Advertencias de la BaFin en septiembre: así compruebas en tres minutos si un proveedor cripto tiene autorización

Entre el 2 y el 11 de septiembre de 2026, la BaFin publicó doce comunicaciones al consumidor sobre actividades no autorizadas. Cinco de ellas mencionan expresamente servicios de criptoactivos, y cinco de las doce aparecieron en un solo día, el 11 de septiembre. Si una plataforma de negociación te ha llegado a través de un anuncio, un grupo de chat o un mensaje directo, puedes comprobar tú mismo en unos tres minutos si ese proveedor tiene permitido operar en Alemania. Este texto muestra el camino y expone lo que dicen realmente esas doce comunicaciones.

Una advertencia de la BaFin es una comunicación oficial basada en la Ley alemana de Crédito y en la Ley de Supervisión de los Mercados de Criptoactivos. Su contenido central es casi siempre el mismo: el organismo dispone de indicios, o de una sospecha, de que un proveedor realiza actividades sujetas a autorización sin contar con ella. No lleva aparejada ninguna resolución judicial.

Advertencias de la BaFin en septiembre de 2026: doce comunicaciones en diez días

Para este artículo consultamos la página de resumen «News & Warnungen» de la BaFin, cargamos individualmente cada comunicación al consumidor del año 2026 enlazada allí y analizamos el párrafo introductorio de cada una. En el momento de la consulta figuraban doce comunicaciones, y las doce respondieron con el estado HTTP 200. Este recuento lo elaboró cryptoticker.io el 12 de septiembre de 2026.

El reparto por fecha de publicación: una comunicación el 2 de septiembre, una el 3 de septiembre, dos el 4 de septiembre, una el 7 de septiembre, dos el 9 de septiembre y cinco el 11 de septiembre. El 11 de septiembre es, con diferencia, el día más denso del periodo. Las comunicaciones no dan ninguna razón para ello, y nosotros tampoco se la atribuimos: los atascos de publicación y los ritmos de tramitación de un organismo no se aprecian desde fuera.

Más interesante que la cadencia es la composición. Siete de las doce comunicaciones afectan a servicios financieros y de inversión clásicos, ofertas de depósitos a plazo o contratos de crédito. Cinco afectan a servicios de criptoactivos, es decir, justo el ámbito del que se ocupa esta página.

Servicios de criptoactivos: cinco de doce advertencias afectan a tu tema

Servicio de criptoactivos es un concepto jurídico procedente del reglamento europeo MiCAR y de la Ley alemana de Supervisión de los Mercados de Criptoactivos. Abarca, entre otras cosas, la negociación de criptoactivos por cuenta de terceros, su canje por euros, la custodia de criptoactivos ajenos y la explotación de una plataforma de negociación. Quien ofrezca profesionalmente uno de estos servicios en Alemania necesita una autorización.

Estas cinco comunicaciones del periodo mencionan expresamente servicios de criptoactivos ya en su primer párrafo:

• 37mh(.)com, 2 de septiembre. Según los indicios de la BaFin, sus operadores ofrecen allí servicios de criptoactivos sin autorización. El organismo señala además que el sitio no tiene un aviso legal válido y que la supervisión por parte de la BaFin que allí se afirma no existe.
• rheinbridge(.)capital, 4 de septiembre. Existe la sospecha de que operadores desconocidos ofrecen servicios financieros y servicios de criptoactivos sin la autorización exigida.
• Canal de Telegram «Sophia Hoffmann» y sophiahoffmann(.)icu, 9 de septiembre. Aquí la BaFin advierte expresamente sobre un canal de mensajería y el bot que opera en él, y no solo sobre un sitio web.
• schelhammer-systems(.)com, 11 de septiembre. Misma formulación que en rheinbridge: sospecha de servicios financieros y servicios de criptoactivos sin autorización.
• sogmbh(.)com, 11 de septiembre. Sospecha de servicios financieros y de inversión, así como de servicios de criptoactivos, unida a una presunta usurpación de identidad.

Cinco de doce suena a minoría. Medido frente al hecho de que las criptomonedas son solo una parte del conjunto del mercado financiero que supervisa la BaFin, la proporción resulta notablemente alta. Quien se mueve en este mercado debería tratar la consulta del registro como una rutina y no como una excepción reservada a los casos sospechosos. Si de todos modos estás valorando dónde comprar, conviene echar un vistazo a los exchanges cripto regulados con autorización para el mercado europeo antes de abrir una cuenta en cualquier sitio.

Base de datos de empresas de la BaFin: así compruebas una autorización en tres minutos

La BaFin remite en todas sus comunicaciones al mismo lugar: su base de datos de empresas. Allí consta qué empresas tienen autorización en Alemania y para qué exactamente. La consulta es gratuita y no requiere cuenta.

Paso uno: saca la denominación exacta del aviso legal

No busques la marca que aparece en la página de inicio, sino la persona jurídica que figura en el aviso legal. Justo en ese punto fracasan muchas comprobaciones, porque marca y titular jurídico no coinciden. Si falta por completo el aviso legal, como señala la BaFin en 37mh(.)com, la comprobación termina ahí: un proveedor sin un titular jurídico identificable no es verificable para ti.

Paso dos: comprueba que la autorización cubre el servicio correcto

Un resultado en la base de datos no basta por sí solo. Lo decisivo es qué autorización está inscrita allí. Una autorización para la intermediación de inversiones no cubre la negociación de criptoactivos, y un registro como intermediario de inversiones financieras según el código alemán de actividades económicas no es en absoluto una autorización de la BaFin. Lee por tanto el alcance de la inscripción y no te conformes con su simple existencia.

Paso tres: cruza la lista de advertencias

Por último, revisa el apartado de comunicaciones al consumidor sobre actividades no autorizadas. Si el nombre o el dominio figura allí, el asunto está decidido. Si no figura, eso dice poco: la BaFin advierte solo cuando ha llegado a su conocimiento un caso concreto. La ausencia de una advertencia no es un sello de calidad.

Usurpación de identidad: cuando una empresa real sirve de tapadera

Tres de las doce comunicaciones mencionan una presunta usurpación de identidad. Con ello la BaFin se refiere a que un sitio web emplea los datos de una empresa realmente existente, a menudo solvente, sin guardar relación alguna con ella.

En cptvertex(.)com, el aviso legal recoge según la BaFin una sociedad denominada Vertex AG, y el número de registro allí indicado corresponde en el registro mercantil suizo a Vertex Treuhand AG. Según su propia exposición, el organismo no dispone de ninguna información de que esa sociedad tenga realmente algo que ver con el sitio. En capitalparadigm(.)com, la BaFin aclara expresamente que no existe relación con Paradigm Capital AG, con sede en Grünwald. En sogmbh(.)com ocurre lo mismo con Strategic Opportunities GmbH, con sede en Offenburg.

Este hallazgo tiene para ti una consecuencia práctica. El razonamiento «la empresa está en el registro mercantil, así que todo está en orden» ya no se sostiene. El número de registro puede ser auténtico y pertenecer, aun así, a alguien que no sabe nada del sitio. La comprobación solo resulta sólida cuando le das la vuelta al contacto y llamas a la supuesta matriz al número que figura en su propia web, localizada de forma independiente.

Grupo de WhatsApp y bot de Telegram: la puerta de entrada se traslada a la mensajería

En dos de las doce comunicaciones el punto de partida está en una aplicación de mensajería y no en un sitio web. El 9 de septiembre, la BaFin advirtió sobre un canal de Telegram y el bot «Sophia Hoffmann» que opera en él, junto con el sitio asociado. Ese mismo día apareció una segunda comunicación sobre ofertas difundidas en grupos de WhatsApp.

Esa segunda comunicación es la más detallada de todo el periodo, y describe una secuencia. Según la exposición de la BaFin, los promotores de tales grupos se presentan como una empresa estadounidense llamada «Pinney Investment Lab» o como el «PISI Investment Forum» y promocionan un supuesto proyecto de inteligencia artificial bajo el nombre «Dual-Track-Transformationsplan». En el sitio asociado se afirmaría que ya se ha presentado una solicitud de autorización ante la BaFin y que se actúa conforme al derecho supervisor alemán y europeo. El organismo responde a eso en una frase: no se corresponde con los hechos. Tras la captación, se pediría a los interesados rellenar un formulario de registro para acceder a una plataforma de negociación externa alojada en otros dominios.

Dos detalles resultan aquí útiles para tu propia valoración. Primero, la legitimidad que se afirma se apoya en una solicitud en trámite inventada en lugar de en una autorización inventada. Una solicitud no se puede consultar en ningún registro público, y eso es precisamente lo que la hace tan cómoda como afirmación. Segundo, la captación ocurre en un espacio sin valoraciones, sin buscador y sin historial. Un organismo supervisor nunca se dirige por iniciativa propia a los inversores en un grupo de chat.

Si quieres conocer con más detalle la mecánica de estas abordajes, en nuestro análisis sobre las falsas verificaciones AML para wallets cripto encontrarás un método emparentado, al final del cual está la autorización de acceso a una wallet en lugar de una transferencia.

Ley de Supervisión de los Mercados de Criptoactivos y Ley de Crédito: en qué se basan las advertencias

En el pie de cada comunicación consta la base jurídica, y es un indicio aprovechable de lo que se ventila en cada caso. Las comunicaciones sobre servicios financieros y de inversión invocan el artículo 37, apartado 4, de la Ley alemana de Crédito. Las relativas a criptoactivos citan el artículo 10, apartado 7, de la Ley de Supervisión de los Mercados de Criptoactivos. En sogmbh(.)com y en el canal de Telegram ambas normas aparecen juntas, porque están afectados los dos ámbitos.

La Ley de Supervisión de los Mercados de Criptoactivos es la legislación alemana que acompaña al reglamento europeo MiCAR. Regula, entre otras cosas, quién puede actuar en Alemania como proveedor de servicios de criptoactivos y de qué facultades dispone la supervisión al respecto. La potestad de advertir del artículo 10, apartado 7, resulta interesante porque permite al organismo informar al público ya con la sospecha, es decir, antes de que concluya un procedimiento. Eso explica el lenguaje prudente de los textos. Donde la BaFin tiene indicios asegurados escribe «según los indicios de la BaFin». Donde no los tiene, escribe «existe la sospecha».

Cuatro de las cinco comunicaciones cripto del periodo están formuladas como sospecha, una como indicio. Esta gradación es más que una formalidad: en ella se lee hasta dónde ha llegado ya la supervisión en cada caso.

Lo que una advertencia de la BaFin no consigue: los límites de la lista

La lista de advertencias es un espejo retrovisor. Recoge casos que se han comunicado al organismo o que le han llamado la atención, y lo hace con retraso. Entre el arranque de un sitio web y una comunicación transcurren por regla general semanas o meses en los que ya ha corrido dinero.

A esto se añade un límite de competencia. La BaFin supervisa el mercado alemán. Para los proveedores autorizados en otro Estado de la Unión, la autoridad europea de valores ESMA lleva su propio registro, y para los proveedores de servicios de criptoactivos conforme a MiCAR rige el pasaporte europeo. Un proveedor puede, por tanto, operar legalmente en Alemania sin constar en la base de datos de la BaFin como entidad alemana. En ese caso figura en el registro de su Estado de origen. Quien busca en un solo sitio y no encuentra nada extrae de ahí con facilidad la conclusión equivocada.

Y por último, una autorización no dice nada sobre precios, calidad del servicio o solvencia. Lo único que acredita es que hay una supervisión competente y que existen reglas para las reclamaciones. Cómo presentar una reclamación así y qué plazos rigen lo hemos descrito en nuestro artículo sobre la reclamación contra un exchange cripto conforme al artículo 71 de MiCAR.

Dinero ya transferido: qué pasos sirven todavía

Cuando la comprobación llega tarde, cuenta la velocidad. En una transferencia clásica a una cuenta de la zona SEPA vale la pena llamar de inmediato a tu banco y pedir la retrocesión del pago. Rara vez se consigue, pero no cuesta nada y solo tiene perspectivas en las primeras horas. En un pago con tarjeta, la vía pasa por el procedimiento de contracargo del emisor.

En una transferencia en Bitcoin o en una stablecoin no existe retrocesión. Lo que queda es la documentación: hashes de transacción, direcciones de destino, historiales de chat, capturas de pantalla de la plataforma y de todos los requerimientos de pago. Esos documentos son la base para la denuncia ante la policía y para el aviso a la BaFin a través de su servicio al consumidor. El aviso no te devuelve el dinero, pero es lo que hace que un caso llegue siquiera a la lista de advertencias que otros leerán después.

Un punto que se pasa por alto con facilidad. Tras un episodio así aparece a menudo un segundo contacto que ofrece ayuda para recuperar el dinero y exige un pago por adelantado. La BaFin, la Oficina Federal de Policía Criminal y las oficinas regionales de policía criminal señalan exactamente este patrón en sus recomendaciones conjuntas sobre el fraude financiero en internet.

La autocustodia como consecuencia: qué debería cambiar tras un incidente

De las doce comunicaciones se extrae una enseñanza más general. Cada uno de los casos descritos presupone que dinero o criptoactivos pasan al poder de disposición de un tercero. Justo en ese punto surge el daño, y ello con independencia de lo convincente que pareciera la interfaz.

Quien mantiene saldos mayores reduce esa superficie de ataque mediante la autocustodia. La negociación sigue teniendo lugar entonces en un proveedor autorizado, pero los saldos quedan después en un dispositivo al que nadie más tiene acceso. Qué dispositivos sirven para ello y en qué se diferencian lo muestra nuestra comparativa de carteras hardware. Para el uso corriente, el resto permanece en un exchange cuya autorización hayas comprobado.

Límites de este recuento: qué no hemos podido comprobar

Tres cosas quedaron fuera de nuestro alcance. Primero, la página de resumen de la BaFin lista solo las comunicaciones más recientes; las más antiguas de 2026 están en el archivo, de modo que estas doce comunicaciones reflejan un periodo y no un total anual. Segundo, no abrimos deliberadamente los sitios citados, razón por la cual no podemos decir si seguían accesibles en el momento del recuento. Tercero, no comprobamos nosotros mismos si los operadores actúan efectivamente sin autorización; la BaFin lo califica expresamente de sospecha en diez de las doce comunicaciones.

Comprobar un proveedor cripto: lo que te llevas

1. Comprueba antes del primer ingreso, no después del primer retraso en un reintegro. Toma el titular jurídico del aviso legal, búscalo en la base de datos de empresas de la BaFin y mira qué servicio cubre la autorización. Si todavía estás buscando, empieza directamente por los exchanges cripto regulados.
2. Trata cualquier contacto por mensajería como una señal de alarma en sí misma. Dos de las doce comunicaciones de septiembre empezaron en un grupo de WhatsApp o en un canal de Telegram. Una solicitud de autorización que se afirma no se puede consultar en ninguna parte y por eso carece de valor como prueba. Dónde puedes comprar en su lugar figura en nuestro panorama de mercados regulados.
3. Reduce la superficie de ataque para el próximo caso. Mantén en el exchange solo lo que necesitas para operar y lleva el resto a la autocustodia. El punto de partida lo da nuestra comparativa de carteras hardware.

Las dos comunicaciones originales sobre los casos de mensajería están disponibles en la propia BaFin: la advertencia sobre el canal de Telegram del 9 de septiembre de 2026 y la advertencia más detallada sobre las ofertas difundidas en grupos de WhatsApp.

(12 de septiembre de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)