Hace apenas cinco años, la conversación sobre criptomonedas en los comités de cumplimiento se reducía a una pregunta casi ingenua, ¿Son completamente anónimas? La respuesta entonces era un matizado “depende”, hoy, tras la implosión de FTX, el auge de los puentes cross-chain y la normalización de los monederos no custodios, la pregunta correcta es otra, mucho más incómoda, ¿Por qué seguimos actuando como si los criptoactivos fueran una moda pasajera?
La respuesta es estructural y revela una fragilidad profunda de nuestro sistema global de prevención de lavado de activos (ALD). Ese sistema fue diseñado para el mundo de los billetes de curso legal, las transferencias SWIFT con trazabilidad bancaria y los expedientes en papel sellados por notarios. Las cadenas de bloques públicas, privadas, con mezcladores de monedas (tumblers), protocolos de finanzas descentralizadas (DeFi) sin intermediarios identificables y puentes que saltan de una blockchain a otra en segundos, han convertido aquel universo controlable en una reliquia.
Los datos, tozudos como siempre, nos confrontan con la realidad. El último informe de Chainalysis estima que el valor ilícito recibido por direcciones conocidas de criptoactivos superó los 24.000 millones de dólares en 2023. Pero esa cifra es apenas la punta del iceberg. La mayoría de los flujos sospechosos ni siquiera se detectan, porque aún hoy buena parte de los intercambios descentralizados (DEX) operan sin la obligación legal de designar un oficial de cumplimiento ante la Unidad de Inteligencia Financiera no solo en México, sino no en todo el mundo, o al menos a los miembros de la ONU, ya que es es como si quisiéramos vigilar las autopistas pero nos negáramos a instalar radares en los caminos vecinales.
Y aquí aparece el problema de fondo que pocos se atreven a mencionar en voz alta, la huida de capitales ya no requiere maletas, testaferros con identificación falsa ni empresas fantasma inscritas en paraísos fiscales de papel. Basta un monedero no custodiado, pongo un ejemplo, deben ser como Metamask o Trust Wallet, un puente a una blockchain sin KYC y unos cuantos clics para convertir criptoactivos en moneda fiduciaria en una jurisdicción laxa. El dinero sucio viaja a la velocidad de la luz, pero nuestros equipos de ALD aún operan a la velocidad de un informe trimestral presentado con retraso.
¿Estamos realmente preparados? La evidencia empírica sugiere que no, tomemos un caso paradigmático, real y reciente. En 2022, el grupo Lazarus vinculado a Corea del Norte logró lavar más de 100 millones de dólares en criptoactivos utilizando exclusivamente mezcladores y puentes cross-chain. La trazabilidad on-chain existe, pero requiere herramientas forenses que la mayoría de los bancos tradicionales ni siquiera han presupuestado. Mientras tanto, los reguladores europeos discutían si el Reglamento de Transferencias de Criptoactivos (TFR) debía aplicarse también a las transacciones entre monederos on line, y no sirvió para nada, mi preocupación es que en América Latina, el GAFILAT emitió guías técnicas desde 2019, sin embargo, pocos países han convertido esas recomendaciones en leyes exigibles con sanciones efectivas, pues la consecuencia es un archipiélago regulatorio donde los prestadores de servicios de activos virtuales (VASP) simplemente se instalan en la jurisdicción más débil y ofrecen sus servicios transfronterizos sin control.
Lo más grave no es la falta de tecnología, pues existen soluciones maduras de rastreo de bloques, scoring on-chain, análisis de grafos y supervisión de mezcladores, un ejemplo es que empresas como Chainalysis, Elliptic o TRM Labs han demostrado que es posible seguir el rastro del dinero incluso en entornos descentralizados. Lo grave es la falta de voluntad política uniforme. Sin estándares globales vinculantes para todos los VASP, incluyendo explícitamente a los descentralizados, el delincuente financiero siempre tendrá una puerta trasera, y la conocerá antes que el regulador.
Necesitamos, como mínimo, tres acciones inmediatas que ningún experto sensato debería seguir aplazando:
Primero, que ningún VASP, ya sea centralizado o descentralizado con funcionalidad real de intercambio, pueda operar sin designar un responsable de cumplimiento ante la UIF local, con poderes efectivos para suspender transacciones sospechosas. La tecnología no es excusa para la anomia regulatoria, en segundo lugar necesitamos capacitación obligatoria y certificada para todos los oficiales de cumplimiento en análisis forense de blockchain, ya no basta con los cursos generales sobre las 40 Recomendaciones del GAFI, se necesita saber leer un explorador de bloques, interpretar un gráfico de flujos y detectar patrones de peel chains, tercero y último, necesitamos una cooperación internacional en tiempo real, no en meses o trimestres. El rastreo de un puente cross-chain utilizado para huir capitales desde un país hasta otro no puede esperar a la siguiente reunión del GAFI. Necesitamos canales bilaterales operativos, con equipos 24/7.
Mientras tanto, en las salas de juntas de los grandes bancos, en los despachos de los superintendentes financieros y en las oficinas técnicas de las UIF, seguimos escuchando la misma promesa vacía, seguimos evaluando.