Monedas robadas en el hackeo de un exchange: qué acepta Hacienda como pérdida

El 24 de septiembre de 2026, la plataforma de negociación Bitget comunicó salidas no autorizadas desde varias de sus carteras calientes. El importe del daño se situaba en 351,6 millones de dólares en el primer comunicado y se corrigió al alza hasta 387,5 millones de dólares en los días siguientes, después de incorporar otros saldos. Para los afectados en Alemania se plantea así una pregunta que apenas aparece en las informaciones sobre el incidente: ¿se puede hacer valer una pérdida así en la declaración de la renta?

La respuesta, según la interpretación hoy dominante, es no, y depende de un único término de la Ley del impuesto sobre la renta. Quien pierde criptoactivos por un hackeo no los ha vendido. Sin venta falta lo que la ley llama enajenación, y sin enajenación no nace fiscalmente ninguna pérdida que Hacienda pudiera compensar con ganancias. Este texto explica en qué se basa esa regla, qué contraargumentos plantean los despachos especializados y qué documentación debes asegurar mientras el incidente está reciente.

Hackeo de exchange e impuestos: por qué un robo no es una operación de enajenación

En el derecho tributario alemán, los criptoactivos se consideran otros bienes económicos. Las ganancias y pérdidas por su venta entran por tanto en las operaciones de enajenación privadas del artículo 23 de la Ley del impuesto sobre la renta. El precepto vincula la obligación tributaria a un hecho al que llama enajenación: un bien cambia de propietario a cambio de una contraprestación.

Un robo no cumple eso. No hay comprador, ni precio, ni contraprestación. El portal especializado Bitcoin2Go lo formula así en su panorama sobre el tratamiento fiscal de los hackeos del 17 de agosto de 2026: los hackeos de carteras y de exchanges se consideran fiscalmente robo y precisamente no constituyen una operación de enajenación, de lo que no se derivan ni ventajas ni inconvenientes. El despacho Hortmann Law llega al mismo resultado en su exposición sobre el artículo 23 del 3 de octubre de 2025 y lo califica de doblemente amargo: daño económico sin alivio fiscal.

Qué se deduce de ello para el límite exento

La consecuencia es desagradablemente concreta. Si en el mismo año obtuviste ganancias dentro del plazo anual, esas siguen sujetas a tributación, aunque en el exchange hayas perdido un múltiplo de ese importe. El límite exento de 1.000 euros al año, vigente desde 2024 y antes fijado en 600 euros, se mide sobre la ganancia total de las operaciones de enajenación privadas. Según la interpretación dominante, un hackeo no reduce esa ganancia total.

El artículo 23 al detalle: plazo de tenencia, límite exento y el concepto de enajenación

Tres magnitudes determinan la tributación de las operaciones cripto privadas en Alemania. El plazo de tenencia es de un año; quien mantiene más tiempo y luego vende queda exento. El límite exento está en 1.000 euros al año, y es un límite auténtico y no una reducción: si se supera en un euro, tributa la ganancia completa. Y la compensación de pérdidas está acotada, porque las pérdidas de operaciones de enajenación privadas solo se compensan con ganancias de la misma clase, no con el salario ni con los rendimientos del capital.

Enajenación significa aquí la transmisión onerosa de un bien económico a otra persona. Ese único término decide todo el caso. Una venta contra euros es una enajenación, un canje de una moneda por otra también, y el pago de una mercancía con criptoactivos cuenta igualmente. El acceso de un atacante a una cartera de un exchange no cuenta.

La realización como condición central

Pérdida realizada designa una pérdida que se ha producido por un hecho efectivo en el mercado y que por ello se ha vuelto medible. Mientras un precio solo cae, existe una pérdida contable que el derecho tributario ignora. Solo la venta la convierte en una cifra que corresponde a la declaración. El mismo principio alcanza al caso del hackeo: las monedas han desaparecido, pero no hubo ningún hecho que realizara la pérdida en el sentido de la ley. Cómo se presenta esto en saldos que han quedado sin valor lo hemos desglosado en detalle en nuestro análisis sobre la pérdida total cripto en la declaración.

El incidente de Bitget del 24 de septiembre: qué datos cuentan fiscalmente

Bitget detectó el incidente el 24 de septiembre de 2026 a las 18:31 UTC, suspendió los reintegros y publicó un calendario escalonado de reanudación que empieza con bitcoin el 28 de septiembre. Según la plataforma, las carteras frías quedaron intactas; se vieron afectadas partes del nivel de carteras calientes y templadas. La firma de análisis Elliptic atribuyó el ataque a actores vinculados a Corea del Norte, de lo que informó Bloomberg el 25 de septiembre; con ello el botín anual de 2026 atribuido a ese entorno supera, según esa evaluación, la marca de los mil millones de dólares. Según el recuento de CryptoSlate, septiembre se convierte así en el mes con más daños de 2026.

De estos datos, lo relevante en términos fiscales es menos la suma total que el momento. El 24 de septiembre de 2026 es la fecha en la que terminó el acceso a una parte de los saldos. Quien esté afectado necesita exactamente esa fecha, la cantidad afectada por moneda y el precio de ese día, porque sin esos tres datos no será posible después cuantificar una pérdida ni clasificar una indemnización. Qué mecanismos de protección operan realmente en un exchange lo hemos comprobado en nuestra evaluación sobre fondos de protección y garantía de depósitos en los exchanges cripto.

Una aclaración sobre la posición del proveedor: Bitget no dispone de autorización conforme al reglamento europeo de mercados de criptoactivos, y la regla europea de responsabilidad para proveedores autorizados no se aplica por tanto aquí. Qué obligaciones conlleva una autorización y cómo reconocerla figura en nuestro panorama de las obligaciones de licencia MiCA para empresas cripto.

Por qué Hacienda necesita la venta y el hackeo no la proporciona

La lógica detrás de esto no es una arbitrariedad de la administración tributaria, sino la cara opuesta de una regla de la que los inversores se benefician por lo demás. Como solo cuentan los hechos realizados, nadie tiene que tributar por una plusvalía mientras mantenga las monedas. El precio de esa sistemática es que una pérdida de valor sin hecho de mercado permanece igualmente invisible.

Con bitcoin, que cotizaba en torno a 84.044 dólares en la consulta de datos de precios de CoinGecko del 26 de septiembre de 2026 hacia las 12:48 UTC, se puede ver bien. Quien mantiene saldos más de un año vende sin tributar. Quien vende dentro del año tributa por la ganancia que supere el límite exento. A quien le roban no ha hecho ni lo uno ni lo otro y se queda por tanto sin punto de conexión fiscal. La evolución del precio en sí la analizamos de forma continua en nuestra predicción del precio de Bitcoin.

El caso especial del otro lado

La dirección contraria resulta interesante. Bitcoin2Go señala que las entradas procedentes de tramas fraudulentas pueden, según las circunstancias, tributar como otros rendimientos conforme al artículo 22 número 3 de la Ley del impuesto sobre la renta. Quien acaba en el lado receptor de una operación dudosa puede por tanto quedar fiscalmente peor situado que el perjudicado. Esa asimetría es una de las razones por las que varios despachos consideran que la práctica vigente necesita revisión.

La contraposición de los despachos: pérdida definitiva del poder de disposición económico

La situación jurídica no es tan clara como la práctica hace parecer. El despacho Winheller, especializado en derecho de criptoactivos, deja constancia expresa en su exposición del 10 de marzo de 2025 de que el tratamiento fiscal de las pérdidas cripto no está resuelto de forma definitiva, y aporta buenos argumentos a favor de su reconocimiento. El núcleo de la argumentación es una comparación con las pérdidas en acciones: allí también se produce una pérdida definitiva del poder de disposición económico, y precisamente ese estado concurre en criptoactivos robados o perdidos de forma irrecuperable.

Esa posición es una opinión jurídica fundada y no una práctica administrativa vigente. Quien se apoye en ella debería saber a qué se expone: la pérdida se consigna en la declaración, Hacienda la eliminará previsiblemente tal como están las cosas hoy, y el camino pasa después por un recurso y, en su caso, por la vía judicial. Sin asesoramiento fiscal, ese camino no tiene sentido para la mayoría de los afectados.

Lo que une a ambas partes

Resulta notable que la parte favorable y la contraria coincidan en un punto: sin documentación sin lagunas la discusión termina de todos modos. Winheller aconseja documentar todas las transacciones con cuidado para poder acreditar de qué manera se produjo la pérdida, y probar también el momento, dentro o fuera del plazo anual. Quien no tiene los documentos pierde, con independencia de qué opinión jurídica acabe imponiéndose.

La circular del Ministerio de Hacienda del 6 de marzo de 2025 y el endurecimiento de los deberes de colaboración

Para la documentación existe desde el año pasado un mensaje claro. El Ministerio Federal de Hacienda publicó el 6 de marzo de 2025 la circular Cuestiones particulares sobre el tratamiento en el impuesto sobre la renta de determinados criptoactivos, referencia IV C 1 - S 2256/00042/064/043. Tiene 34 páginas y sustituye a la circular anterior del 10 de mayo de 2022.

Lo nuevo, y decisivo para el caso del hackeo, es que esa circular regula por primera vez de forma expresa los deberes de registro y de colaboración en las operaciones cripto y eleva las exigencias de manera apreciable. Se reclama una documentación trazable de las operaciones, incluida la asignación de carteras, los momentos y los justificantes de precio. Para el afectado por un hackeo eso significa dos cosas: la carga de la prueba te corresponde a ti, y una pérdida de datos por parte del exchange no te libera. Qué documentación puede exigir Hacienda lo hemos tratado con detalle en nuestro artículo sobre la inspección fiscal cripto y las pruebas admisibles.

Qué pruebas asegurar de inmediato tras el hackeo de un exchange

La frase más importante de este texto es práctica: la documentación que no extraigas hoy quizá ya no la obtengas después. Tras un incidente de cierta magnitud se rediseñan las interfaces, los anuncios desaparecen de los canales de noticias y una cuenta en liquidación deja en algún momento de ofrecer exportaciones. Asegura por eso, mientras exista el acceso:

• la exportación completa de transacciones de tu cuenta como archivo, no como captura de pantalla, con todos los ingresos, reintegros y operaciones desde la apertura de la cuenta
• el saldo por moneda inmediatamente antes del incidente, con fecha y hora
• el comunicado oficial del proveedor sobre el incidente, como captura de pantalla con fecha visible y además como página guardada
• cada mensaje del proveedor dirigido a ti, es decir, correos electrónicos, avisos en la aplicación y tiques de soporte con número de expediente
• justificantes de precio en euros para la fecha de referencia, de una fuente que puedas volver a consultar en caso de duda
• tus direcciones de cartera y los identificadores de transacción, en la medida en que las salidas sean públicamente trazables

A ello se añade la denuncia penal. Fiscalmente es voluntaria, pero al mismo tiempo es el único documento en el que un tercero confirma el robo, y las fuentes especializadas la citan como prueba de la pérdida definitiva del poder de disposición. Dónde presentarla con sentido y qué logra de forma realista lo describe nuestro artículo sobre dónde denunciar realmente el robo de criptoactivos.

Para la documentación corriente vale la pena en cualquier caso una herramienta que anote automáticamente ingresos y reintegros y fije los precios en el momento de la transacción. Qué programas reflejan esto con limpieza para los inversores en Alemania y cuánto cuestan está en nuestra comparativa de software fiscal cripto y rastreadores de cartera. Quien empieza a recopilar solo después de un incidente reconstruye años.

Indemnización en monedas: la pregunta abierta sobre adquisición y plazo de tenencia

Si un exchange resarce el daño desde un fondo de protección, eso plantea una pregunta que las fuentes examinadas dejan sin responder. Ni la circular del 6 de marzo de 2025 ni las exposiciones especializadas analizadas abordan de forma expresa cómo hay que clasificar una indemnización en monedas tras un hackeo. Es un punto abierto, y aquí se nombra expresamente como tal en lugar de rellenarlo con una certeza inventada.

En la práctica se plantean dos preguntas. La primera se refiere al momento de adquisición: ¿sigue contando la adquisición original o empieza un nuevo plazo de tenencia con el abono? La segunda se refiere al tipo de prestación: un reembolso en euros no es lo mismo que un abono en la misma criptomoneda. Mientras no exista un pronunciamiento sólido de la administración tributaria al respecto, el único manejo razonable consiste en documentar la operación por completo y resolver la cuestión con un asesor fiscal antes de la declaración. Anota para ello la fecha del abono, la cantidad, el precio en euros en ese momento y los términos exactos con los que el proveedor denomina la prestación.

Anexo SO y compensación de pérdidas: dónde aterrizaría una pérdida reconocida

Las operaciones de enajenación privadas se recogen en el anexo SO de la declaración del impuesto sobre la renta. Allí van las ganancias y pérdidas de ventas cripto dentro del plazo anual. Si las pérdidas superan las ganancias de un año, el resto no se pierde, sino que se determina de forma separada conforme al artículo 10d de la Ley del impuesto sobre la renta y se traslada a otros años.

Ese mecanismo es la razón por la que la calificación de una pérdida por hackeo valdría dinero: una pérdida reconocida aliviaría no solo el año en curso, sino también, mediante el traslado, las ganancias cripto futuras. Precisamente por eso conviene mirar tu propio saldo de pérdidas antiguas, que hemos desglosado en el artículo sobre la compensación de pérdidas cripto.

Insolvencia del exchange en lugar de hackeo: cuándo el fallo sí se convierte en pérdida

Un caso emparentado recibe otro trato, y la distinción vale dinero contante para los afectados. Si un exchange entra en insolvencia, existe un procedimiento formal con comunicación de créditos, cuota y conclusión. Al final hay un hecho que puede cuantificarse y acreditarse, y con ello el reconocimiento fiscal queda al alcance, mientras que en el robo puro falta cualquier punto de conexión formal. Que tus monedas formen parte de la masa en un procedimiento así depende de la forma de custodia; lo hemos desmenuzado en el artículo sobre la separación en un exchange cripto insolvente.

Para la práctica eso significa: comprueba primero en qué procedimiento te encuentras. Un hackeo con posterior reembolso desde un fondo de protección es fiscalmente algo distinto de un procedimiento de insolvencia con cuota, y ambos son a su vez algo distinto de un token para el que ya no existe ningún par de negociación.

Limitar el saldo en el exchange: qué implica la regla fiscal para tu custodia

De la sistemática fiscal se deriva una consecuencia incómoda para la custodia. Como una pérdida por hackeo queda hoy sin consecuencias fiscales según la práctica vigente, un saldo en una plataforma de negociación soporta un riesgo que no se amortigua en ningún punto. La regla habitual de dejar en el exchange solo lo necesario para la operativa corriente gana así un segundo argumento, junto a la mera consideración de seguridad.

Quien mantiene saldos mayores y quiere conservarlos más tiempo los traslada normalmente a custodia propia. Qué dispositivos entran en consideración, en qué se diferencian y qué errores de configuración salen caros está en nuestra comparativa de carteras de hardware. Importante para los impuestos: una transferencia a tu propia cartera no es una venta y no interrumpe el plazo de tenencia, pero tiene que estar documentada como transferencia interna para que Hacienda no la lea después como una enajenación.

Las señales en las que reconoces la situación

Dos señales merecen seguimiento. Si el calendario de reintegros de un proveedor afectado se mantiene y las fases anunciadas arrancan efectivamente, eso apunta a una tramitación ordenada. Si en cambio se retrasa, se limita o se suspende sin motivo, el caso se desplaza hacia un incumplimiento, y entonces la documentación del apartado anterior se convierte en el bien más valioso que aún conservas en este asunto.

Monedas robadas e impuestos: qué te llevas de todo esto

1. No esperes alivio fiscal por la pérdida del hackeo, pero haz de todos modos el cálculo. Comprueba si en el mismo año realizaste ganancias dentro del plazo anual, porque esas siguen tributando. Una herramienta que anote tus operaciones con limpieza convierte ese cálculo en minutos en lugar de días; hemos contrastado los programas disponibles en nuestra comparativa de software fiscal cripto.
2. Asegura hoy la documentación que mañana ya no obtendrás. Exportación de transacciones, saldo antes del incidente, comunicado del proveedor, justificante de precio a la fecha de referencia e identificadores de transacción. Si el caso te empuja a la autocustodia, encontrarás los dispositivos adecuados en nuestra comparativa de carteras de hardware.
3. Comprueba el estado de autorización de tu plaza de negociación antes de aparcar allí el siguiente saldo. Una autorización conforme al reglamento europeo de mercados de criptoactivos no cambia nada de la regla fiscal, pero sí cambia las obligaciones del proveedor y tus vías de reclamación. Qué plataformas están autorizadas para clientes en Alemania lo muestra nuestro panorama de exchanges cripto regulados.

(26 de septiembre de 2026. Este artículo no constituye asesoramiento de inversión ni asesoramiento fiscal. Los precios, las tarifas y los criterios administrativos cambian; comprueba las condiciones con el proveedor antes de comprar y resuelve las cuestiones fiscales concretas con un asesor fiscal.)