Señales de alerta AML en cripto: los indicadores del GAFI

Las señales de alerta AML en cripto son indicios de que una transacción o un cliente puede estar vinculado al blanqueo de capitales o a la financiación del terrorismo: depósitos fraccionados en pequeñas cantidades para no superar los umbrales de declaración, monedas que pasan por mixers, una cuenta nueva que de repente mueve grandes sumas o fondos vinculados a jurisdicciones de alto riesgo. La lista de referencia es el informe del GAFI sobre indicadores de alerta de activos virtuales, publicado el 14 de septiembre de 2020, que las agrupa en seis categorías.

Una señal de alerta no es prueba de un delito, solo un motivo para mirar con más atención. Esta guía repasa cada categoría del GAFI, explica qué hace un exchange cuando se marca algo y responde a la pregunta que realmente se hacen los usuarios: ¿por qué se ha congelado mi cuenta?

¿Qué son las señales de alerta AML?

Las normas contra el blanqueo de capitales (AML) obligan a las empresas cripto reguladas, que el GAFI denomina proveedores de servicios de activos virtuales (PSAV o VASP), a vigilar la actividad sospechosa y a comunicarla. Las señales de alerta son los patrones, extraídos de casos reales aportados por los miembros del GAFI, que indican a un analista dónde mirar.

El GAFI es explícito sobre cómo deben usarse. En la conclusión del informe afirma que los indicadores «no son exhaustivos ni aplicables a todas las situaciones» y que ningún indicador debe valorarse de forma aislada. El folleto del GAFI para VASP añade que una transacción con varios indicadores y poca o ninguna explicación comercial lógica requiere un seguimiento adicional y, cuando proceda, su comunicación.

La verdadera pregunta es «¿tiene sentido esta actividad para este cliente?». Por eso las señales de alerta se apoyan en el KYC y en la diligencia debida del cliente: la empresa solo puede juzgar qué es inusual si sabe qué es normal para usted.

Las seis categorías de señales de alerta del GAFI

El informe del GAFI organiza sus indicadores en seis grupos. Los ejemplos siguientes proceden de él, ligeramente parafraseados.

1. Importe y frecuencia de las transacciones

• Fraccionamiento (structuring): dividir intercambios o transferencias cripto en importes pequeños, o en importes inferiores a los umbrales de registro o declaración, la misma técnica que se usa desde hace tiempo con el efectivo.
• Varias transacciones de alto valor en poco tiempo, por ejemplo en 24 horas, o con un patrón escalonado y regular seguido de un largo periodo sin actividad. El GAFI señala que esto último es especialmente habitual en los casos de ransomware.
• Transferir monedas de inmediato a varios VASP, sobre todo en otras jurisdicciones sin relación con el lugar donde vive o trabaja el cliente, o con una regulación AML débil.
• Depositar monedas y retirarlas inmediatamente sin operar, o convertirlas en varias otras monedas sin un motivo claro. Según el GAFI, esto «convierte de hecho el exchange/VASP en un mixer de blanqueo».

2. Patrones de transacciones

• Un usuario nuevo realiza un depósito inicial elevado e incoherente con su perfil.
• Un usuario nuevo deposita la totalidad de los fondos el primer día y los opera o retira todos ese mismo día o el siguiente.
• Un usuario nuevo intenta operar con todo su saldo o enviarlo todo fuera de la plataforma.
• Transacciones con varios activos virtuales o cuentas sin una explicación comercial lógica.

Las empresas de análisis blockchain añaden su propia detección de patrones, como las «peel chains», en las que un saldo grande se mueve a través de una larga serie de wallets restando una pequeña cantidad en cada salto. Para saber cómo funcionan estas herramientas, consulte el análisis blockchain explicado.

3. Anonimato

• Usar más de un tipo de criptoactivo pese a las comisiones adicionales, sobre todo criptomonedas con anonimato reforzado (privacy coins).
• Mover monedas de una blockchain pública transparente a un exchange centralizado e intercambiarlas de inmediato por una privacy coin.
• Clientes que actúan como VASP no registrado o sin licencia en plataformas peer-to-peer (P2P), gestionando grandes volúmenes para terceros y cobrando comisiones elevadas.
• Fondos enviados a servicios de mezcla o «tumbling», o recibidos de ellos, o con exposición directa o indirecta a mercados de la darknet, ransomware, sitios de juego dudosos o robos denunciados.

El GAFI subraya que estas características no siempre son ilícitas y deben ponderarse frente al perfil del cliente y cualquier explicación legítima.

4. Remitentes y destinatarios

• Al abrir la cuenta: abrir varias cuentas con nombres distintos para eludir límites, conectarse desde direcciones IP de jurisdicciones sancionadas o ya marcadas, o intentar repetidamente abrir cuentas desde la misma dirección IP.
• Durante la diligencia debida: información KYC incompleta, negarse a responder preguntas sobre el origen de los fondos, respuestas inexactas sobre una transacción o contraparte, o documentos de identidad falsificados y editados.
• Incoherencias de perfil: identificadores o credenciales compartidos con otra cuenta, direcciones IP que no coinciden con el perfil o una dirección de wallet que aparece en foros asociados a actividades ilegales.
• Posibles mulas de dinero o víctimas de estafas: un remitente poco familiarizado con las criptomonedas, un cliente mucho mayor que el usuario típico de la plataforma que realiza muchas transacciones, o compras grandes que el patrimonio conocido del cliente no justifica.
• Otros comportamientos inusuales: cambios frecuentes de correo electrónico, IP o datos financieros (lo que también puede indicar un robo de cuenta) o campos de mensaje que hacen referencia a bienes ilícitos.

5. Origen de los fondos o del patrimonio

• Operar con direcciones o tarjetas bancarias vinculadas a fraude, extorsión, ransomware, direcciones sancionadas o mercados de la darknet.
• Depósitos mucho mayores de lo habitual de origen desconocido, convertidos rápidamente a fiat, lo que puede indicar fondos robados.
• Fondos procedentes directamente de mixers o tumblers, o un patrimonio procedente sobre todo de cripto, ICO o plataformas sin controles AML.

Aquí es donde las señales de alerta conducen a solicitudes sobre el origen de los fondos. Nuestra guía sobre origen de los fondos vs origen del patrimonio explica qué pruebas permiten responderlas.

6. Riesgos geográficos

• Fondos que proceden de un exchange, o que se envían a uno, no registrado en la jurisdicción donde se encuentra el cliente o el exchange.
• Usar un exchange o un servicio de transferencia de dinero en una jurisdicción de alto riesgo con normas AML débiles o inexistentes para cripto.
• Enviar fondos a VASP de jurisdicciones sin regulación cripto, o una empresa que se traslada a esas jurisdicciones.

Cómo detectan los exchanges las señales de alerta

La mayoría de las señales de alerta las detecta el software. Un sistema típico tiene tres capas:

• Controles de alta: verificación de documento y selfie, cribado de sanciones y PEP, y señales del dispositivo o la IP que detectan cuentas duplicadas y ubicaciones sancionadas.
• Monitorización de transacciones: reglas que examinan importes, velocidad y patrones en el historial de un cliente, por ejemplo «depósitos totales en 24 horas» o «retirada en menos de una hora tras un depósito sin operar». Consulte nuestra guía sobre la monitorización de transacciones AML en cripto.
• Análisis blockchain (KYT): cribado de las direcciones a las que un cliente envía y de las que recibe, y puntuación de su exposición a mixers, mercados de la darknet, wallets sancionadas y fondos robados.

Las alertas pasan a una cola de revisión, donde un analista decide si la actividad tiene una explicación inocente. El software de monitorización de transacciones de iDenfy, por ejemplo, combina reglas personalizadas y de velocidad con el cribado de sanciones, PEP y medios adversos, y canaliza las alertas mediante un flujo de revisión por niveles que termina en un informe de actividad sospechosa (SAR) exportable. Para una comparación más amplia, consulte el mejor software de monitorización de transacciones cripto en 2026.

Qué ocurre cuando se marca una actividad

Si la revisión no descarta la alerta, la empresa tiene la obligación legal de comunicarla. Los detalles varían según el país:

• Unión Europea. Según el artículo 33 de la Directiva contra el blanqueo de capitales (UE) 2015/849, los sujetos obligados deben informar sin demora a la unidad de inteligencia financiera (UIF) nacional cuando sepan, sospechen o tengan motivos razonables para sospechar que los fondos proceden de actividades delictivas, «independientemente del importe». También deben comunicarse las transacciones intentadas. El nuevo Reglamento AML (UE) 2024/1624 lo reitera en su artículo 69 y se aplica a partir del 10 de julio de 2027. Su artículo 71 obliga a las empresas a retener una transacción que consideren sospechosa hasta haberla comunicado; pueden ejecutarla si la UIF no ha dado instrucciones en contra en un plazo de tres días hábiles.
• Estados Unidos. Las orientaciones de 2019 de FinCEN confirman que los exchanges cripto suelen considerarse money transmitters, un tipo de money services business. Según la 31 CFR 1022.320, un money services business debe presentar un informe de actividad sospechosa (SAR) para transacciones sospechosas de al menos 2.000 USD, en un plazo máximo de 30 días naturales desde que detecta los hechos por primera vez. El fraccionamiento para eludir las obligaciones federales de declaración es en sí mismo un delito según la 31 U.S.C. 5324.

Además, las empresas tienen prohibido informarle. La normativa de la UE prohíbe revelar al cliente que se ha presentado o se presentará una comunicación, o que hay un análisis en curso (artículo 39 de la Directiva, artículo 73 del AMLR). En EE. UU., un SAR y cualquier información que revele su existencia son confidenciales según la 31 CFR 1022.320(d). Esta prohibición de revelación («tipping-off») explica por qué el personal de soporte suele dar respuestas vagas sobre una cuenta congelada.

«¿Por qué se ha congelado mi cuenta?»

Para el usuario, una señal de alerta aparece como una retirada retenida, una cuenta restringida o una solicitud de documentos. Desencadenantes inocentes habituales:

• Un primer depósito muy superior a los ingresos o la profesión declarados al registrarse.
• Depositar y retirar rápidamente sin operar, a menudo al mover monedas entre plataformas.
• Recibir monedas de una dirección que las herramientas de análisis vinculan, directamente o varios saltos atrás, a un mixer, un exchange hackeado o una entidad sancionada.
• Enviar dinero por cuenta de otra persona, lo que parece exactamente actividad de mula de dinero.

Qué hacer:

• Responda a través de la aplicación oficial o el portal de soporte del exchange y conteste exactamente lo que se le pide.
• Aporte el recorrido completo de los fondos en cuestión: de dónde procede el dinero y por qué exchanges y wallets ha pasado, con hashes de transacción y extractos.
• No abra una segunda cuenta para eludir la restricción. Crear cuentas separadas para evitar límites es una de las señales de alerta que enumera el GAFI.
• Ignore a cualquiera que ofrezca «descongelar» su cuenta a cambio de una comisión. Es una estafa habitual; consulte las estafas de recuperación de cripto.

Señales de alerta y DeFi

Los indicadores del GAFI están pensados para los VASP, los intermediarios regulados. Los protocolos DeFi no custodios no tienen cuentas que congelar y, por lo general, no aplican KYC. Las aplicaciones DeFi de JewelSwap son no custodias y no aplican KYC por sí mismas; consulte el KYC en DeFi explicado. Pero cualquier exchange regulado al que envíe fondos después examinará su historial on-chain, por lo que en ese momento se aplican las mismas señales de alerta.

Preguntas frecuentes

¿Qué son las señales de alerta AML en cripto?

Son indicios de que una transacción cripto o un cliente puede estar vinculado al blanqueo de capitales o a la financiación del terrorismo, como fraccionar depósitos por debajo de los umbrales, usar mixers, mover fondos dentro y fuera sin operar o una actividad que no encaja con el perfil del cliente.

¿Cuáles son los indicadores de alerta del GAFI para activos virtuales?

El informe del GAFI de septiembre de 2020 los agrupa en seis categorías: importe y frecuencia de las transacciones, patrones de transacciones, anonimato, remitentes o destinatarios, origen de los fondos o del patrimonio, y riesgos geográficos.

¿Una sola señal de alerta significa que mi transacción es ilegal?

No. El GAFI afirma que los indicadores no son exhaustivos, no se aplican a todas las situaciones y no deben valorarse de forma aislada. Una señal de alerta motiva un examen más detenido, y muchas alertas se descartan tras la revisión.

¿Me dirá un exchange si ha presentado un informe de actividad sospechosa?

No. Las normas de la UE y de EE. UU. prohíben a las empresas comunicar a los clientes que se ha presentado o se presentará un informe de actividad sospechosa, por lo que los equipos de soporte a menudo no pueden explicar por qué una cuenta está en revisión.

¿Qué es el fraccionamiento (structuring) en cripto?

El fraccionamiento consiste en dividir transacciones en importes más pequeños para quedar por debajo de los umbrales de registro o declaración. El GAFI lo incluye como señal de alerta en cripto, y en EE. UU. el fraccionamiento para eludir las obligaciones federales de declaración es en sí mismo un delito.

¿Qué hago si mi cuenta cripto se congela por motivos AML?

Responda por los canales oficiales del exchange, aporte documentos que muestren de dónde proceden los fondos y cómo se han movido, no abra otra cuenta para eludir la restricción e ignore a cualquiera que ofrezca descongelarla a cambio de una comisión.

Siga leyendo

• Origen de los fondos vs origen del patrimonio
• El análisis blockchain explicado
• Monitorización de transacciones AML en cripto
• Guía de cumplimiento AML cripto para exchanges y VASP
• Mejor software de cribado de sanciones para exchanges cripto

Este artículo es divulgativo y no constituye asesoramiento jurídico ni financiero. Los indicadores de alerta se resumen a partir del informe del GAFI Virtual Assets Red Flag Indicators of Money Laundering and Terrorist Financing (septiembre de 2020) y del folleto del GAFI para VASP. Las referencias jurídicas corresponden a la Directiva (UE) 2015/849, el Reglamento (UE) 2024/1624, la 31 CFR 1022.320, la 31 U.S.C. 5324 y la guía de FinCEN FIN-2019-G001, todas comprobadas el 8 de octubre de 2026. Las demás fuentes están enlazadas en el texto.