Compliance on-chain para pagos y tesorerías con stablecoins

El compliance on-chain son los controles que una empresa aplica a las propias transferencias en blockchain: quién envía los fondos, de dónde vienen, a dónde van y si algo de eso implica riesgo de sanciones, de lavado o de congelamiento. Para empresas de pagos, PSP, fintechs y tesorerías corporativas que mueven USDT y USDC, se traduce en revisar a las contrapartes antes y después de cada transferencia, vigilar las billeteras propias, intercambiar datos de Regla de Viaje con otros PSAV cuando corresponde y guardar evidencia que un auditor o un banco corresponsal pueda verificar. A continuación vemos cada pieza y cómo automatizarla.

Por qué los pagos con stablecoins necesitan KYT

Los pagos con tarjeta pasan por controles antifraude porque la red de tarjetas no garantiza que el pago sea legítimo. Con las stablecoins ocurre lo mismo, con dos diferencias. La liquidación es definitiva: no hay contracargo. Y el historial de cada dirección es público, así que se puede ver de dónde vienen los fondos antes de aceptarlos.

El KYT (Know Your Transaction, conocer la transacción) aprovecha esa visibilidad. Analiza las direcciones a ambos lados de la transferencia y los caminos que las unen con entidades conocidas: exchanges, procesadores de pago, mezcladores, mercados de la darknet, personas sancionadas, redes de estafa. El KYC dice quién es su cliente; el KYT, por dónde pasó su dinero.

Una liquidación de un comercio recibida desde una dirección con exposición a sanciones puede poner en peligro la relación con su banco. Un pago a un proveedor cuya billetera luego aparece vinculada a un fraude se convierte en una pregunta del supervisor sobre sus controles.

Screening de contrapartes: entradas y salidas

La revisión se hace en dos sentidos, y las preguntas no son las mismas.

Sentido	Pregunta	Acción típica si el riesgo es alto
Entrada (cobros, depósitos, liquidaciones)	¿De dónde vienen los fondos? ¿Hay exposición directa o indirecta a fuentes sancionadas o delictivas?	Retener los fondos, pedir información al pagador, escalar, valorar un reporte de operación sospechosa
Salida (pagos a proveedores, retiros, dispersiones)	¿Quién controla el destino? ¿Está sancionado, ligado a fraude o es un servicio de alto riesgo?	Bloquear o pausar el pago, pedir al cliente que confirme al beneficiario, escalar

Dos ideas prácticas. Primero, revise la dirección de destino antes de enviar: después de la transferencia ya no hay nada que detener. Segundo, la coincidencia directa con una lista de sanciones es solo el caso evidente. La mayor parte del riesgo está a unos saltos de distancia: fondos que pasaron por un mezclador o un grupo de direcciones nuevas que se consolidan en una sola. Una buena herramienta sigue el dinero a través de los saltos, no solo compara una dirección con una lista.

En el KYT de Cryptic AI, un agente de IA hace esa investigación por su cuenta. Sigue los fondos salto a salto, contrasta varios proveedores de datos blockchain (Chainalysis, Global Ledger, Breadcrumbs) con su propia base de atribución, el clustering de BTC, los datos de sanciones de la OFAC y fuentes OSINT, y entrega una puntuación de riesgo determinista de 0 a 100. Cada factor de riesgo debe citar transacción, fuente y fecha; los que no tienen evidencia se descartan.

Monitoreo de las billeteras de tesorería

Las billeteras de tesorería y operativas necesitan vigilancia continua, no solo un control en el momento del pago. La atribución cambia: una dirección limpia cuando dio de alta a una contraparte puede quedar ligada a un hackeo un mes después. Conviene vigilar:

• Entradas inesperadas desde direcciones desconocidas, incluidos los envíos de "polvo" que pueden contaminar el historial de una billetera.
• Pagos de contrapartes cuyo riesgo cambió desde la última revisión.
• Señales de fraccionamiento por parte de un cliente: montos repetidos justo por debajo de 10.000, 5.000, 3.000 o 1.000 dólares, transferencias espaciadas con regularidad, cifras redondas sin motivo comercial.
• Salidas que no corresponden a una orden de pago aprobada.

Las reglas detectan eventos, pero no saben cuáles importan, y el exceso de alertas acostumbra al equipo a ignorarlas. En el monitoreo de Cryptic AI, las reglas convierten los eventos en señales y la IA decide si una señal merece una alerta, que llega a la interfaz y por correo.

Regla de Viaje cuando opera con PSAV

La Recomendación 16 del GAFI, conocida como Regla de Viaje, exige a los proveedores de servicios de activos virtuales intercambiar datos del ordenante y del beneficiario en cada transferencia. En la Unión Europea, el Reglamento (UE) 2023/1113 se aplica a las transferencias de criptoactivos desde el 30 de diciembre de 2024, sin importe mínimo entre proveedores. Para transferencias de más de 1.000 euros hacia o desde una billetera autoalojada, el proveedor debe comprobar que su cliente la posee o la controla. En América Latina, cada país avanza a su ritmo con la adopción de los estándares del GAFI.

Lo que implica depende de su situación:

• Si es un PSAV registrado o con licencia (como muchos procesadores de pagos cripto), debe enviar y recibir los datos usted mismo.
• Si es una tesorería corporativa o una fintech fuera de ese ámbito, los exchanges con los que opera pueden pedirle que demuestre la titularidad de su billetera o que aporte datos del ordenante antes de liberar los fondos.

El módulo de Regla de Viaje de Cryptic AI intercambia datos con otros PSAV por varios protocolos, verifica la titularidad de billeteras no custodiadas, puede retener la transferencia hasta recibir respuesta y mantiene una cola de revisión con plazos.

Riesgo de congelamiento por el emisor

USDT y USDC los emiten empresas (Tether y Circle) cuyos contratos permiten congelar los saldos de direcciones concretas, y lo han hecho con direcciones ligadas a sanciones o a fondos robados. Para una empresa, esto supone un riesgo que las guías AML rara vez mencionan: si su tesorería recibe tokens de una dirección que luego se congela, o si su propia dirección acaba en la lista de bloqueo de un emisor, el saldo puede quedar inutilizable.

Controles prácticos:

1. Revise las entradas de stablecoins antes de mezclarlas con los saldos de tesorería.
2. Separe las billeteras de cobro de las de tesorería a largo plazo, para que un problema en una no afecte a la otra.
3. Compruebe si las contrapartes tienen exposición a direcciones ya congeladas por un emisor.
4. Registre el resultado de la revisión en el momento del cobro, para demostrar buena fe si más adelante surge una pregunta.

Evidencia para auditores y bancos

Los bancos que dan cuentas fiat a empresas de stablecoins y los auditores que revisan los controles preguntan lo mismo: cómo decidió que este pago era aceptable. La respuesta está en la evidencia:

• la dirección y el hash completos;
• la puntuación de riesgo y los factores que la sustentan;
• qué fuentes se consultaron y cuándo;
• quién revisó el caso y qué decidió.

Cryptic AI exporta los informes de investigación a PDF con el grafo de vínculos, los flujos de fondos y un anexo de transacciones. Si el caso debe ir a la UIF, el módulo de reportes arma el borrador del reporte de operación sospechosa con esa misma evidencia, y el oficial lo revisa y lo firma.

Automatización: API y webhooks

Los pagos se ejecutan en código, y los controles deben ir ahí también. Una integración típica para un PSP:

1. Antes de un pago saliente, llamar a la API de screening con la dirección de destino y la red.
2. Aplicar su política a la puntuación: liberar, retener para revisión o rechazar.
3. En los cobros, revisar el origen y desviar los depósitos de alto riesgo a una cola de revisión en lugar de la tesorería.
4. Suscribirse a webhooks de alertas de monitoreo y de estado de la Regla de Viaje (el módulo también ofrece un flujo de estado en tiempo real), para que el sistema de pagos reaccione sin que nadie mire una pantalla.

La realidad multichain

USDT y USDC circulan en varias redes, entre ellas Ethereum y Tron, y un mismo cliente puede pagarle en una y retirar en otra. De ahí se derivan tres cosas:

• El screening debe cubrir todas las redes que acepta, y el riesgo de una dirección solo tiene sentido junto con su red.
• Los fondos cruzan de una red a otra mediante puentes y swaps; una vista de una sola cadena puede perder su origen.
• La cobertura de datos varía según la red y el proveedor. Contrastar más de una fuente reduce los puntos ciegos en las redes menos cubiertas.

Preguntas frecuentes

¿Una tesorería corporativa necesita KYT si no es un PSAV?

Puede que ninguna norma de licencias lo exija, pero las sanciones se aplican a todos, los bancos esperan controles y el riesgo de congelamiento afecta directamente a su saldo. Revisar a las contrapartes es la forma más sencilla de cubrir los tres frentes.

¿Basta con comparar contra la lista de la OFAC?

Solo cubre coincidencias directas. La mayor parte de la exposición es indirecta, a través de intermediarios, así que hace falta rastrear los saltos e identificar riesgos no sancionados como mezcladores, estafas o mercados de la darknet.

¿La Regla de Viaje europea tiene umbral para cripto?

Entre proveedores, no: según el Reglamento (UE) 2023/1113 los datos acompañan a toda transferencia de criptoactivos. Los 1.000 euros se refieren a la verificación de titularidad de billeteras autoalojadas.

Las stablecoins mueven dinero más rápido de lo que la mayoría de los procesos de cumplimiento estaban preparados para controlar. El compliance on-chain cierra esa brecha con controles que van al ritmo del pago y dejan evidencia. Para ver cómo funciona con sus propios flujos, conozca el KYT de Cryptic AI.