KYC en un exchange de criptomonedas: guía práctica
El KYC de un exchange de criptomonedas se resume en cuatro comprobaciones bien hechas: el documento de identidad es auténtico y vigente, la persona frente a la cámara está presente y es la misma del documento, su nombre se cruza con listas de sanciones (y normalmente de PEP), y ese documento no se ha usado ya para abrir otra cuenta. Cada comprobación debe dar un resultado claro y dejar evidencia, para que el sistema apruebe solo lo evidente y pase el resto a una persona.
Esta guía está pensada para oficiales de cumplimiento, responsables de prevención y fundadores de exchanges, mesas OTC y empresas de pagos en Latinoamérica y España. Explica qué debe incluir el alta, cómo frenar la suplantación, cómo cribar sanciones y por qué el KYC no cubre el riesgo de las billeteras del cliente.
Qué incluye un buen proceso de alta
Los requisitos KYC concretos dependen de la licencia, del país (en la UE, MiCA y las normas AML europeas; en Latinoamérica, las de cada regulador) y del nivel de riesgo del cliente. Aun así, en casi todos los regímenes el alta de una persona física incluye:
- Datos del cliente: nombre completo, fecha de nacimiento, nacionalidad y domicilio.
- Un documento oficial: pasaporte, documento nacional de identidad o licencia de conducir.
- Comprobante de domicilio cuando las políticas lo exigen.
- Prueba de vida y comparación del rostro con la foto del documento.
- Cribado contra sanciones y PEP, repetido durante toda la relación.
- Detección de documentos duplicados entre clientes existentes.
- Una calificación de riesgo que define la intensidad del monitoreo posterior.
Cada paso debe dejar un resultado registrado: qué se comprobó, qué falló y quién decidió.
Verificación del documento y dígitos de control de la MRZ
La mayoría de los pasaportes y muchos documentos de identidad llevan una zona de lectura mecánica (MRZ): las dos o tres líneas de caracteres al pie de la página de datos. El Documento 9303 de la OACI (ICAO) define su formato, incluidos los dígitos de control del número de documento, la fecha de nacimiento, la fecha de caducidad y un dígito compuesto de esos campos.
Cada dígito de control se calcula con los caracteres que lo preceden: los números conservan su valor, las letras se convierten en números (A vale 10, B vale 11 y así sucesivamente), el carácter de relleno vale cero, y luego se multiplican por los pesos 7, 3 y 1 en ciclo, se suman y se toma el resto de dividir entre 10. Una MRZ falsificada o editada suele fallar este cálculo. Además, debe coincidir con el anverso impreso.
Comprobaciones útiles sobre el documento:
- Dígitos de control válidos en todos los campos protegidos.
- Coincidencia entre la MRZ y el anverso.
- Documento vigente el día del alta.
- Datos del documento iguales a los que el cliente escribió en el formulario.
En el KYC de Cryptic AI, un documento caducado o una MRZ inválida bloquean la aprobación automáticamente. El sistema lee pasaportes, documentos de identidad, licencias de conducir y comprobantes de domicilio, calcula los dígitos de control según ICAO 9303, los compara con el anverso y contrasta los campos con lo que introdujo el cliente.
Prueba de vida y los ataques que debe frenar
La prueba de vida (liveness) confirma que hay una persona real delante de la cámara en ese momento. Los atacantes intentan esquivarla así:
| Ataque | Cómo funciona | Contramedida |
|---|---|---|
| Repetición (replay) | Se reproduce ante la cámara un video grabado de la víctima | Retos en orden aleatorio que el video no puede prever |
| Pantalla | Se muestra una foto o un video en un teléfono o monitor | Iluminar el rostro con un color aleatorio desde la pantalla y buscar ese reflejo en la piel |
| Cámara virtual | Un software inyecta video sintético o grabado en lugar de la cámara real | Detectar dispositivos de cámara virtual |
| Máscara o foto impresa | Se sostiene una cara impresa o una máscara 3D | Retos de movimiento y señales de textura, profundidad y reflejo |
| Cambio de cara a mitad de sesión | Una cara supera el reto y otra aparece en fotogramas posteriores | Comparar entre sí los fotogramas de la misma sesión |
La prueba de vida de Cryptic AI pide al cliente girar a la izquierda, a la derecha y parpadear en orden aleatorio, así que un video pregrabado no puede adivinar la secuencia. Durante la sesión, la pantalla ilumina el rostro con un color aleatorio y el sistema busca ese reflejo; además, detecta cámaras virtuales. La norma de referencia para evaluar la detección de ataques de presentación es ISO/IEC 30107-3.
Coincidencia facial: tres zonas, no un solo umbral
La comparación facial da una puntuación de similitud entre los fotogramas de la sesión y el retrato del documento. Usar un único umbral entre aprobado y rechazado es un error. Las fotos de documento suelen ser antiguas y de baja calidad: un corte estricto rechaza a clientes legítimos y uno laxo deja pasar a los parecidos.
Funciona mejor un diseño de tres zonas:
- Coincide: similitud alta, apta para aprobación automática si todo lo demás está bien.
- Coincidencia débil: la franja intermedia, que va a revisión manual con ambas imágenes lado a lado.
- Probablemente otra persona: similitud baja, se bloquea o se escala.
El KYC de Cryptic AI devuelve exactamente estos tres resultados y compara entre sí los fotogramas de la misma sesión, lo que delata un rostro que cambia a mitad del reto. Si casi todas las coincidencias débiles terminan aprobadas, quizá la franja es demasiado ancha.
Cribado de sanciones y PEP con nombres aproximados
Cruzar clientes con listas de sanciones es más difícil de lo que parece, porque los nombres no pasan limpios de un alfabeto a otro. Un mismo nombre ruso o árabe aparece en caracteres latinos con varias grafías. En español se suman dos apellidos, nombres compuestos y partículas como «de» o «del».
La coincidencia exacta pierde aciertos reales; la demasiado laxa entierra a los analistas en falsos positivos. Un buen cribado:
- Tolera errores tipográficos, variantes de transliteración y orden de los nombres.
- Usa la fecha de nacimiento y la nacionalidad para distinguir al cliente de un homónimo.
- Cubre las listas que espera su regulador, normalmente OFAC, ONU, UE y Reino Unido.
Cryptic AI coteja con las listas de OFAC, ONU, UE y Reino Unido, con una búsqueda que contempla errores, transliteración y variantes del nombre, y afina el resultado con fecha de nacimiento y nacionalidad.
Documentos duplicados
El mismo pasaporte en dos cuentas es una señal fuerte de fraude o de cuentas mula. Para detectarlo hay que comparar números de documento entre clientes, pero guardarlos en claro en otra tabla amplía la exposición de datos. Es más seguro almacenar un hash seguro con clave y comparar hashes. Cryptic AI lo hace así y busca solo dentro de su propia organización.
Aprobación automática o revisión manual
La aprobación automática mantiene rápido el alta de la mayoría de solicitantes limpios. Solo debe activarse cuando todo está bien: documento vigente, MRZ válida, prueba de vida superada, rostro en la zona alta, sin coincidencias en listas y sin duplicados. Cualquier objeción o paso fallido debe detenerla y enviar el caso a un revisor, que deja constancia del motivo de su decisión.
Con el constructor visual de flujos de Cryptic AI esto se arma como pasos, condiciones y resultados, a partir de plantillas. Se integra como widget o por clave API, con webhooks firmados y estado en tiempo real. Cada acción queda en el registro de auditoría.
Obligaciones de borrado de datos
Los datos de KYC son datos personales sensibles. Leyes como el RGPD en Europa, y las leyes de protección de datos de muchos países latinoamericanos, reconocen el derecho a pedir su supresión, mientras que la normativa AML obliga a conservar la documentación de diligencia debida durante un plazo, habitualmente de al menos cinco años tras el fin de la relación. Su política debe aclarar qué prevalece y su sistema debe poder borrar imágenes y datos cuando ya no hay base para conservarlos. Cryptic AI permite el borrado de datos a petición.
Por qué el KYC solo no basta
El KYC dice quién abrió la cuenta, no de dónde vienen sus criptomonedas. Un cliente perfectamente verificado puede depositar fondos de una dirección sancionada, de un exchange hackeado o de un mezclador. Analizar las billeteras desde las que deposita y a las que retira es la otra mitad del trabajo, y para eso está el KYT. En transferencias entre proveedores, la Regla de Viaje añade los datos de ordenante y beneficiario.
Preguntas frecuentes
¿Basta con una selfie como prueba de vida?
No. Una selfie puede ser la foto de una foto. La prueba de vida necesita un reto activo u otras señales que demuestren que la persona está presente en ese momento.
¿Una MRZ inválida implica rechazar siempre al solicitante?
Debe impedir la aprobación automática. El revisor puede detectar un escaneo defectuoso y pedir otra imagen, pero la solicitud no debería aprobarse sin una MRZ válida.
¿Cada cuánto hay que volver a cribar a los clientes?
Cada vez que se actualizan las listas que usa y cuando cambian los datos del cliente. El cribado continuo es una expectativa habitual, no un paso exclusivo del alta.
¿Hace falta cribar PEP además de sanciones?
En la mayoría de los regímenes, sí. Ser PEP no impide el alta por sí solo, pero suele exigir diligencia reforzada y aprobación de un directivo.
Un buen KYC aprueba en minutos a los solicitantes limpios y entrega al revisor evidencia clara para el resto. Para ver cómo encajan documento, prueba de vida, coincidencia facial y cribado en un mismo flujo configurable, conozca el KYC de Cryptic AI.