App de cartera sin autorización de la BaFin: cuándo la custodia de criptoactivos exige una licencia

El 19 de agosto de 2026 la BaFin, el supervisor financiero alemán, publicó el mismo día dos comunicaciones al consumidor sobre ofertas que se presentan como carteras. Una se refiere a un sitio web; la otra, a un sitio web junto con una aplicación que aparece con nombre propio de producto en las tiendas habituales. En ambos casos el supervisor escribe que, según sus averiguaciones, los operadores actúan sin la autorización exigida y no están sometidos a su supervisión. En uno de los dos casos investiga a operadores desconocidos.

Ambas comunicaciones se apoyan en el mismo precepto, el artículo 10, apartado 7, de la ley alemana de supervisión de los mercados de criptoactivos (KMAG). Y ambas plantean la misma pregunta, que la cobertura de este tipo de advertencias casi siempre deja pasar: ¿a partir de cuándo necesita autorización una cartera? La respuesta no es evidente, porque millones de personas usan software de cartera detrás del cual no hay ninguna empresa autorizada, y eso es perfectamente correcto. La diferencia está en un punto que en una aplicación no se ve desde fuera.

Dos advertencias de la BaFin en un día: qué se comunicó el 19 de agosto de 2026 sobre carteras

La primera comunicación afecta a un sitio web en el que, según las averiguaciones del supervisor, se ofrecen servicios de criptoactivos sin autorización. La segunda afecta a dos sitios web y a una aplicación; allí los operadores se presentan, según la comunicación, como una sociedad con la designación de forma jurídica LLC que explotaría la aplicación. Los nombres y las direcciones figuran en las propias comunicaciones del supervisor, que son de libre acceso y quedan enlazadas aquí. Este texto no los menciona, porque lo que le interesa es el patrón y no el caso concreto.

Para situar el asunto importa saber qué significa jurídicamente una comunicación así. El artículo 10, apartado 7, KMAG permite a la BaFin informar al público mencionando el nombre cuando haya hechos que justifiquen la presunción, o cuando conste, de que una empresa realiza operaciones no autorizadas. El texto cubre expresamente ambas situaciones, la sospecha y la constatación. Antes de la decisión hay que oír a la empresa y, si una publicación resulta después errónea, el supervisor debe rectificar ante el público por la misma vía. Una advertencia no es, por tanto, ni una sentencia ni una práctica de prueba, sino una medida de policía administrativa con un mecanismo de retirada incorporado.

La segunda frase del mismo precepto es la parte más interesante. Se aplica también cuando una empresa no presta en absoluto la actividad no autorizada, pero genera en el público la apariencia de hacerlo. Para las ofertas de cartera ese es el supuesto más frecuente en la práctica: una aplicación que promete custodiar un saldo y hacerlo crecer ni siquiera necesita mantener realmente ese saldo para quedar sujeta al precepto.

Artículo 3, punto 17, de MiCAR: la custodia es el control de los medios de acceso

La ley de supervisión de los mercados de criptoactivos no es un cuerpo normativo autónomo. Su artículo 1 señala que sirve para ejecutar el Reglamento (UE) 2023/1114, es decir, MiCA. Las definiciones materiales están allí, y una de ellas resuelve toda la cuestión.

El artículo 3, apartado 1, punto 17, del reglamento define la custodia y administración de criptoactivos por cuenta de clientes como la conservación segura o el control de criptoactivos, o de los medios de acceso a dichos criptoactivos, por cuenta de clientes, en su caso en forma de claves criptográficas privadas. Esa frase contiene tres bifurcaciones, y cada una merece leerse con calma.

La primera bifurcación es la palabra control. Basta con que un proveedor tenga el control sobre los medios de acceso; no tiene que conservar él mismo los criptoactivos. La segunda bifurcación son los medios de acceso. El punto de conexión no son las monedas, sino aquello con lo que se llega a ellas. La tercera bifurcación se esconde en las palabras por cuenta de clientes. Quien mantiene exclusivamente sus propias posiciones no custodia nada para un cliente y, por tanto, no presta ningún servicio en el sentido del reglamento.

De esas tres bifurcaciones se deriva la línea divisoria de la que trata este texto. Una cartera en la que solo tú tienes las claves y en la que el fabricante se limita a suministrar software no queda comprendida, según la letra del precepto, en la custodia, porque nadie controla por ti. En cuanto otra persona puede mantener o restablecer los medios de acceso, el requisito se cumple.

Con custodia o sin custodia: cómo reconoces quién controla tus claves

Los términos ingleses custodial y non-custodial no aparecen en ninguno de los dos preceptos. Como jerga del sector, sin embargo, aciertan exactamente con la distinción que traza el reglamento. Con custodia significa que el proveedor mantiene los medios de acceso; sin custodia significa que los mantienes tú solo.

En la práctica reconoces la diferencia en la instalación. Una cartera que en el primer uso te muestra una frase de recuperación y te pide que la anotes fuera del dispositivo te está entregando con ello los medios de acceso. Una aplicación en la que te registras con dirección de correo y contraseña y nunca llegas a ver una frase así ha conservado los medios de acceso. El vocabulario no es aquí una guía fiable, porque la palabra cartera no está protegida y se usa para ambas cosas. Quien quiera una visión de conjunto de los tipos la encontrará en la comparativa de carteras de software.

La cuestión de la recuperación: por qué una función de contraseña olvidada delata la autorización

Existe una única prueba que en la inmensa mayoría de los casos aporta claridad inmediata, y no cuesta ni un minuto. Pregúntate qué ocurre si pierdes tu contraseña.

Si el proveedor puede devolverte el acceso, entonces tiene que disponer de los medios de acceso o poder reconstruirlos. Eso es exactamente el control del artículo 3, punto 17. Si no puede y te remite a tu frase de recuperación, entonces los medios de acceso están en tus manos y el precepto no se aplica en esa medida. Un proveedor que publicita una recuperación cómoda y al mismo tiempo subraya que no tiene acceso alguno a tus saldos afirma dos cosas difíciles de sostener a la vez. Esa tensión es justo el punto en el que merece la pena preguntar.

Artículo 3, punto 16, de MiCAR: los diez servicios de criptoactivos de un vistazo

La custodia es solo el primero de diez puntos. El artículo 3, apartado 1, punto 16, enumera de forma exhaustiva qué se considera servicio de criptoactivos: la custodia y administración de criptoactivos por cuenta de clientes, la explotación de una plataforma de negociación, el canje de criptoactivos por fondos, el canje por otros criptoactivos, la ejecución de órdenes por cuenta de clientes, la colocación de criptoactivos, la recepción y transmisión de órdenes por cuenta de clientes, el asesoramiento sobre criptoactivos, la gestión de carteras y la prestación de servicios de transferencia por cuenta de clientes.

Esa lista pesa más de lo que parece a primera vista para valorar una aplicación de cartera. Una aplicación puede estar limpia en materia de custodia y necesitar aun así una autorización porque ofrece una de las otras nueve actividades. Cada uno de los diez puntos activa por sí solo la obligación de autorización.

El canje dentro de la aplicación: por qué el swap integrado es un servicio propio

El caso más frecuente en la práctica es la función de canje. Muchas carteras que dejan correctamente las claves en manos del usuario muestran un botón con el que se cambia un token directamente por otro. Según cómo esté articulado técnica y contractualmente, eso toca los puntos c), d), e) o g) de la lista del artículo 3.

Para ti como usuario eso significa sobre todo una cosa: la pregunta por la autorización no es una pregunta sobre la aplicación en su conjunto, sino sobre cada función por separado. Una cartera puede ser irreprochable en su núcleo y ofrecer aun así, en el momento de pagar, algo que exigiría una empresa autorizada detrás. En los grandes centros de negociación la situación es distinta, porque allí la autorización abarca desde el principio toda la actividad.

Artículo 59 de MiCAR: quién puede ofrecer servicios de criptoactivos en la UE

El artículo 59, apartado 1, del reglamento formula la prohibición con reserva de autorización. Una persona no podrá ofrecer servicios de criptoactivos en la Unión salvo que haya sido autorizada como proveedor de servicios de criptoactivos conforme al artículo 63 o pertenezca a las entidades mencionadas en el artículo 60, esto es, entidad de crédito, empresa de servicios de inversión o entidad de dinero electrónico facultada para prestar los servicios sobre la base de esa autorización.

Hay, por tanto, dos vías legales y ninguna tercera. Quien no se encuentre en ninguna de las dos y ofrezca pese a ello una de las diez actividades actúa sin autorización. Eso vale con independencia de con cuánto cuidado esté construido el software o de lo convincente que resulte el sitio web.

Domicilio y dirección en la Unión: el requisito del artículo 59, apartado 2

El apartado 2 del mismo precepto se cita pocas veces, pero sirve como prueba rápida de plausibilidad. Los proveedores autorizados deben tener un domicilio social en un Estado miembro en el que desarrollen al menos parte de su actividad. Su lugar de dirección efectiva debe estar en la Unión, y al menos uno de los administradores debe residir en ella.

Cuando el aviso legal de un proveedor de cartera solo señala una sociedad en un tercer país y no indica dirección alguna en la Unión, eso no encaja con los requisitos que el artículo 59, apartado 2, vincula a una autorización. Todavía no es prueba de nada, pero sí motivo para consultar los registros en lugar de fiarse de la presentación.

Artículo 9 KMAG: qué puede ordenar la BaFin ante operaciones no autorizadas

La ejecución en derecho alemán está en el artículo 9 de la ley de supervisión de los mercados de criptoactivos, bajo el epígrafe de intervención frente a operaciones no autorizadas. Conforme al apartado 1, primera frase, punto 3, la BaFin puede ordenar el cese inmediato de la actividad y su liquidación sin demora cuando se ofrezcan servicios de criptoactivos sin la autorización exigida por el artículo 59, apartado 1, letra a), del reglamento.

Dos detalles de ese precepto son relevantes para los afectados. Primero, las facultades del apartado 1 se dirigen, más allá de la propia empresa, contra sus socios, contra los miembros de sus órganos y contra las empresas implicadas en la iniciación, la conclusión o la liquidación de tales operaciones. Segundo, el supervisor puede ordenar el cese ya cuando haya hechos que justifiquen presumir operaciones no autorizadas. No tiene, por tanto, que esperar a la prueba. El artículo 10, apartado 8, le permite además prohibir la actividad con carácter provisional hasta que se aclare.

Para ti como usuario eso conlleva algo incómodo que rara vez aparece en los avisos: si el supervisor interviene y nombra un liquidador, tu saldo forma parte de una liquidación. Es un procedimiento largo y de resultado incierto, y comienza en el momento en que el proveedor tiene que cesar su actividad.

Por qué una advertencia solo aparece tras la audiencia y qué significa eso para los plazos

El artículo 10, apartado 7, tercera frase, KMAG obliga a oír a la empresa antes de la publicación. Esa audiencia lleva tiempo. Entre el momento en que una oferta aparece en el mercado y aquel en que se publica una advertencia media por fuerza un intervalo en el que el supervisor ya tiene conocimiento y el público todavía no.

De ahí se sigue la reserva más importante frente a cualquier lista de advertencia. Solo puede contener aquello que ya ha sido investigado y sometido a audiencia. Una oferta que no está en la lista simplemente no es objeto de una publicación concluida. De ahí a estar examinada y considerada correcta hay mucho trecho. Lo incompletas que resultan esas listas en la práctica lo muestra la mirada al nivel europeo, donde el registro de la ESMA de proveedores no conformes lo nutre de forma abrumadora una sola autoridad nacional. Del lado alemán, el análisis de las advertencias de la BaFin sobre series de plataformas cripto arrojó la misma imagen.

La base de datos de empresas tiene una laguna: por qué una ausencia no significa nada en custodia propia

El consejo habitual ante cualquier proveedor es consultar la base de datos de empresas de la BaFin. Es acertado, pero en el caso de las carteras choca con una particularidad que puede dejarlo sin filo.

Una base de datos de empresas autorizadas recoge empresas con autorización. El fabricante de una cartera de pura custodia propia no necesita autorización y por eso no suele figurar en ella. Su ausencia es en ese caso la consecuencia esperable de que no hace nada sujeto a autorización, y no sirve como señal de alarma. A la inversa, la ausencia de un proveedor que ofrece custodia o canje es una señal muy clara.

La consulta de la base de datos no responde, pues, por sí sola a la pregunta. Solo resulta significativa una vez que has decidido de antemano en cuál de las dos categorías encaja la oferta. Ese orden es el verdadero rendimiento de este texto: determinar primero el tipo, comprobar después. Quien lo hace al revés extrae de un resultado de búsqueda vacío o bien una tranquilidad equivocada o bien una alarma equivocada.

Estar en una tienda de aplicaciones no es una autorización: qué acredita publicar una app

Que una aplicación esté disponible en alguna de las grandes tiendas no dice nada sobre su situación supervisora. Los operadores de las tiendas comprueban directrices técnicas y datos formales; no conceden autorización alguna conforme al artículo 59 del reglamento ni son competentes para ello. Una de las dos comunicaciones del 19 de agosto afecta expresamente también a una aplicación y no solo a un sitio web.

Lo mismo vale para las valoraciones, las cifras de descargas y una presentación cuidada. Ninguna de esas características tiene correspondencia en los preceptos de los que aquí se trata. La autorización es una cualidad de la empresa, no del producto.

Diferencia con la cuestión de la seguridad: la autorización no protege de perder las claves

Para terminar, un límite que este texto no debería cruzar. La obligación de autorización es una categoría supervisora y no una afirmación sobre la seguridad técnica de una aplicación. Un depositario autorizado puede sufrir un ataque, y una cartera de custodia propia no sujeta a autorización puede estar construida de forma excelente.

Las dos preguntas se cruzan, y ambas hay que responderlas. Quien guarda él mismo las claves carga en solitario con la responsabilidad de conservarlas. Quien las entrega cambia ese riesgo por el de que al depositario le vaya mal. La autorización dice algo sobre el segundo caso y nada sobre el primero.

Comprobar si una cartera necesita autorización: qué te llevas

1. Determina primero el tipo y comprueba después. Hazte la pregunta de la contraseña: si el proveedor puede devolverte el acceso, dispone de los medios de acceso y entra en juego la custodia del artículo 3, punto 17, del reglamento. Si te muestra una frase de recuperación y en caso de pérdida te remite a ti, los medios de acceso están en tus manos. Qué tipos existen y en qué se distinguen figura en la comparativa de carteras de software.
2. Comprueba cada función por separado, no la aplicación en su conjunto. El artículo 3, apartado 1, punto 16, enumera diez servicios, y cada uno activa por sí solo la obligación de autorización. Una función de canje integrada es el caso más frecuente. En proveedores cuya autorización abarca desde el principio toda la actividad, esa comprobación función por función decae; una panorámica la ofrecen los exchanges cripto regulados.
3. Lee correctamente un resultado de búsqueda vacío. Que un proveedor no esté en la base de datos de empresas no significa nada en una cartera de pura custodia propia y significa mucho en una oferta de custodia o canje. Comprueba además si el domicilio y la dirección están en la Unión, como exige el artículo 59, apartado 2. Si guardas tú mismo las claves, protégelas según los tipos de la comparativa de carteras de hardware.

Las dos comunicaciones del 19 de agosto de 2026 pueden consultarse en el portal del supervisor; una de ellas está publicada aquí. Lo que allí se describe son casos sospechosos conforme al artículo 10, apartado 7, KMAG, y no hechos declarados por un tribunal.

(19 de agosto de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)