Cripto bajo la lupa

El 7 de agosto de 2026, la Secretaría de Hacienda y Crédito Público publicó en el Diario Oficial de la Federación el Acuerdo 115/2026, mediante el cual se modificaron las Reglas de carácter general de la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (LFPIORPI). Entre sus cambios destaca la incorporación de un Capítulo II Bis específicamente orientado al registro y cumplimiento de los proveedores de servicios relacionados con activos virtuales.

La modificación forma parte de una evolución normativa más amplia. Su antecedente inmediato se encuentra en la reforma a la LFPIORPI publicada el 16 de julio de 2025 y en las modificaciones a su Reglamento del 27 de marzo de 2026. El nuevo esquema también se inserta en la tendencia internacional impulsada por la Recomendación 15 del Grupo de Acción Financiera Internacional (GAFI), conforme a la cual los proveedores de servicios de activos virtuales deben quedar sujetos a obligaciones de identificación, monitoreo y reporte semejantes a las aplicables a otros sujetos obligados.

La consecuencia práctica es relevante: para determinar si una plataforma debe cumplir con la LFPIORPI ya no resulta suficiente afirmar que no conserva claves privadas, no tiene control técnico sobre los activos o simplemente conecta a compradores y vendedores. El análisis debe realizarse atendiendo a la función material que desempeña dentro de la operación.

Fundamento jurídico del nuevo régimen

El eje legal se encuentra en el artículo 17, fracción XVI, de la LFPIORPI, que considera actividad vulnerable el ofrecimiento habitual o profesional de operaciones con activos virtuales cuando intervienen sujetos distintos de las entidades financieras. Conforme al régimen reformado, la identificación del cliente procede con independencia del monto de la operación, mientras que la obligación de presentar aviso se encuentra sujeta a los umbrales legales correspondientes.

El artículo 18 de la LFPIORPI complementa este régimen mediante obligaciones relacionadas con identificación de clientes, determinación del beneficiario controlador, conservación de información y documentación, presentación de avisos, evaluación de riesgos y establecimiento de mecanismos para dar seguimiento a las operaciones.

Por otra parte, el concepto de activo virtual encuentra una referencia relevante en el artículo 30 de la Ley para Regular las Instituciones de Tecnología Financiera, que lo identifica, en términos generales, como una representación de valor registrada electrónicamente y utilizada como medio de pago cuya transferencia sólo puede llevarse a cabo por medios electrónicos y que no constituye moneda de curso legal.

El Acuerdo 115/2026 desarrolla estas obligaciones mediante reglas particulares para los proveedores de servicios de activos virtuales (PSAV). Entre otros aspectos, regula el alta reforzada, los datos de accionistas y beneficiarios controladores, la información que debe incorporarse en los avisos y los supuestos en los que existe custodia, facilitación o intermediación.

Registro reforzado: conocer también al proveedor

El nuevo régimen no se concentra exclusivamente en conocer al usuario. Las personas físicas y morales que operen como PSAV deben proporcionar información más amplia sobre su propia estructura.

Entre los datos relevantes se encuentra la composición del capital social, incluyendo la identificación de quienes tengan participación directa o indirecta; información del beneficiario controlador; nombre comercial; páginas de internet, aplicaciones o interfaces mediante las cuales se prestan los servicios, y datos de los representantes legales.

La lógica regulatoria consiste en que la autoridad pueda identificar no sólo al usuario que realiza una operación, sino también quién controla económicamente la plataforma que la facilita.

Para una sociedad tecnológica con varios niveles corporativos, inversionistas extranjeros o vehículos intermedios, este requerimiento puede exigir una revisión previa de su estructura accionaria hasta identificar a las personas físicas que ejerzan el control correspondiente.

La obligación antilavado ya no depende exclusivamente de custodiar activos virtuales: basta desempeñar una función de facilitación, conexión o intermediación para quedar dentro del perímetro regulatorio

La intermediación existe aunque no haya custodia

Uno de los cambios de mayor impacto se encuentra en la definición funcional de facilitación o intermediación. Las Reglas consideran que puede existir intermediación cuando el proveedor facilita infraestructura, interfaces o plataformas que conectan, concilian o emparejan operaciones de compra, venta, intercambio o custodia de activos virtuales. Ello puede ocurrir incluso cuando el proveedor no controla directamente los activos virtuales.

En consecuencia, una plataforma P2P que únicamente pone en contacto a compradores y vendedores no debería concluir automáticamente que se encuentra fuera del régimen por carecer de custodia. Lo mismo puede ocurrir cuando la plataforma sólo intermedia el flujo de pesos o divisas mientras las criptomonedas se transfieren directamente entre las billeteras de los usuarios. La regla cambia el enfoque tradicional: no interesa solamente quién conserva el activo, sino quién hace posible económicamente que la operación se realice.

Custodia y trazabilidad de las operaciones

Cuando el PSAV conserva control, salvaguarda o administración de activos virtuales por cuenta de un cliente, existe además una función de custodia. En estos casos, la información reportable puede incluir la fecha en que comenzó la custodia, la dirección de la billetera correspondiente y el valor de los activos expresado en pesos.

El régimen exige también identificar a quienes intervienen en la operación. Los avisos deben incorporar información del originante y del receptor, incluyendo datos como nombre, país de residencia, identificador de cuenta y dirección digital o wallet, además de elementos de la propia transacción: fecha, hora, tipo de activo virtual, cantidad transferida, equivalente en moneda nacional, naturaleza de la operación y contraprestación cobrada. La reforma busca así construir una trazabilidad semejante a la que existe en otras operaciones financieras.

Dos umbrales distintos para presentar aviso

El régimen incorpora dos referencias que deben distinguirse. El primer umbral atiende al monto de la operación con activos virtuales, que genera obligación de aviso cuando alcanza 210 UMA. Considerando la UMA diaria de 2026 de $117.31, el equivalente es de $24,635.10. El segundo atiende a la contraprestación obtenida por el proveedor —comisión, tarifa, cargo o retribución— y se actualiza cuando ésta alcanza 4 UMA, equivalentes a $469.24 con el valor de 2026.

La existencia de ambos parámetros obliga a que los sistemas revisen cada transacción desde dos perspectivas: el valor económico de los activos y la remuneración obtenida por la plataforma.

Caso práctico: la plataforma que “sólo conecta”

Supongamos que TokenMatch, S.A.P.I. de C.V. opera una aplicación P2P mediante la cual usuarios compran y venden bitcoin. La sociedad no recibe ni conserva las criptomonedas; éstas pasan directamente de la wallet del vendedor a la del comprador. TokenMatch, sin embargo, empareja a los participantes, administra el flujo de pesos mediante SPEI y cobra una comisión de 1.2%.

Bajo un análisis puramente tecnológico podría argumentarse que TokenMatch no es custodio. Bajo las nuevas Reglas, esa conclusión no elimina sus obligaciones. La empresa facilita y empareja las operaciones y además interviene en el flujo monetario, por lo que puede quedar comprendida como PSAV. Si durante una semana realiza las siguientes operaciones:

Las operaciones A y B superan tanto las 210 UMA por monto como las 4 UMA de contraprestación. La C no alcanza ninguno de los dos parámetros; sin embargo, ello no significa que el cliente pueda operar anónimamente. La obligación de identificación subsiste, aun cuando no se actualice el umbral ordinario del aviso.

Además, si varias operaciones menores revelaran un patrón de fraccionamiento destinado a evitar los umbrales, entrarían en juego las obligaciones de monitoreo y, en su caso, el aviso correspondiente por operaciones sospechosas dentro del plazo previsto por las nuevas disposiciones.

Calendario de implementación

El nuevo régimen no comienza a operar íntegramente en una sola fecha. El Acuerdo 115/2026 establece una implementación escalonada. La entrada en vigor general está prevista para el 30 de noviembre de 2026. Posteriormente, a partir del 1 de marzo de 2027, cobran especial relevancia las obligaciones vinculadas con el enfoque basado en riesgos, clasificación de clientes, beneficiario controlador y actualización del Manual de Políticas Internas.

Los PSAV previamente registrados deberán actualizar la información correspondiente dentro del periodo transitorio aplicable y, a partir del 1 de junio de 2027, deberán encontrarse operando los mecanismos automatizados de monitoreo contemplados por el nuevo régimen. El primer periodo de auditoría anual de cumplimiento se proyecta para el ejercicio 2028. Estas fechas obligan a las plataformas a trabajar desde ahora en arquitectura de datos, expedientes de clientes, identificación del beneficiario controlador y reglas automatizadas de alertamiento.

Riesgo administrativo y penal

El incumplimiento no debe analizarse exclusivamente desde la perspectiva de una multa. Los artículos 53 a 55 de la LFPIORPI contienen el régimen administrativo sancionador, mientras que el artículo 400 Bis del Código Penal Federal regula el delito de operaciones con recursos de procedencia ilícita.

Las reformas recientes reforzaron el sistema de cumplimiento, por lo que un PSAV debe comprender que los errores en identificación, reporteo o conservación de información pueden tener efectos más amplios que una contingencia económica.

La implementación adecuada requiere, por ello, coordinación entre las áreas jurídica, tecnológica, de cumplimiento y de seguridad de información.

Consideración final

El Capítulo II Bis modifica sustancialmente el paradigma regulatorio de los proveedores de servicios relacionados con activos virtuales. El elemento decisivo ya no es exclusivamente la custodia. Una plataforma que facilita, conecta, concilia o empareja operaciones puede quedar sujeta a las obligaciones antilavado aun cuando nunca mantenga bajo su control las criptomonedas negociadas.

Para los PSAV, la prioridad debe ser revisar el modelo de negocio desde una perspectiva funcional; identificar qué información del originante y receptor se captura actualmente; automatizar el control de los umbrales de 210 y 4 UMA; identificar correctamente al beneficiario controlador y establecer alertas capaces de detectar operaciones fraccionadas o patrones atípicos.

La lección regulatoria es clara: “no custodiar” dejó de ser sinónimo de “no estar obligado”. Bajo el nuevo esquema, quien facilita la infraestructura económica de una operación con activos virtuales debe analizar seriamente si forma parte del perímetro de la LFPIORPI. A partir de 2027, el cumplimiento antilavado dejará de ser para las plataformas cripto una función periférica. Será un componente estructural de su operación, de su tecnología y, sobre todo, de su capacidad para demostrar ante autoridades, usuarios e instituciones financieras que conocen quién opera, cómo opera y con quién opera.