Custodia cripto: autocustodia, de terceros y cualificada

La custodia cripto consiste en mantener y controlar las claves privadas que permiten mover un criptoactivo, ya sea por cuenta propia (autocustodia o self-custody) o a través de un tercero como un exchange, un banco o un custodio especializado. Quien controla las claves controla el activo, así que la elección de custodia decide quién puede perderlo, quién puede congelarlo y qué ocurre con él si una empresa quiebra.

Para las instituciones, la pregunta es más concreta: ¿el custodio es «cualificado» según las normas que les aplican? Esta guía explica los tres principales modelos de custodia, qué es un qualified custodian en EE. UU., qué exige MiCA a los custodios en la UE, cómo se han tratado las criptomonedas custodiadas en las quiebras, cómo protegen las claves los custodios y cómo evaluar uno.

Los tres modelos de custodia

La propiedad de un criptoactivo se registra en una blockchain, y el acceso a él se controla mediante una clave privada que permite a su titular transferir el activo o ejercer derechos como el staking y la gobernanza. Las claves también pueden dividirse en fragmentos (shards), de modo que el control se reparta entre más de una parte, como describe la propuesta de custodia de la SEC de octubre de 2026.

La autocustodia elimina el riesgo de contraparte, pero le hace responsable de todo. Nuestra guía de autocustodia explica cómo hacerlo con seguridad. La custodia de terceros es lo que la mayoría utiliza sin pensarlo: las criptomonedas en una cuenta de exchange las custodia el exchange. La custodia cualificada es una categoría jurídica, relevante sobre todo para asesores de inversión, fondos y otras instituciones reguladas.

¿Qué es un qualified custodian en EE. UU.?

En EE. UU., el término procede de la norma de custodia de la Investment Advisers Act, la Rule 206(4)-2. Un asesor registrado que custodia fondos o valores de clientes debe, por lo general, mantenerlos en un «qualified custodian», definido como:

• un banco o una entidad de ahorro asegurada por la FDIC;
• un broker-dealer registrado que mantiene los activos de los clientes en cuentas de clientes;
• un futures commission merchant registrado, para determinados activos relacionados con futuros; o
• una institución financiera extranjera que habitualmente custodia activos financieros para clientes y mantiene los activos de los clientes separados de los suyos.

Las criptomonedas no encajaban bien. Muchos custodios cripto son trust companies de propósito limitado autorizadas por un estado, que no figuran entre las categorías de la lista, por lo que los asesores tenían que determinar si cada una contaba como «banco». La propuesta de la SEC de 2026 señala que esa incertidumbre hizo que asesores y fondos fueran reacios a utilizarlas.

Cómo han cambiado las normas de EE. UU. desde 2025

• SAB 121 derogado. El Staff Accounting Bulletin 121 (31 de marzo de 2022) establecía que las empresas obligadas a salvaguardar criptomonedas de clientes debían registrar en su balance un pasivo de salvaguarda, y un activo equivalente, a valor razonable. El SAB 122 lo derogó el 23 de enero de 2025, según cita el documento de propuesta de la SEC, que señala que los comentaristas veían el SAB 121 como un obstáculo para la custodia cripto bancaria.
• Custodia bancaria reafirmada. La OCC indicó por primera vez que los bancos nacionales pueden prestar custodia cripto en la Interpretive Letter 1170 (julio de 2020). En 2025 derogó la Letter 1179, más restrictiva, mediante la Letter 1183 (7 de marzo de 2025), y la Letter 1184 (7 de mayo de 2025) confirmó que los bancos pueden comprar y vender criptomonedas custodiadas por indicación del cliente (según resume el documento de la SEC de 2026).
• Retirada de la Safeguarding Proposal de 2023. La SEC retiró formalmente el 12 de junio de 2025 su propuesta de 2023 para sustituir la norma de custodia.
• No-action letter sobre trust companies estatales. El 30 de septiembre de 2025, el personal de la SEC declaró que no recomendaría medidas de ejecución contra asesores o fondos que traten una trust company estatal como banco para la custodia cripto, con condiciones. Como todas las declaraciones del personal, carece de fuerza jurídica.
• Nueva propuesta, octubre de 2026. La SEC ha propuesto las «Adviser and Regulated Fund Custody Rules; Crypto Custody Rules». Se publicaron en el Federal Register el 6 de octubre de 2026, con plazo de comentarios hasta el 7 de diciembre de 2026 (Release IA-7023). Permitiría a las trust companies estatales actuar como custodios admitidos si el asesor comprueba cada año su autorización estatal, sus políticas, sus estados financieros auditados y sus informes de control interno, con las criptomonedas de los clientes separadas de los activos propios del custodio. También permitiría a los asesores autocustodiar las criptomonedas de sus clientes con condiciones, como una constatación escrita cada trimestre de que no hay ningún custodio admitido disponible, la autorización conjunta de las transacciones por al menos dos personas y extractos trimestrales que muestren la dirección on-chain de cada cliente.

A 17 de octubre de 2026, esa propuesta está en fase de comentarios y no es definitiva.

Normas de custodia cripto con MiCA

En la UE, «la prestación de custodia y administración de criptoactivos por cuenta de clientes» es un servicio de criptoactivos sujeto a autorización con MiCA. El artículo 75 establece lo que debe hacer un custodio:

• firmar con cada cliente un acuerdo que cubra el servicio, la política de custodia, los sistemas de seguridad, las comisiones y la ley aplicable;
• llevar un registro de posiciones a nombre de cada cliente;
• mantener una política de custodia diseñada para minimizar las pérdidas por fraude, ciberamenazas o negligencia, y facilitar a los clientes un resumen si lo solicitan;
• enviar un estado de posiciones al menos cada tres meses, y cuando se solicite;
• devolver los criptoactivos de los clientes, o los medios de acceso, lo antes posible;
• segregar las tenencias de los clientes de las suyas, también en la blockchain, y separarlas jurídicamente de su patrimonio «para que los acreedores del proveedor de servicios de criptoactivos no puedan ejercer acciones» sobre ellas, en particular en caso de insolvencia;
• responder de las pérdidas derivadas de incidentes que le sean imputables, con un límite equivalente al valor de mercado del activo perdido en el momento de la pérdida.

El régimen transitorio de MiCA para empresas que ya operaban con normas nacionales terminó, como tarde, el 1 de julio de 2026 (artículo 143), así que los custodios que atienden a clientes de la UE necesitan ahora una autorización MiCA. Nuestra guía sobre la licencia CASP explica el proceso.

¿Qué pasa con las criptomonedas custodiadas en una quiebra?

Aquí es donde las condiciones de custodia dejan de ser letra pequeña. Tres casos muestran por qué.

• Celsius. En enero de 2023, el tribunal de quiebras de EE. UU. dictaminó que las criptomonedas de las cuentas Earn de Celsius pertenecían a la masa de la quiebra, porque las condiciones de uso transferían la titularidad a Celsius, lo que convertía a los clientes de Earn en acreedores no garantizados (Decrypt). La resolución solo afectaba a Earn y dejaba abierta la cuestión de si los activos de los programas Custody y Withhold, estructurados por separado, recibirían otro tratamiento (Weil).
• La advertencia de Coinbase en 2022. En mayo de 2022, Coinbase informó a los inversores de que «los criptoactivos mantenidos en custodia podrían considerarse propiedad de una masa de quiebra» y de que los clientes «podrían ser tratados como nuestros acreedores generales no garantizados». Su consejero delegado afirmó que los clientes institucionales de custodia ya contaban con protecciones y que se actualizarían las condiciones para minoristas (The Register).
• FTX. La SEC alegó que Sam Bankman-Fried desvió fondos de clientes de FTX a su empresa de trading Alameda Research al menos desde 2019 hasta noviembre de 2022 (comunicado de prensa de la SEC 2022-219). La segregación sobre el papel significa poco si no se aplica en la práctica.

La lección es comprobar si sus condiciones le mantienen como titular, si los activos están segregados y si el custodio publica pruebas. Nuestras guías sobre la prueba de reservas y sobre qué ocurre cuando cierra un exchange profundizan en ello.

Cómo protegen los custodios las claves privadas

La custodia profesional es, sobre todo, gestión de claves. Los componentes habituales son:

• Almacenamiento en frío (cold storage): claves generadas y guardadas en dispositivos que nunca se conectan a internet, con un saldo «caliente» menor para las retiradas.
• Módulos de seguridad hardware (HSM): dispositivos a prueba de manipulaciones que generan y usan claves sin exponerlas. Los compradores suelen buscar la validación del Cryptographic Module Validation Program del NIST, que ya acepta solicitudes FIPS 140-3.
• Computación multiparte (MPC): la clave nunca se reúne en un solo lugar; varias partes tienen fragmentos y firman conjuntamente. Consulte nuestra guía sobre la wallet MPC.
• Multisig y controles de políticas: las transacciones necesitan la aprobación de varias personas o dispositivos, con listas de direcciones permitidas, límites y retardos. La propuesta de la SEC de 2026 exigiría la autorización conjunta de al menos dos personas cuando los asesores autocustodien las criptomonedas de sus clientes.

Ninguna configuración elimina el riesgo. Cada una lo desplaza: de una única clave robada a la connivencia, el software defectuoso o un proceso de aprobación débil.

Cómo evaluar un custodio cripto

Tanto si es un particular que elige un exchange como un fondo que elige un custodio, hágase estas preguntas:

1. Licencia y supervisor. ¿Quién lo regula, con qué régimen (autorización MiCA, carta de trust de un estado de EE. UU., licencia bancaria) y puede confirmarlo en el registro del regulador?
2. Titularidad y segregación. ¿Dicen las condiciones que usted conserva la propiedad? ¿Sus activos están segregados on-chain o agrupados en una wallet ómnibus?
3. Auditorías y controles. ¿Publica estados financieros auditados y un informe independiente de control interno? Tanto la carta del personal de la SEC sobre trust companies estatales como la propuesta de 2026 giran en torno a estos elementos.
4. Prueba de reservas y de pasivos. ¿Puede comprobar que su saldo está incluido y que los pasivos también están cubiertos?
5. Seguro. ¿Qué cubre realmente la póliza y cuál es su límite en relación con los activos custodiados?
6. Activos admitidos y salidas. ¿Admite las blockchains y los tokens que necesita, y con qué rapidez puede retirar?
7. Rehipotecación y staking. ¿Presta o hace staking con sus activos, y por cuenta de quién?

A cambio, cuente con controles en el alta. Un custodio regulado tiene que realizar el KYC, y el KYB en el caso de empresas, antes de abrir una cuenta; muchos recurren para ello a proveedores especializados de verificación de identidad como iDenfy.

Si opta en cambio por la autocustodia, el equilibrio es distinto, pero no nulo. Usar DeFi, como el liquid staking de JWLSUI, JWLEGLD o JWLXRD en JewelSwap, mantiene los tokens en su propia wallet, pero los activos subyacentes están en smart contracts, de modo que asume el riesgo de smart contract y de claves de administración en lugar del riesgo del custodio.

Preguntas frecuentes

¿Qué es la custodia cripto?

La custodia cripto es la tenencia y el control de las claves privadas que permiten mover un criptoactivo. Puede guardar las claves usted mismo (autocustodia) o dejar que un tercero, como un exchange, un banco o un custodio especializado, las guarde por usted.

¿Qué es un qualified custodian para criptomonedas?

En EE. UU., un qualified custodian según la norma de custodia de la Advisers Act es un banco o una entidad de ahorro asegurada, un broker-dealer registrado, un futures commission merchant registrado para determinados activos o una institución financiera extranjera que cumpla los requisitos. Desde septiembre de 2025, el personal de la SEC también permite a los asesores tratar las trust companies estatales como bancos para la custodia cripto con condiciones, y una propuesta de octubre de 2026 incorporaría esto a las normas.

¿Están seguras las criptomonedas en un exchange si el exchange quiebra?

Depende de las condiciones y de cómo se mantengan los activos. En el caso Celsius, las criptomonedas de las cuentas Earn pasaron a formar parte de la masa de la quiebra y los clientes se convirtieron en acreedores no garantizados. Con MiCA, los custodios deben separar jurídicamente las criptomonedas de los clientes de su patrimonio para que los acreedores no puedan ejercer acciones sobre ellas.

¿Qué cambió el SAB 122?

El SAB 122, de 23 de enero de 2025, derogó el SAB 121, la guía del personal de la SEC según la cual las empresas que salvaguardan criptomonedas de clientes debían registrar en su balance un pasivo de salvaguarda y un activo equivalente. Los comentaristas habían descrito el SAB 121 como un obstáculo para la custodia cripto bancaria.

¿Qué exige MiCA a los custodios cripto?

El artículo 75 de MiCA exige un acuerdo con el cliente, un registro de posiciones, una política de custodia, estados al menos cada tres meses, la devolución rápida de los activos, la segregación on-chain y jurídica de las criptomonedas de los clientes y la responsabilidad por las pérdidas imputables al custodio, con un límite equivalente al valor de mercado del activo perdido.

¿Es mejor la autocustodia que un custodio?

Ninguna opción es mejor para todos. La autocustodia elimina el riesgo de contraparte, pero deja toda la seguridad de las claves en sus manos. Un custodio regulado añade protecciones jurídicas y una gestión profesional de las claves, pero usted depende de su solvencia, sus controles y su proceso de retirada.

Siga leyendo

• Guía de autocustodia cripto
• ¿Qué es una wallet MPC?
• La prueba de reservas explicada
• Qué ocurre cuando cierra un exchange
• CRS 2.0 explicado

Aviso: este artículo es educativo y no constituye asesoramiento financiero ni jurídico. Las normas y propuestas se describen a 17 de octubre de 2026; la propuesta de custodia de la SEC de 2026 no es definitiva. Las fuentes están enlazadas a lo largo del texto.