Reporte de operación sospechosa en cripto: cuándo y cómo

Un exchange, una billetera custodial o cualquier proveedor de servicios de activos virtuales (PSAV) debe presentar un reporte de operación sospechosa cuando sabe, sospecha o tiene motivos razonables para sospechar que los fondos están vinculados a un delito o a la financiación del terrorismo. El reporte va a la unidad de inteligencia financiera de su país, y solo sirve si un analista que nunca vio el caso puede seguirlo: direcciones y hashes completos, una cronología, hechos confirmados separados de los indicios y los datos KYC del cliente. Aquí explicamos cuándo se cruza la línea, qué incluir y qué errores conviene evitar.

ROS, SAR, comunicación por indicio: la misma obligación

La Recomendación 20 del GAFI obliga a las entidades financieras, y por la Recomendación 15 también a los PSAV, a reportar sin demora las operaciones sospechosas a la unidad de inteligencia financiera (UIF). Cada país lo llama a su manera:

• En varios países de América Latina, como Argentina, Colombia o Perú, se habla de ROS (reporte de operación sospechosa) ante la UIF o la UIAF.
• En México la normativa usa la figura de operaciones inusuales, con su propio régimen de avisos y reportes.
• En España los sujetos obligados presentan una comunicación por indicio al SEPBLAC.
• En el mundo anglosajón se usan SAR o STR.

Lo que importa es el contenido: quién, qué, cuándo y por qué sospecha. Plazos, formularios y portales cambian según el país, así que consulte la guía de su UIF para los detalles en lugar de fiarse de una cifra genérica.

¿Cuándo un caso cripto obliga a reportar?

La sospecha es un umbral más bajo que la prueba. No necesita saber qué delito originó los fondos. Necesita hechos que un oficial de cumplimiento razonable no pueda explicar como actividad legítima. En un exchange o una empresa de pagos, suelen aparecer señales como estas:

• Exposición directa o cercana a una dirección o entidad sancionada.
• Fondos recibidos de, o enviados a, un mercado de la darknet, una billetera de ransomware, un mezclador o un clúster de estafas.
• Fraccionamiento: depósitos repetidos justo por debajo de umbrales, transferencias espaciadas de forma regular, montos redondos sin razón comercial.
• Un perfil KYC que no encaja con el volumen o el patrón de operaciones.
• Paso rápido de fondos: entran y salen en minutos, a menudo hacia una dirección recién creada.
• Datos recibidos de otro PSAV en un intercambio de Regla de Viaje que contradicen lo que declaró su cliente.

Un indicador aislado rara vez basta. Un depósito a dos saltos de un mezclador puede ser inocente. Ese mismo depósito, de un cliente cuyos ingresos declarados no cuadran y seguido de un retiro inmediato a una dirección nueva, cuenta otra historia. Documente el porqué de su decisión, sea cual sea. Ante un supervisor, una decisión razonada de no reportar pesa tanto como un reporte presentado.

Una regla de decisión práctica

Muchos equipos trabajan con tres resultados en lugar de sí o no, porque así los casos dudosos reciben una segunda mirada:

Resultado	Hechos típicos	Siguiente paso
No reportar	Puntuación de riesgo baja, sin sanciones, sin contacto directo con la darknet	Cerrar con una justificación escrita
Revisar	Señales mixtas, exposición indirecta, patrones sin explicar pero no claramente delictivos	Pedir información al cliente o escalar
Reportar	Puntuación alta, cualquier exposición a sanciones, contacto directo con darknet o ransomware	Preparar y presentar el ROS

En Cryptic AI, el asesor de cumplimiento aplica esta lógica al resultado de la investigación: con una puntuación por debajo de 40, sin sanciones ni contacto directo con la darknet, recomienda no reportar; con 70 o más, cualquier exposición a sanciones o contacto directo con darknet o ransomware, recomienda reportar; el resto va a revisión. Cada recomendación cita las señales de alerta del GAFI y la normativa aplicable. La decisión y la firma son del oficial de cumplimiento.

Qué hace que un ROS cripto sea útil para la UIF

1. Direcciones y hashes completos

Escriba cada dirección y cada hash enteros. 0x3f5c…a91e no se puede buscar en un explorador de bloques, y dos direcciones con los mismos primeros y últimos caracteres no son raras. Indique también la red de cada una: el mismo formato de dirección existe en varias redes EVM.

2. Una cronología

Ordene las transacciones relevantes: fecha y hora en UTC, sentido, activo, monto, dirección de la contraparte y hash. Una tabla funciona mejor que un párrafo. Después resuma el patrón en dos o tres frases, por ejemplo: "Entre el 3 y el 9 de marzo el cliente recibió 14 depósitos de USDT de entre 9.500 y 9.900 cada uno desde 11 direcciones, y retiró el 98 % del total a una única dirección en menos de 24 horas tras cada depósito".

3. Hechos confirmados, separados de los indicios

"El cliente recibió 12.000 USDT directamente de una dirección incluida en la lista SDN de la OFAC" es un hecho que se demuestra con un hash. "Los fondos podrían provenir de una estafa" es una inferencia. Ambas cosas pueden ir en el reporte, pero en párrafos distintos, y la inferencia debe decir en qué se apoya: fuente de atribución, número de saltos, patrón observado.

4. Los datos KYC del cliente

Incluya identidad y contacto, fecha de alta, actividad u origen de fondos declarados, datos de IP o dispositivo si su normativa lo permite y cuentas vinculadas. Es la parte que solo usted tiene: la UIF puede rastrear la blockchain por su cuenta, pero no sabe quién abrió la cuenta.

5. El porqué

Cierre con su razonamiento: qué indicios, en conjunto, hacen sospechosa la operación y con qué tipología cree que encaja. Si su UIF clasifica los reportes por códigos de tipología, relacione de antemano sus categorías internas de riesgo con esa lista.

Errores frecuentes al redactar un ROS de criptomonedas

1. Hashes y direcciones abreviados. El error más común y el más fácil de evitar.
2. Especulación presentada como hecho. Afirmar "el cliente blanquea fondos de ransomware" cuando la evidencia es un vínculo a tres saltos resta credibilidad a todo el reporte.
3. Falta el porqué. Una lista de transacciones sin explicación obliga al analista a repetir su investigación.
4. Capturas de pantalla en lugar de datos. Una puntuación o un grafo en imagen, sin las transacciones que los sustentan, no se puede verificar.
5. No mencionar las medidas tomadas. Indique si bloqueó la cuenta, rechazó un retiro, pidió documentos o mantuvo la relación.
6. Narrativas copiadas. Reutilizar el mismo texto en casos distintos oculta lo que tiene de particular cada uno.

Prohibición de revelación al cliente

La Recomendación 21 del GAFI prohíbe revelar al cliente, o a terceros, que se está preparando o se ha presentado un reporte de operación sospechosa. Esto afecta a los guiones de soporte y a las restricciones de cuenta. Si limita una cuenta después de reportar, use un mensaje neutro ("su cuenta está en revisión") y nunca mencione la UIF, el reporte ni la sospecha concreta. Forme al equipo de soporte y deje el estado de los ROS visible solo para cumplimiento.

Conservación de registros

La Recomendación 11 del GAFI exige conservar los registros de operaciones y la información de diligencia debida al menos cinco años, y muchos países fijan plazos más largos. Para cada ROS, guarde:

• el reporte presentado y el acuse de la UIF;
• el expediente de investigación: puntuación, fuentes consultadas, grafos y lista de transacciones;
• el registro de la decisión, también cuando decidió no reportar, con el motivo;
• los correos de escalamiento y las aprobaciones internas.

La atribución en blockchain cambia con el tiempo. Guarde la evidencia tal como estaba el día de la decisión, con fechas y fuentes, para poder demostrar qué sabía en ese momento.

Cómo encaja el flujo de reporte

En la práctica, una alerta de monitoreo, un intercambio de Regla de Viaje o una revisión manual abren un caso; la investigación reúne evidencia y una puntuación de riesgo; después llegan la recomendación y el borrador; el oficial revisa, edita y presenta. En el KYT de Cryptic AI, un agente de IA sigue los fondos a través de varios saltos y contrasta varios proveedores de datos blockchain; cada factor de riesgo debe citar transacción, fuente y fecha, o se descarta. El módulo de reportes arma el borrador con esa evidencia: hashes y direcciones completos, solo hechos confirmados en el texto e indicios indirectos marcados aparte. Un asistente de chat aplica cambios como "añade las transferencias entre estas dos direcciones" o "acorta la conclusión", y el borrador se exporta a DOCX, HTML o texto plano.

Preguntas frecuentes

¿Un ROS es lo mismo que un SAR?

En esencia, sí. Ambos comunican una sospecha a la UIF nacional. Nombre, formulario y plazo dependen de cada país.

¿Necesito pruebas de un delito para reportar?

No. El estándar es la sospecha o los motivos razonables para sospechar. Usted aporta hechos y razonamiento; investigar el delito corresponde a las autoridades.

¿Puedo seguir operando con el cliente después de reportar?

A menudo sí, según la ley local y las instrucciones de la UIF. Decida lo que decida, déjelo registrado y evite cualquier acción o mensaje que alerte al cliente.

¿Hay que reportar una operación que rechacé?

En muchos regímenes las operaciones intentadas también se reportan. Si bloqueó un depósito o un retiro por sospechoso, verifique qué exige su normativa.

Un buen ROS nace de una buena investigación: primero la evidencia, después un relato que la UIF pueda usar. Si su equipo pasa horas rehaciendo cronologías y copiando hashes a mano, vea cómo el flujo de reportes de Cryptic AI convierte la evidencia del caso en un borrador listo para que el oficial lo revise y lo firme.