Travel Rule en la UE: por qué tu exchange pregunta por tu wallet y qué hacer cuando un retiro queda retenido

Si intentas mover cripto desde un exchange europeo a una wallet que controlas tú y el exchange te pregunta de quién es la dirección, o te pide que lo demuestres, te has topado con la «Travel Rule». Desde el 30 de diciembre de 2024 está recogida en el derecho de la UE como Reglamento (UE) 2023/1113, y la Autoridad Bancaria Europea ha publicado directrices detalladas sobre cómo deben aplicarla los exchanges. Esta guía expone, a partir del texto del reglamento y de las directrices, qué se exige, qué no, cómo funcionan en la práctica las verificaciones de titularidad y cómo evitar una transferencia retenida o devuelta.

La respuesta corta

• La regla: el Reglamento (UE) 2023/1113 obliga a los proveedores de servicios de criptoactivos (CASP) a enviar información sobre ordenante y beneficiario con cada transferencia de cripto, y a recopilarla cuando la transferencia afecta a una wallet que no está en un CASP. Se aplica desde el 30 de diciembre de 2024.
• Tu propia wallet se llama «dirección autoalojada»: una dirección del registro distribuido no vinculada a un CASP ni a una entidad similar establecida fuera de la UE (artículo 3, punto 20).
• Con cualquier importe, tu exchange debe obtener y conservar la información de ordenante y beneficiario de una transferencia hacia o desde tu wallet, y poder identificar esa transferencia de forma individual (artículos 14, apartado 5, y 16, apartado 2).
• Por encima de 1.000 euros, el exchange debe además adoptar medidas adecuadas para evaluar si la dirección es de tu propiedad o está bajo tu control (mismos artículos). De ahí vienen las peticiones de firmar un mensaje y las pequeñas transferencias de prueba.
• Qué no está cubierto: una transferencia entre personas realizada sin intervención de ningún CASP (artículo 2, apartado 4).
• Qué puede salir mal: un exchange no puede ejecutar una transferencia antes de cumplir (artículo 14, apartado 8), y un exchange que recibe una transferencia con información ausente debe decidir, según el riesgo, si la ejecuta, la rechaza, la devuelve o la suspende (artículo 17).

De dónde viene la regla

La «Travel Rule» es el nombre de un estándar, aplicado primero a las transferencias bancarias, según el cual la información sobre ordenante y beneficiario debe «viajar» con el dinero. El Reglamento (UE) 2023/1113, adoptado el 31 de mayo de 2023, lo extiende a los criptoactivos y refunde las normas anteriores sobre transferencias de fondos. El artículo 40 establece que «será aplicable a partir del 30 de diciembre de 2024».

El artículo 2, apartado 1, fija el ámbito geográfico: el reglamento se aplica a las transferencias de criptoactivos, incluidas las realizadas mediante cajeros automáticos de cripto, cuando el CASP, o el CASP intermediario, del ordenante o del beneficiario tiene su domicilio social en la Unión. Eso tiene una consecuencia práctica también para lectores fuera de la UE: si usas un exchange no europeo para enviar o recibir desde uno de la UE, el de la UE queda cubierto.

La Autoridad Bancaria Europea (EBA) emitió después las Directrices EBA/GL/2024/11, las «Travel Rule Guidelines», que también se aplican desde el 30 de diciembre de 2024. Según el supervisor financiero de Finlandia, que las publicó, especifican qué información debe acompañar a una transferencia, fijan las políticas que los exchanges necesitan para gestionar la información deficiente y «ofrecen orientaciones sobre medidas para identificar y evaluar los riesgos de blanqueo de capitales y financiación del terrorismo en las transferencias de criptoactivos hacia o desde una dirección autoalojada». Sustituyen a las anteriores directrices conjuntas de las autoridades de supervisión de 2017. Según el reglamento constitutivo de la EBA, las entidades financieras «harán todo lo posible por cumplir» tales directrices. En la práctica, las directrices explican buena parte de lo que ves en la pantalla de retiro.

Qué información viaja con una transferencia

El artículo 14 enumera los datos que el exchange del ordenante debe adjuntar, o enviar por separado de forma segura, antes o al mismo tiempo que la transferencia. No hace falta escribirlos en la transacción de la blockchain.

Antes de enviar, el exchange del ordenante debe verificar la exactitud de la información del ordenante a partir de una fuente fiable e independiente (artículo 14, apartado 6). El requisito se considera cumplido si ya fuiste identificado al abrir la cuenta conforme a la directiva antiblanqueo de la UE (artículo 14, apartado 7). El exchange «no permitirá el inicio ni ejecutará ninguna transferencia» antes de cumplir plenamente (artículo 14, apartado 8). Los datos deben presentarse «de manera segura y de conformidad con el Reglamento (UE) 2016/679», el RGPD (artículo 14, apartado 4).

Tu propia wallet: qué dice el reglamento

El artículo 3, punto 20, define la dirección autoalojada como «una dirección de registro distribuido no vinculada a ninguno de los siguientes: a) un proveedor de servicios de criptoactivos; b) una entidad no establecida en la Unión que preste servicios similares a los de un proveedor de servicios de criptoactivos». Entran una hardware wallet, una wallet de software que controlas tú y una paper wallet. Una dirección en otro exchange, no.

Para transferencias de tu exchange a tu propia wallet, el artículo 14, apartado 5, dice que el exchange «obtendrá y conservará» la información de ordenante y beneficiario «y garantizará que la transferencia de criptoactivos pueda identificarse individualmente». Añade: «en el caso de una transferencia por un importe superior a 1 000 EUR a una dirección autoalojada, el proveedor de servicios de criptoactivos del ordenante adoptará medidas adecuadas para evaluar si esa dirección es propiedad del ordenante o está controlada por este».

Para transferencias en sentido contrario, el artículo 16, apartado 2, lo refleja: el exchange receptor debe obtener y conservar la información y, para un importe superior a 1.000 EUR «desde una dirección autoalojada», adoptar medidas adecuadas para evaluar si tú posees o controlas la dirección. Ambos artículos se entienden «sin perjuicio» de las medidas específicas de mitigación de riesgos adoptadas conforme a la directiva antiblanqueo.

Cómo se mide el umbral de 1.000 euros

Las directrices de la EBA (apartados 81 y 82) dicen que el exchange debe comprobar si la transferencia alcanza o supera los 1.000 euros en el momento en que se ordenó la transferencia, para el exchange emisor, o en el momento de la recepción, para el receptor. El valor es el contravalor en euros del criptoactivo en el momento de la transferencia, «con independencia de las comisiones de transacción». Así que el umbral se refiere al valor de lo que se mueve, convertido en ese momento, y la misma cantidad de monedas puede estar por debajo un día y por encima otro.

Conviene mantener separadas dos lecturas. Por debajo del umbral, el exchange recopila igualmente la información y mantiene la transferencia identificable de forma individual. Por encima, se añade la evaluación de titularidad. Una diferencia de redacción que merece nota: el reglamento dice «superior a 1 000 EUR», mientras que la directriz de la EBA habla de transferencias que alcanzan o superan esa cifra, de modo que un exchange puede aplicar sus controles desde exactamente 1.000 euros.

Cómo comprueban los exchanges que la dirección es tuya

El reglamento habla de «medidas adecuadas» sin definirlas. Las directrices de la EBA (apartado 83) llenan el vacío. Un exchange «debería usar al menos uno» de estos métodos:

1. Verificación no asistida del tipo descrito en las directrices de la EBA sobre incorporación remota de clientes, mostrando la dirección.
2. Verificación asistida según las mismas directrices.
3. El envío de un importe predefinido desde la dirección autoalojada y hacia ella a la cuenta del exchange, «preferiblemente la menor denominación» del activo, fijado por el exchange.
4. Un mensaje firmado digitalmente: «solicitar al cliente que firme digitalmente un mensaje específico en la cuenta y en el software de la wallet con la clave correspondiente a esa dirección».
5. Otros medios técnicos adecuados que permitan una evaluación fiable y segura y dejen al exchange «plenamente convencido de saber quién posee o controla la dirección».

Las directrices dicen que la elección debería depender de las capacidades técnicas de la dirección, de la solidez de cada método y del riesgo de blanqueo (apartado 84). Cuando un método por sí solo no es suficientemente fiable, el exchange debería combinar varios (apartado 85). Por eso un exchange puede pedir más de una cosa, por ejemplo tanto un mensaje firmado como una breve verificación por vídeo.

La lista blanca

El apartado 86 explica la idea detrás del paso «añade esta dirección a tu lista blanca de retiros». Una vez que el exchange está plenamente convencido de que la dirección es tuya, debería documentarlo y «puede no necesitar volver a aplicar las medidas anteriores a las operaciones posteriores» con la misma dirección. El exchange debería, sin embargo, mantener controles para detectar cambios en el riesgo de la dirección o en su titularidad, y retirar la dirección de la lista blanca si hay indicios de que ya no la controlas. Hacer la verificación una vez, con calma, suele ser mejor que pasarla en cada retiro grande.

Si la wallet es de otra persona

A veces la dirección está controlada por un tercero, por ejemplo la wallet de un familiar o de una empresa. El apartado 89 dice que el exchange puede dar igualmente por hecha la verificación si recopila datos adicionales de fuentes fiables e independientes, como análisis de blockchain, datos de terceros e información pública, o usa otros medios adecuados para conocer la identidad del ordenante o del beneficiario y poder demostrarlo a su supervisor. Espera más preguntas, y espera que algunos exchanges puedan rechazar estas transferencias por política propia. Nada de lo que hemos leído obliga a un exchange a aceptarlas.

Qué no está cubierto

El artículo 2, apartado 4, enumera dos exclusiones para las transferencias de criptoactivos: cuando «el ordenante y el beneficiario son ambos proveedores de servicios de criptoactivos que actúan por cuenta propia», y cuando la transferencia «constituye una transferencia de criptoactivos entre personas realizada sin la intervención de un proveedor de servicios de criptoactivos». La segunda es la situación en que envías monedas de una wallet autoalojada a otra sin ningún exchange en ninguno de los dos extremos. La Travel Rule, tal como está escrita, no la alcanza.

Queremos ser cuidadosos con lo que se deduce. No significa que las transferencias entre wallets en autocustodia estén libres de otras normas, ni que los exchanges no puedan preguntar por el origen de tus fondos en virtud de sus propias obligaciones antiblanqueo. Solo significa que los requisitos de datos de este reglamento concreto no se aplican a una transferencia pura de wallet a wallet.

Por qué un retiro o un depósito se retiene, se devuelve o se rechaza

Cuatro disposiciones explican la mayor parte de lo que los lectores describen como «mi transferencia está atascada».

1. El exchange emisor aún no puede enviar. Artículo 14, apartado 8: «no permitirá el inicio ni ejecutará ninguna transferencia» antes de cumplir plenamente. Si tu declaración está incompleta o la comprobación de titularidad está pendiente, el retiro espera.

2. El exchange receptor detecta información ausente. El artículo 17, apartado 1, exige «procedimientos eficaces basados en el riesgo» para determinar si ejecutar, rechazar, devolver o suspender una transferencia que carece de la información requerida y, cuando falta o está incompleta, actuar «en función del riesgo y sin demora indebida». Un depósito desde una dirección que no has declarado puede por tanto devolverse o retenerse.

3. La información ausente eleva la sospecha. El artículo 18 indica al exchange receptor que tenga en cuenta la información ausente o incompleta como factor al evaluar si una transferencia o una operación relacionada es sospechosa y debe comunicarse a la unidad de inteligencia financiera nacional. Los incumplimientos reiterados de otro exchange al facilitar la información pueden llevar al exchange receptor a restringir o poner fin a su relación con él y a comunicar el incumplimiento a su supervisor (artículo 17, apartado 2).

4. La evaluación de riesgo marca la dirección. Las directrices de la EBA (apartado 88) dicen que los exchanges deberían aplicar al menos una medida de mitigación del riesgo cuando, por ejemplo, tengan conocimiento de que la información sobre la persona detrás de una dirección autoalojada es inexacta, o detecten patrones de transacciones inusuales o sospechosos. Las directrices dicen que los exchanges se apoyan en «medios técnicos incluidos, entre otros, el análisis de blockchain» para identificar qué hay en el otro extremo de una transferencia (apartado 77). En nuestra lectura, una dirección que las herramientas de análisis marcan como arriesgada puede por tanto provocar preguntas adicionales.

Ninguna de estas disposiciones dice que una transferencia deba rechazarse siempre que la wallet sea autoalojada. Dicen que el exchange debe poder identificar la transferencia, conservar la información y, por encima del umbral, asegurarse de la titularidad.

Una secuencia práctica

1. Lee primero la página de tu exchange sobre retiros y verificación de wallet. Dirá cuál de los métodos de la EBA usa. Eso no podemos decírtelo desde el reglamento.
2. Verifica y añade a la lista blanca antes de necesitar mover un importe grande. Una primera verificación durante un movimiento del mercado es el peor momento para descubrir que tu wallet no admite el método que quiere el exchange.
3. Usa una dirección que controles y con la que puedas firmar. Muchas apps de wallet y hardware wallets pueden firmar un mensaje arbitrario con la clave de una sola dirección. Si la tuya no puede, pregunta al exchange qué otro método acepta. Las directrices enumeran varios.
4. Firma solo lo que te muestre la interfaz del propio exchange. La firma de un «mensaje» demuestra que controlas la clave y no la revela. Firmar una transacción es otro acto, que mueve fondos. Comprueba lo que muestra tu wallet antes de aprobar nada. Si una página o una persona fuera de la app oficial te pide «verificar tu wallet» introduciendo la frase semilla, es una estafa: ningún método de verificación de las directrices lo exige.
5. Para el método de la transferencia de prueba, envía exactamente lo que pide el exchange, desde la dirección que declaras, y guarda el ID de la transacción. El sentido del método es que la transferencia salga de la dirección en cuestión.
6. Declara el titular con honestidad. Si la dirección es de otra persona, dilo. Una declaración falsa puede costarte la cuenta, y las directrices esperan que el exchange contraste datos donde pueda.
7. Para depósitos desde tu wallet al exchange, declara de antemano la dirección de origen si el exchange lo permite, y espera las mismas preguntas por encima de 1.000 euros.
8. Guarda los justificantes. Si una transferencia se devuelve o se suspende, el soporte te pedirá la declaración, la verificación y el hash de la transacción. Nuestras guías sobre hardware wallets y configuraciones multifirma explican cómo mantener wallets cuyo control puedas demostrar.

Una nota práctica, que es observación nuestra y no algo que diga el reglamento: las wallets con varias claves, como las multifirma, pueden no encajar en el flujo de firma de mensajes de todos los exchanges. En ese caso el camino es el método de la transferencia de prueba u otro método que acepte el exchange, y conviene preguntar antes de montar una wallet nueva para retiros desde el exchange.

Privacidad: qué sabrá el exchange y qué puedes hacer

La Travel Rule cambia lo que el exchange guarda sobre ti y tus wallets. Recoge tus datos de identidad, tu dirección y la de la contraparte, y los conserva, lo que vincula tu identidad a esas direcciones. El artículo 14, apartado 4, exige tratar los datos conforme al RGPD, que te da derechos de acceso y de información sobre el tratamiento. La política de privacidad de tu exchange debería indicar cuánto tiempo se conservan los datos. El marco antiblanqueo fija, por separado, plazos de conservación que el exchange debe respetar.

Adónde van los datos es el límite de lo que podemos afirmar con las fuentes. El reglamento exige la transmisión entre exchanges de forma segura. No describe una base de datos central. Cómo se intercambian técnicamente estos datos los exchanges, mediante protocolos de mensajería y proveedores, es cosa de sus sistemas y no del reglamento. Si quieres saber adónde van tus datos, las herramientas adecuadas son la política de privacidad y una solicitud de acceso conforme al RGPD.

Cómo se compara la UE con el Reino Unido y EE. UU.

La Travel Rule es un estándar global, pero las reglas difieren. Nuestra revisión se limitó a las fuentes primarias que pudimos leer, así que esta sección es breve a propósito.

Si vives en el Reino Unido o en EE. UU., toma la tabla como una indicación de dónde leer, no como una respuesta completa. Para el panorama regulatorio más amplio de la UE, incluido quién puede ofrecer servicios cripto, consulta nuestra guía de cumplimiento de MiCA. Los mismos datos que los exchanges recogen ahora con la Travel Rule también son relevantes para la información fiscal, que tratamos en nuestra guía de la DAC8.

Qué no pudimos verificar

• Cómo implementan los controles los exchanges concretos. El reglamento y las directrices fijan el mínimo y dejan margen de elección.
• El texto de posibles orientaciones adicionales de los supervisores nacionales.
• El tratamiento británico exacto y actual de las transferencias a unhosted wallets, y el estado actual de las propuestas de EE. UU. sobre unhosted wallets.
• Si las transferencias vinculadas o repetidas por debajo de 1.000 euros se tratan como una sola por un exchange determinado. El texto del reglamento para fondos menciona las operaciones vinculadas, y los exchanges tienen sus propios controles contra el fraccionamiento, pero en los artículos de criptoactivos no hallamos una norma que lo aclare.
• La página de EUR-Lex del reglamento no se pudo cargar con nuestras herramientas. Leímos el texto oficial tal como lo publica la Oficina de Publicaciones de la UE y las directrices de la EBA tal como las publica el supervisor finlandés.

Preguntas frecuentes