Cinco de las nueve advertencias de la BaFin citan la ley alemana de supervisión de criptoactivos: «Se trata de una usurpación de identidad»

La ley alemana de supervisión de los mercados de criptoactivos, abreviada KMAG, es la norma con la que Alemania hace cumplir el reglamento europeo sobre los mercados de criptoactivos. Para ti como cliente tiene una consecuencia muy práctica: quien ofrece servicios de criptoactivos en Alemania necesita una autorización para ello, y la Autoridad Federal de Supervisión Financiera puede nombrar públicamente a los proveedores que no la tienen. Es justo lo que el organismo está haciendo ahora, casi a diario.

A finales de septiembre y comienzos de octubre, la BaFin publicó nueve comunicaciones al consumidor sobre actividades no autorizadas en el plazo de cuatro días. Cinco de ellas giran en torno a servicios de criptoactivos, y cinco cierran citando expresamente el «artículo 37, apartado 4, de la ley de crédito, artículo 10, apartado 7, de la ley de supervisión de los mercados de criptoactivos». Esa única línea al pie de las comunicaciones es el hallazgo verdadero: el joven derecho alemán de supervisión de criptoactivos ha salido del departamento de autorizaciones y ha llegado a la advertencia al consumidor.

La ley KMAG es la aplicación alemana del reglamento MiCA

La KMAG es del 27 de diciembre de 2024 y figura en el Boletín Oficial Federal de 2024, parte I, con el número 438. Su última modificación es del 25 de marzo de 2026. Su primer artículo dice en una frase para qué existe: «sirve a la aplicación del Reglamento (UE) 2023/1114», es decir, del reglamento sobre los mercados de criptoactivos conocido como MiCA.

El reparto de papeles que hay detrás importa para entender el asunto. El reglamento europeo prescribe qué rige: qué autorización necesita un proveedor, qué obligaciones tiene, qué información debe publicar. La KMAG regula quién lo hace cumplir en Alemania y con qué medios. El reglamento se aplica de forma directa en toda Europa; la ley pone las herramientas en manos de la BaFin.

Por qué la ley tiene nombre propio aunque MiCA se aplique directamente

Un reglamento europeo surte efecto sin ley nacional de aplicación, pero no contiene normas procesales alemanas. Quién dicta una resolución, cómo se recurre ante los tribunales, qué multas caben y cuándo una autoridad puede dirigirse al público: todo eso lo tiene que escribir el legislador nacional. La KMAG es ese complemento. Entró en vigor como artículo 1 de la ley de digitalización de los mercados financieros y sustituyó a las reglas sobre criptoactivos de la ley de crédito, donde hasta entonces estaban alojadas como «actividad de custodia de criptoactivos».

El artículo 10, apartado 7, de la KMAG permite a la BaFin nombrar a una empresa en público

El precepto en el que se apoyan las advertencias se titula «Persecución de actividades no autorizadas». La primera frase del apartado 7 dice: «En la medida y durante el tiempo en que los hechos justifiquen la presunción, o conste, que una empresa presta actividades no autorizadas conforme al artículo 9, apartado 1, primera frase, la Autoridad Federal podrá informar al público de la sospecha o de esa constatación indicando el nombre o la razón social de la empresa».

Hay tres cosas que conviene tener presentes al leer una advertencia de este tipo.

Primero, basta una sospecha. La BaFin no tiene que esperar a que un tribunal decida; le bastan hechos que justifiquen la presunción. Por eso en las comunicaciones aparece casi siempre la fórmula «existe la sospecha» y no la afirmación de que alguien ha cometido un fraude.

Segundo, el precepto alcanza también a las sociedades que no hacen negocio alguno pero lo aparentan. La segunda frase del apartado aclara que la misma facultad se aplica cuando una empresa «no presta las actividades no autorizadas, pero genera en el público la apariencia correspondiente». Eso alcanza a las plataformas ficticias, las que solo recogen datos de contacto.

Tercero, el procedimiento no es unilateral. La tercera frase ordena: «Antes de la decisión conforme a la primera o la segunda frase se deberá oír a la empresa». Una advertencia se sitúa así al final de un procedimiento administrativo. A quien la BaFin no localiza porque detrás de una web no hay nadie identificable, la comunicación lo llama simplemente «los operadores desconocidos».

Cinco de las nueve comunicaciones al consumidor de cuatro días afectan a servicios de criptoactivos

Entre el 28 de septiembre y el 1 de octubre de 2026, la BaFin publicó nueve comunicaciones al consumidor sobre actividades no autorizadas. Contado en el texto completo de cada una de ellas, el cuadro es este:

• Cinco comunicaciones mencionan expresamente el término «servicios de criptoactivos».
• Cinco comunicaciones citan al pie la ley de supervisión de los mercados de criptoactivos como base jurídica.
• Cuatro de ellas hacen las dos cosas, de modo que los dos conjuntos no coinciden por completo.
• Tres casos describen una usurpación de identidad en perjuicio de una empresa realmente existente.

Que los dos grupos de cinco no coincidan no es un error de recuento, sino un dato revelador. En la comunicación sobre btcx(.)investments del 29 de septiembre el texto habla de operaciones bancarias y servicios financieros, y aun así la base jurídica del pie cita la ley de supervisión de los mercados de criptoactivos. A la inversa, la comunicación sobre staublicapital(.)com, del mismo día, enumera los servicios de criptoactivos en su parte general pero no se apoya en la KMAG. La supervisión todavía está ordenando esto, algo esperable en un marco jurídico que no llega a dos años.

El caso bitbucks(.)space: usurpación de identidad en perjuicio de una sociedad de Stuttgart

El más interesante de los cinco casos es el del 30 de septiembre. En su comunicación al consumidor, la BaFin advierte sobre las ofertas de la web bitbucks(.)space y lo formula así: «Existe la sospecha de que los operadores desconocidos de la web bitbucks(.)space ofrecen sin autorización servicios financieros y de inversión, así como servicios de criptoactivos».

Luego llega la frase que distingue el caso de un falso bróker corriente: «En contra de lo que indican los operadores, no existe relación alguna con Frank und Freunde GmbH, con sede en Stuttgart. Se trata de una usurpación de identidad». La BaFin constata expresamente que esa sociedad no guarda relación con la web ni con los servicios allí ofrecidos.

Es una distinción importante, y vale en los dos sentidos. Según el relato de la supervisión, la empresa de Stuttgart mencionada es en este asunto la parte perjudicada, no la acusada. Para ti significa: el nombre de la sociedad en una web, el aviso legal e incluso una inscripción real en el registro mercantil no dicen nada sobre quién opera de verdad la página. Un patrón parecido lo vimos ya en agosto, cuando la BaFin advirtió sobre un proveedor con una identidad de empresa prestada.

Veintiocho webs casi idénticas sirven, según la BaFin, a la captación de clientes

Un día antes del caso BitBucks, el 29 de septiembre, la BaFin nombró de golpe toda una serie de páginas. La comunicación señala que los operadores desconocidos ofrecían allí servicios de criptoactivos sin autorización y que las páginas carecían de un aviso legal válido. A los interesados se les pedía introducir sus datos en un formulario de contacto, y esos datos de clientes pasaban después a operadores de plataformas de negociación en línea no autorizadas.

En esa única comunicación figuran 28 direcciones, desde altrevia-ai(.)click y blitzkapitenz(.)live hasta zylkex(.)online. Varios nombres aparecen con dos o tres terminaciones distintas. El patrón que hay detrás es barato y eficaz: se duplica una plantilla, cada copia recibe un nombre de fantasía nuevo y, en cuanto una dirección queda quemada, la afluencia pasa por la siguiente.

Qué significa en la práctica una página sin aviso legal válido

En Alemania el aviso legal es obligatorio en las webs de uso comercial. Si falta o contiene datos inventados, en caso de conflicto no tienes a quién demandar ni una dirección a la que dirigir una notificación. Que la supervisión mencione este punto por separado en la comunicación no es, por tanto, un formalismo. Describe el estado en el que se encuentra tu dinero después de un ingreso.

La autorización transitoria del artículo 50 de la KMAG se extinguió el 31 de diciembre de 2025

Al arrancar las nuevas reglas hubo un período de gracia. El artículo 50 de la KMAG permitía a las empresas que el 29 de diciembre de 2024 podían operar con criptoactivos bajo el derecho anterior continuar por el momento con su actividad; la autorización antigua se consideraba «subsistente en esa medida». Entre las afectadas estaban, entre otras, las entidades con autorización conforme al artículo 32 de la ley de crédito, las empresas de servicios de inversión y los proveedores de servicios de pago.

Ese tiempo de transición ha terminado. El apartado 2 del artículo cita tres causas de extinción, y la tercera es una fecha de calendario tajante: la autorización prorrogada se extingue «a más tardar al finalizar el 31 de diciembre de 2025». Desde el 1 de enero de 2026 ya no hay en Alemania un régimen para situaciones anteriores. Quien hoy ofrece servicios de criptoactivos debe tener la autorización conforme al reglamento MiCA o trabaja sin permiso.

Para el panorama de proveedores supuso un corte perceptible, y explica por qué las advertencias aumentan precisamente ahora. Las obligaciones que eso trajo a las empresas las recogimos en nuestro panorama de la licencia MiCA.

Diez servicios entran en el concepto de servicio de criptoactivos

Servicio de criptoactivos es un concepto jurídico definido y no un rodeo. En su artículo 3, el reglamento MiCA enumera exactamente diez servicios y actividades:

1. La custodia y administración de criptoactivos por cuenta de clientes
2. La explotación de una plataforma de negociación de criptoactivos
3. El canje de criptoactivos por fondos
4. El canje de criptoactivos por otros criptoactivos
5. La ejecución de órdenes sobre criptoactivos por cuenta de clientes
6. La colocación de criptoactivos
7. La recepción y transmisión de órdenes sobre criptoactivos por cuenta de clientes
8. El asesoramiento sobre criptoactivos
9. La gestión de carteras de criptoactivos
10. La prestación de servicios de transferencia de criptoactivos por cuenta de clientes

La lista explica por qué casi cualquier proveedor en el que puedas comprar, canjear o simplemente dejar Bitcoin queda sujeto a la obligación de autorización. El simple canje de euros por un criptoactivo ya es el número tres de la lista. Un exchange que además custodia saldos presta al menos dos de estos servicios a la vez. Un panorama de los centros de negociación con autorización en la UE lo encuentras en nuestra comparativa de exchanges cripto regulados.

Dónde termina la obligación de autorización

No todo programa es un prestador de servicios. Una cartera que funciona exclusivamente en tu dispositivo y cuyas claves solo tú conoces no custodia jurídicamente nada por ti, porque nadie más tiene control sobre las claves. En cuanto una empresa controla el acceso, la lectura cambia. Por dónde pasa exactamente ese límite lo desglosamos con el ejemplo de la obligación de autorización de las apps de cartera.

La base de datos de empresas de la BaFin es el registro oficial de autorizaciones

Cada una de las nueve comunicaciones remite al final al mismo lugar: la base de datos de empresas de la BaFin, donde puede consultarse si una empresa determinada está autorizada por el supervisor. Este registro oficial es de libre acceso y no cuesta nada.

De forma complementaria, el artículo 14 de la KMAG obliga a la BaFin a publicar en el Bundesanzeiger la concesión y la retirada de una autorización para prestar servicios de criptoactivos. Hay, por tanto, dos rastros oficiales: la inscripción en la base de datos como indicador de estado y la publicación como suceso. Un motor de búsqueda, un portal de opiniones o un aviso en un grupo de chat no son un tercer rastro.

Una guía paso a paso para consultar la base de datos, con los tropiezos habituales, está en nuestro manual sobre las advertencias de la BaFin y la comprobación de un proveedor.

Una autorización cubre la supervisión, no las pérdidas de precio ni una web falsificada

El caso BitBucks muestra con mucha claridad el límite de esta herramienta. Una inscripción en la base de datos de empresas dice que una empresa determinada tiene un permiso determinado. No dice nada sobre si la web en la que estás pertenece a esa empresa. Quien copia un nombre real de sociedad genera en la base de datos un resultado que no tiene nada que ver con su oferta.

Por eso la comprobación incluye siempre un segundo paso: el camino va de la base de datos a la web de la empresa, y no al contrario. Si en la base de datos figura una dirección en Stuttgart y la página en la que te piden ingresar está bajo un dominio de fantasía sin aviso legal, entonces la inscripción no encaja con la oferta.

Tampoco la autorización auténtica es una garantía para tu dinero. Detrás de ella hay supervisión continua, exigencias de capital y de organización y obligaciones de información. Una promesa de precios al alza no forma parte de eso, como tampoco la garantía de que una empresa nunca será insolvente. Un fondo de garantía de depósitos para saldos en criptoactivos no existe en Alemania en ningún caso.

Audiencia y rectificación: el procedimiento detrás de una advertencia de la BaFin

Como nombrar públicamente a una empresa puede golpearla con dureza, el legislador incorporó contrapesos. Antes de la decisión se ha de oír a la empresa. Si los hechos comunicados por la autoridad resultan después falsos, o las circunstancias reproducidas de forma inexacta, el precepto prevé que la supervisión informe al público de ello del mismo modo.

Para situar una advertencia eso significa: una comunicación así es la expresión oficial de una sospecha dentro de un procedimiento reglado, no una constatación judicial ni un juicio sobre personas. El periodismo serio asume por eso la atribución. Cuando en este texto se dice que sobre los operadores de una página existe una sospecha, esa sospecha es la de la BaFin.

El artículo 45 de la KMAG regula la atribución de los criptoactivos custodiados en caso de insolvencia

Una parte de la ley que rara vez se menciona afecta al caso más desagradable. El capítulo 6 de la KMAG contiene preceptos para situaciones especiales, entre ellos el artículo 44 sobre la insolvencia y el artículo 45 sobre la «atribución de los criptoactivos custodiados» y los costes de la separación. Detrás está la pregunta de si los criptoactivos que un custodio autorizado mantiene por ti entran en la masa en su insolvencia o siguen atribuidos a ti.

Que el legislador regule este punto de forma expresa es un indicio de lo poco evidente que resulta esa atribución. Con un proveedor sin autorización la pregunta no llega ni a plantearse en esta forma, porque allí no están asegurados ni la separación de los saldos de clientes ni una supervisión sobre ella. Quien mantiene cantidades mayores tiene en la custodia propia una alternativa que funciona con independencia de la situación de autorización de un prestador.

Ley KMAG: cómo proceder ahora

Tres pasos que se resuelven en pocos minutos y que reproducen el orden del caso del 30 de septiembre.

1. Primero la base de datos, después la web. Busca el nombre de la sociedad en la base de datos de empresas de la BaFin y ve desde allí a la dirección oficial de la empresa. Si solo buscas un centro de negociación con autorización demostrable en la UE, la comparativa de exchanges cripto regulados sirve de punto de partida.
2. Contrasta la oferta con la inscripción. El nombre de la sociedad, el domicilio y el tipo de permiso tienen que encajar con lo que se te ofrece. Una autorización para asesoramiento de inversión no cubre un canje de criptoactivos. Si quieres comparar cómo acreditan los proveedores establecidos su autorización y sus comisiones, lo encuentras en nuestro panorama de exchanges de criptomonedas.
3. Reparte los saldos que no necesitas para operar. Un saldo que permanece de forma duradera en un prestador depende de la subsistencia de este. La custodia propia retira esa dependencia; los dispositivos y sus diferencias están en la comparativa de carteras hardware.

La serie de advertencias de finales de septiembre no es un caso aislado y no será la última. Lo que ha cambiado es el fundamento: desde que la ley de supervisión de los mercados de criptoactivos está en vigor y el plazo transitorio ha expirado, detrás de cada una de estas comunicaciones hay una obligación de autorización clara. Eso te simplifica la comprobación, porque para los proveedores de criptoactivos en Alemania ya no queda zona gris a la que nadie pueda acogerse.

(4 de octubre de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)