamente términos peores de los que recibirían en otros lugares. Eso es normal (todos usamos criptomonedas por diferentes razones), pero cuando se trata de los fundamentos de la soberanía financiera, es poco probable que alguien pida lo que desea si no es consciente de lo que ya tiene.

Comprar bitcoin en un exchange con KYC no es libertad financiera. Liquidar USDT en un exchange con custodia no es dinero digital sin permisos. Pasar una verificación de AML para depositar stablecoins y hacer yield farming en DeFi no hace al usuario especial, ni iluminado, ni una de esas personas que entendieron las criptomonedas desde el principio: lo convierte en una persona que obtuvo permiso para participar y, probablemente, en un excelente alumno del sistema con permisos.

La misma línea de razonamiento se aplica al estado de USDT y de las stablecoins en general. Por mucho que los usuarios de todo el mundo quieran mover dinero de una jurisdicción a otra sin riesgo de confiscación ni vigilancia, la mayoría está mucho más preocupada por cuánto cuesta mover el dinero. Netts USDT Transfer Calculator es una excelente herramienta que estima las tarifas de USDT antes del envío, lo que le permite comparar quemar TRX con alquilar Energy en diferentes gateways y descubrir cuál es la opción más económica. Le ayuda a comprender cómo funciona la transferencia de TRON USDT para que pueda ahorrar dinero al no quemar TRX; le indica que tener un amigo que pueda recibir 0 USDT en realidad podría costarle más; le ayuda a identificar las tarifas de USDT más bajas, planificar con anticipación; estimar las tarifas de transferencia de USDT TRC20 sin adivinar el costo; muestra qué transferencias de USDT son formas de bajo costo, predecibles y seguras de obtener exposición a dólares, a la vez que explica que las transferencias en TRON queman Energy y Bandwidth, y que alquilar Energy bien puede ser mucho más barato que la opción por defecto. El Bandwidth y la Energy de TRON se pueden alquilar o comprar, lo que permite una adopción más amplia de la red TRON, ya que los costos de ancho de banda se reducen significativamente para que cualquiera pueda realizar transacciones económicas por montos pequeños.