Qué es un VASP: proveedores de activos virtuales

Un VASP, o proveedor de servicios de activos virtuales (virtual asset service provider), es cualquier persona o empresa que, como actividad empresarial y por cuenta de terceros, cambia cripto por dinero fiat, cambia una cripto por otra, transfiere cripto, la custodia o administra, o presta servicios financieros vinculados a la emisión de un token. El término procede del Grupo de Acción Financiera Internacional (GAFI), el organismo que fija el estándar mundial contra el blanqueo de capitales, y es la razón por la que los exchanges cripto deben verificar su identidad, analizar las transacciones y comunicar la actividad sospechosa.

Esta guía explica la definición del GAFI y sus cinco actividades, qué entra y qué no, qué deben hacer los VASP, cómo encaja el término con el CASP de la UE, el money services business de EE. UU. y la registered cryptoasset business del Reino Unido, y dónde queda DeFi.

La definición de VASP del GAFI

El GAFI añadió «activo virtual» y «proveedor de servicios de activos virtuales» al glosario de sus Recomendaciones en octubre de 2018, cuando revisó la Recomendación 15 para incluir las criptomonedas. Según el texto vigente, un VASP es cualquier persona física o jurídica no contemplada en otra parte de las Recomendaciones que, como actividad empresarial, realiza una o varias de estas actividades para otra persona o en su nombre:

1. Cambio entre activos virtuales y monedas fiat.
2. Cambio entre una o más formas de activos virtuales.
3. Transferencia de activos virtuales, es decir, una transacción por cuenta de otra persona que mueve un activo virtual de una dirección o cuenta a otra.
4. Custodia y/o administración de activos virtuales o de instrumentos que permitan controlarlos.
5. Participación en servicios financieros relacionados con la oferta y/o venta de un activo virtual por parte de un emisor, y prestación de dichos servicios.

Un activo virtual es «una representación digital de valor que se puede comercializar o transferir digitalmente y se puede utilizar para pagos o inversiones». Quedan excluidas las representaciones digitales de monedas fiat, valores y otros activos financieros ya cubiertos en otras partes de las Recomendaciones del GAFI.

Dos expresiones hacen casi todo el trabajo: «como actividad empresarial» y «para otra persona o en su nombre». Un particular que opera con sus propias monedas no es un VASP. Una empresa que custodia las monedas de sus clientes o canaliza sus operaciones normalmente sí lo es.

Ejemplos: quién es y quién no es un VASP

Empresas que suelen entrar en la definición:

• Exchanges centralizados y brókeres, tanto cripto-fiat como cripto-cripto.
• Proveedores de wallets custodiales que guardan las claves de los clientes.
• Operadores de cajeros cripto, proveedores peer-to-peer y empresas que emiten nuevos tokens mediante ICO, todos ellos citados por la Financial Conduct Authority (FCA) británica entre las empresas de criptoactivos incluidas en el ámbito.
• Mesas OTC que convierten cripto en fiat u otros activos para sus clientes.

La guía actualizada del GAFI de 2021 sobre activos virtuales y VASP enumera a quienes en general no son VASP: los proveedores de wallets no alojados cuyo único papel es desarrollar o vender el software o el hardware, los comercios que simplemente aceptan cripto como pago de bienes y servicios, los desarrolladores de software que no realizan funciones de VASP y los usuarios individuales. También indica que los países deben examinar los hechos de cada caso.

Qué deben hacer los VASP

La nota interpretativa de la Recomendación 15 establece que los países deben tratar los activos virtuales como «bienes», «productos» o «fondos» y aplicar a los VASP todo el marco de prevención del blanqueo. En la práctica, esto significa:

• Licencia o registro. Los VASP «deben estar obligados a obtener una licencia o a registrarse», como mínimo en la jurisdicción donde se constituyen. Los países también pueden exigir licencia cuando un VASP atiende a clientes en su territorio u opera desde él, y deben actuar contra los operadores sin licencia.
• Controles de idoneidad y honorabilidad para impedir que delincuentes y sus asociados sean propietarios o gestores de un VASP.
• Diligencia debida con el cliente: verificar la identidad, comprender el riesgo del cliente y aplicar diligencia debida reforzada cuando el riesgo es mayor.
• La travel rule: transmitir los datos del ordenante y del beneficiario con las transferencias. Consulte la travel rule cripto explicada.
• Comunicación de operaciones sospechosas a la unidad de inteligencia financiera (UIF) nacional conforme a la Recomendación 20. Consulte nuestra guía sobre el informe de actividad sospechosa (SAR).
• Supervisión por una autoridad competente con facultades de inspección, sanción y retirada de la licencia.

Los VASP también deben verificarse entre sí. Antes de enviar datos de la travel rule, un VASP necesita saber que su contraparte es una empresa real y con licencia, lo que constituye una forma de verificación empresarial. Proveedores como la solución KYB de iDenfy automatizan las consultas a registros mercantiles y los controles de titularidad para este tipo de alta. Para una lista más completa de pasos, consulte la guía de cumplimiento AML cripto para exchanges y VASP.

VASP, CASP y MSB

«VASP» es el término del GAFI. Cada jurisdicción incorpora el estándar a su propio derecho con su propia denominación, y los ámbitos no coinciden exactamente.

CASP en la UE. El Reglamento relativo a los mercados de criptoactivos (MiCA) define un CASP como una persona jurídica u otra empresa cuya actividad consiste en prestar a clientes, con carácter profesional, uno o varios servicios de criptoactivos, y que está autorizada conforme al artículo 59. Su lista de diez servicios es más amplia que la del GAFI: además de custodia, plataformas de negociación, cambio y transferencias, incluye la ejecución de órdenes, la colocación, la recepción y transmisión de órdenes, el asesoramiento y la gestión de carteras. Las empresas que ya operaban conforme al derecho nacional antes del 30 de diciembre de 2024 podían seguir en un régimen transitorio hasta el 1 de julio de 2026 como máximo, o hasta que se concediera o denegara su autorización. Consulte la licencia CASP en MiCA y qué es MiCA.

MSB en EE. UU. La guía de 2019 de FinCEN trata a los exchanges cripto y a los proveedores de wallets alojados como money transmitters, un tipo de money services business. Según el 31 CFR 1022.380, un MSB debe registrarse ante FinCEN en los 180 días siguientes a su constitución y renovar el registro cada dos años naturales, tenga o no una licencia estatal. El registro ante FinCEN no es una licencia; las money transmitter licences estatales son una capa independiente. Consulte nuestra guía sobre la licencia de money transmitter para cripto.

Reino Unido. Las empresas de criptoactivos deben registrarse ante la FCA conforme a las Money Laundering Regulations antes de prestar los servicios incluidos. La FCA subraya que el registro solo cubre la supervisión en materia de prevención del blanqueo y no constituye un aval, y que es poco probable que los clientes tengan acceso al Financial Ombudsman Service o al FSCS. La FCA indica que se espera que un nuevo régimen de autorización conforme a la Financial Services and Markets Act entre en vigor el 25 de octubre de 2027.

¿DeFi es un VASP?

El software en sí no lo es. La guía del GAFI de 2021 afirma que una aplicación DeFi «no es un VASP según los estándares del GAFI», porque los estándares no se aplican al software o la tecnología subyacentes. Pero continúa: «los creadores, propietarios y operadores u otras personas que mantienen el control o una influencia suficiente en los acuerdos DeFi, aunque esos acuerdos parezcan descentralizados, pueden entrar en la definición de VASP del GAFI cuando prestan o facilitan activamente servicios de VASP». Entre los indicios de un propietario u operador están el control sobre los activos o los parámetros del protocolo, una relación de negocio continuada con los usuarios y la obtención de beneficios del servicio.

MiCA adopta una postura similar en su considerando 22: los servicios prestados «de manera totalmente descentralizada sin ningún intermediario» quedan fuera del reglamento, pero los servicios prestados de forma parcialmente descentralizada sí cuentan. La guía de FinCEN de 2019 indica que, cuando las aplicaciones descentralizadas realizan transmisión de dinero, la definición de money transmitter puede aplicarse a la aplicación, a sus propietarios y operadores, o a ambos.

En los tres casos, el criterio es el control, no las etiquetas. Para ver cómo funciona en la práctica, consulte el KYC en DeFi explicado.

Qué significa para los usuarios

• Por qué le piden un documento de identidad. Si una plataforma custodia su cripto o la convierte por usted, casi con toda seguridad es un VASP en alguna jurisdicción y está obligada por ley a verificarle, supervisar sus transacciones y comunicar sospechas.
• Compruebe usted mismo el registro. Los reguladores publican registros de empresas autorizadas o registradas. El registro no garantiza la seguridad, pero una plataforma no registrada que atiende a su país es una señal de alerta.
• La autocustodia es distinta. Usar su propio wallet le convierte en un usuario individual, no en un VASP. Consulte los wallets no custodiales.

Las apps DeFi de JewelSwap no son custodiales y no realizan KYC por sí mismas; los usuarios conectan sus propios wallets.

Preguntas frecuentes

¿Qué significa VASP?

VASP significa virtual asset service provider, es decir, proveedor de servicios de activos virtuales. Es el término del GAFI para una empresa que cambia, transfiere, custodia o administra cripto por cuenta de terceros, o presta servicios financieros vinculados a la emisión de un token.

¿Cuáles son las cinco actividades de un VASP?

El cambio entre activos virtuales y fiat, el cambio entre activos virtuales, la transferencia de activos virtuales, la custodia o administración de activos virtuales y la participación en servicios financieros relacionados con la oferta o venta de un activo virtual por parte de un emisor.

¿Qué diferencia hay entre un VASP y un CASP?

VASP es el término mundial del GAFI. CASP es el término de la UE en MiCA, que define diez servicios de criptoactivos, entre ellos el asesoramiento y la gestión de carteras, y exige autorización. La mayoría de los VASP que atienden a clientes de la UE necesitan estar autorizados como CASP.

¿Un exchange cripto es un VASP?

Sí. Un exchange centralizado que convierte cripto en fiat o entre criptoactivos para sus clientes es un VASP según la definición del GAFI y debe tener licencia o estar registrado donde lo exija la legislación nacional.

¿Los protocolos DeFi son VASP?

El software no lo es, según la guía del GAFI de 2021. Pero las personas que mantienen el control o una influencia suficiente sobre un acuerdo DeFi pueden ser tratadas como VASP si prestan o facilitan activamente servicios de VASP.

¿Un proveedor de wallets de autocustodia es un VASP?

En general, no. El GAFI indica que los proveedores de wallets no alojados cuyo único papel es desarrollar o vender el software o el hardware no suelen ser VASP, como tampoco lo son los usuarios individuales.

Siga leyendo

• La licencia CASP en MiCA
• Licencia de money transmitter para cripto
• La travel rule cripto explicada
• Guía de cumplimiento AML cripto para exchanges y VASP
• El KYC en DeFi explicado

Este artículo es educativo y no constituye asesoramiento jurídico. Las definiciones proceden de las Recomendaciones del GAFI (actualizadas en octubre de 2025) y de la guía actualizada del GAFI para un enfoque basado en el riesgo sobre activos virtuales y VASP (octubre de 2021); las referencias de la UE corresponden al Reglamento (UE) 2023/1114 (MiCA); las de EE. UU., a la guía de FinCEN FIN-2019-G001 y al 31 CFR 1022.380; las del Reino Unido, a la página de la FCA sobre el régimen AML/CTF de criptoactivos. Todas se comprobaron el 9 de octubre de 2026.