Advertencia de la BaFin: qué pasa si introduces tus datos en una plataforma cripto con IA

Has escrito tu número de teléfono y tu dirección de correo en un formulario de contacto de una web porque allí se anunciaba una plataforma de trading de criptomonedas con inteligencia artificial. En ese caso, a juicio del supervisor financiero alemán, es muy probable que nunca hayas contactado con una plataforma de negociación. Has rellenado una página publicitaria cuyo fin, según las constataciones de la BaFin, consiste en recopilar datos de contacto y entregarlos a operadores de plataformas de negociación en línea no autorizadas.

La BaFin publicó esta valoración el 23 de septiembre de 2026, junto con los nombres de 39 webs. La frase más importante para ti es esta: el daño no empieza con la primera transferencia, sino en el momento en que se envía el formulario. A partir de ahí tu ficha existe como mercancía negociable.

La versión corta, por si estás justo en esa situación: no pagues nada. De momento no cojas llamadas de números desconocidos, o córtalas tras la primera frase. Guarda la dirección de la web, la fecha y cada mensaje que hayas recibido. Todo lo demás viene abajo, ordenado según lo que ya hayas hecho.

Qué publicó la BaFin el 23 de septiembre de 2026

La Autoridad Federal de Supervisión Financiera, en siglas BaFin, es el organismo alemán que supervisa bancos, aseguradoras y, desde la regulación europea de criptoactivos, también a los proveedores de servicios de criptoactivos. La autoridad puede advertir públicamente cuando sospecha que alguien opera sin autorización.

El 23 de septiembre de 2026 comunicó lo que denomina una serie de plataformas. En el lenguaje de la supervisión, una serie de plataformas es un grupo de webs casi idénticas que solo se diferencian en el nombre y que con alta probabilidad proceden de la misma fuente. En este caso son 39 direcciones, que aparecen en su mayoría en grupos de tres: el mismo nombre inventado como .com, .net y .org.

El mecanismo lo describe la propia autoridad así: a los interesados "se les pide que depositen sus datos en un formulario de contacto de las webs correspondientes. Según las constataciones de la BaFin, los datos de los clientes se entregan después a operadores de plataformas de negociación en línea no autorizadas que no están supervisadas por la BaFin". Las páginas quedan así bajo sospecha de "servir principalmente a la captación de negocio para servicios de criptoactivos prestados sin autorización".

En el mismo comunicado figuran otras dos constataciones. Primera: según el supervisor, las webs carecen de aviso legal válido. Segunda: la BaFin apunta a una posible conexión con otras series sobre las que ya ha advertido. A los propios operadores los da por desconocidos.

Quien quiera saber qué aspecto tenían estas series en el verano de 2026 encontrará los antecedentes en nuestro artículo sobre las advertencias de la BaFin sobre series de plataformas cripto de agosto. La construcción de las páginas es conocida. Lo nuevo es su modelo de negocio.

Por qué el formulario de contacto es más peligroso que la primera transferencia

Los patrones de fraude conocidos en el ámbito cripto pasan casi siempre por el dinero: ingresas, ves ganancias crecientes en un área de cliente y, al intentar retirar, aparecen exigencias de pago por supuestas comisiones, impuestos o liberaciones. Es el método que las organizaciones de consumidores y la policía describen desde hace años como fraude de cibertrading.

La serie comunicada ahora actúa un escalón antes. Según expone la autoridad, las propias webs no aceptan dinero alguno. Lo que se genera son leads. Un lead es, en jerga comercial, una ficha de contacto cualificada: nombre, teléfono, correo y a menudo el dato de cuánto quiere invertir alguien. Esa ficha vale para el comprador bastante más que una dirección cualquiera, porque documenta un interés acreditado en invertir en cripto.

De ahí se derivan tres cosas que marcan la diferencia con el método clásico.

El contacto llega con retraso. Entre el envío del formulario y la primera llamada pueden pasar días o semanas, porque la ficha se revende primero. Por eso muchos afectados ya no relacionan la llamada con la página que rellenaron.

La ficha sigue circulando. Puede pasar de mano en mano varias veces. Un único formulario cumplimentado puede arrastrar llamadas durante meses, también de proveedores que nada tienen que ver con la web original.

Y la propia página desaparece sin consecuencias. Sin aviso legal, sin operador identificado y sin relación de pago no hay nadie frente a quien puedas hacer valer un derecho. Justo por eso al principio de este artículo está la conservación de las pruebas y no la cuestión de la indemnización.

La BaFin clasifica el proceder con sobriedad como captación de negocio. Para ti como inversor en cripto eso significa: la parte valiosa del negocio ya ha tenido lugar antes de que nadie haya hablado contigo.

Qué 39 webs cita la BaFin por su nombre

La autoridad publica las direcciones con el punto entre paréntesis para que no sean enlazables. Las reproducimos en la misma grafía. Según sus propias indicaciones, estas son las páginas que la BaFin conoce hasta ahora:

coravelis(.)com · jorvaki(.)com · jorvaki(.)net · jorvaki(.)org · levorelio(.)com · levorelio(.)net · levorelio(.)org · lexovario(.)com · lexovario(.)net · lexovario(.)org · loravexo(.)com · loravexo(.)net · loravexo(.)org · mavriten(.)com · mavriten(.)net · mavriten(.)org · monvaret(.)com · monvaret(.)net · monvaret(.)org · natrovex(.)com · renvaki(.)com · renvaki(.)net · renvaki(.)org · semtovexo(.)org · solkrane(.)com · solkrane(.)net · solkrane(.)org · tavorello(.)com · tavorello(.)net · tavorello(.)org · varezuno(.)com · varezuno(.)net · varezuno(.)org · vordeli(.)com · vordeli(.)net · vordeli(.)org · zarevuno(.)com · zarevuno(.)net · zarevuno(.)org

De la lista se leen dos cosas que van más allá del caso concreto. Los nombres son palabras inventadas pronunciables y sin significado, que no quieren decir nada en ningún idioma y por eso pueden registrarse en todo el mundo. Y los grupos de tres en .com, .net y .org indican que la caída de dominios sueltos estaba prevista desde el principio.

Importante para tu propia comprobación: esta lista es una instantánea. La BaFin escribe expresamente "conocidas hasta ahora" y remite a posibles conexiones con otras series. Si la web en la que estuviste no figura aquí, eso no es un salvoconducto. A la inversa: si figura, tienes en la mano una valoración oficial que puedes presentar a un banco o a la policía.

Artículo 10, apartado 7 de la ley alemana de supervisión de mercados cripto: la base jurídica de la advertencia

El comunicado se apoya, según indica, en el artículo 10, apartado 7 de la ley alemana de supervisión de los mercados de criptoactivos, abreviada KMAG. El detalle parece técnico, pero explica por qué la advertencia tiene el aspecto que tiene.

Esa ley es la norma alemana que acompaña al reglamento europeo sobre los mercados de criptoactivos, conocido como MiCA. Regula quién puede prestar servicios de criptoactivos en Alemania y de qué facultades dispone el supervisor. Entre esas facultades figura informar públicamente sobre proveedores en los que existe sospecha de actividad no autorizada.

De ahí se sigue la lógica de las fórmulas empleadas. La autoridad escribe "según las constataciones de la BaFin" y "están bajo sospecha" porque una advertencia basada en ese precepto no es una sentencia ni la presupone. Se trata de una valoración supervisora destinada a proteger a los consumidores antes de que concluya un procedimiento. Para ti eso significa dos cosas: la advertencia es lo bastante sólida como para emplearla frente a terceros y, a la vez, no constituye una constatación penal contra personas conocidas por su nombre.

Lo relevante en la práctica es la conclusión inversa. Las operaciones bancarias, los servicios financieros y los servicios de criptoactivos solo pueden ofrecerse en Alemania con autorización. Quien ofrece servicios de criptoactivos sin ella actúa de forma no autorizada, con independencia de que al final alguien resultara perjudicado.

Cómo reconocer una página captadora de leads antes de enviar el formulario

Según los datos del supervisor, las páginas advertidas comparten rasgos que pueden comprobarse sin conocimientos técnicos. Los puntos siguientes no sustituyen a un asesoramiento jurídico, pero se despachan en pocos minutos.

El aviso legal. La BaFin cita la falta de aviso legal válido como rasgo común de las 39 páginas. Un aviso legal válido contiene un nombre al que pueda dirigirse una demanda, un domicilio, un número de registro mercantil y una vía de contacto que funcione. Un simple formulario de contacto no es un aviso legal. Un apartado de correos sin inscripción registral, tampoco.

El estado de autorización, con una objeción importante. Comprueba el nombre de empresa indicado en la base de datos de entidades de la BaFin. Allí consta si una sociedad está autorizada. Un resultado positivo, sin embargo, no basta. En su página sobre plataformas de negociación fraudulentas el supervisor describe expresamente que los autores se hacen pasar por empleados de empresas serias, inscritas en el registro mercantil o supervisadas, usurpando nombres y datos de firmas ajenas al asunto. De ahí se deriva la única comprobación que sostiene: toma el teléfono y el domicilio de la base de datos, no los de la web, y pregunta allí si el contacto fue auténtico.

Qué pide la página. Una plataforma de negociación autorizada te deja abrir una cuenta y después te identifica. Una página que solo ofrece un formulario de contacto y ninguna vía de registro directo recopila contactos y no negocia.

La promesa. Un software que supuestamente obtiene rentabilidades fiables gracias a la inteligencia artificial no existe. Donde se anuncian ganancias planificables, la cautela no es una reacción exagerada. Lo creíbles que resultan ya estas ofertas lo describe nuestro artículo sobre la delincuencia cripto asistida por IA.

De dónde vino el contacto. ¿Llegó la página por un anuncio en una red social, por un mensaje en una aplicación de mensajería o por una publicación con aspecto de noticia? Las tres vías son habituales en las series comunicadas. Una lista de comprobación detallada para proveedores está en nuestra guía sobre cómo comprobar a un proveedor cripto antes del primer ingreso.

Qué se negocia realmente en estas plataformas de trading

Quien entra en conversación rara vez recibe lo que prometió la publicidad. La BaFin describe el desarrollo típico de estas plataformas en su área de consumo, y hay tres puntos que deberías conocer antes siquiera de plantearte nada.

Lo que se negocia son en su mayoría contratos por diferencias, no monedas. Un contrato por diferencias, en inglés contract for difference o CFD, es una apuesta sobre la variación de precio de un subyacente sin que tú llegues nunca a poseerlo. Según expone el supervisor, los supuestos asesores empujan hacia esos productos sobre materias primas, acciones, índices, divisas o criptomonedas. Quien cree que compra bitcoin no adquiere en estos casos criptoactivo alguno.

El dinero pasa por una cartera que no es tuya. Para la tramitación del pago, según la BaFin, a los afectados se les indica que abran una cuenta en un mercado en línea; el dinero ingresado se convierte en bitcoin y las monedas acaban después en la cartera de los delincuentes. A veces se señala como destino del pago la cuenta de un particular que recibe el dinero y lo reenvía. Para esa persona el proceso tiene consecuencias jurídicas propias, porque quien pone su cuenta a disposición queda bajo sospecha de blanqueo de capitales. No dejes nunca que tu cuenta se utilice para pagos ajenos, ni siquiera a cambio de una comisión.

El acceso remoto es el punto en el que sale caro. La oferta de ayudarte con un programa de asistencia remota lleva, según el supervisor, hasta el acceso a tu banca en línea y a la apertura de cuentas y carteras a tu nombre. No hay ningún motivo para compartir la pantalla con un proveedor. Un exchange autorizado no lo pide jamás.

La contraprueba práctica es sencilla y funciona en todos estos casos: exige la dirección de la cartera en la que supuestamente están tus criptoactivos y compruébala en un explorador de la cadena de bloques. Sin datos de transacción verificables en una cadena no hay monedas, solo una visualización en una web. Los detalles están en el propio supervisor: aviso sobre plataformas de negociación fraudulentas.

¿Ya has introducido tus datos? Estos cinco pasos cuentan ahora

Si no ha circulado dinero, tu situación es bastante mejor de lo que parece. El daño más probable es una ficha en circulación, y contra eso sí puede hacerse algo.

Primero: documenta antes de que algo desaparezca. Anota la dirección completa de la web, la fecha y la hora de tu entrada y los datos que facilitaste. Haz una captura de pantalla de la página mientras siga accesible. Esas pruebas después no pueden obtenerse ni reconstruirse.

Segundo: no aportes nada más. No envíes copia del documento de identidad, ni datos bancarios, ni direcciones de cartera, ni compartas pantalla. La petición de instalar un programa de asistencia remota para la "verificación" es un patrón conocido y lleva al acceso directo a tus dispositivos.

Tercero: gestiona las llamadas con control. No tienes que descolgar. Si descuelgas, no digas nada de tu situación patrimonial y no confirmes ningún dato, tampoco los aparentemente inofensivos como la fecha de nacimiento. Un simple "no me interesa" y colgar basta por completo.

Cuarto: separa las credenciales. Si en la página fijaste una contraseña que también usas en otros sitios, cámbiala allí de inmediato. Activa la autenticación de dos factores en tus cuentas de exchange y de correo, mejor mediante una aplicación que por SMS.

Quinto: comunica la advertencia. Si la web no está en la lista, puedes comunicarla a la BaFin por sus vías de contacto. No cuesta nada y es el camino por el que salen a la luz otras series.

Lo que no necesitas en esta situación son servicios de recuperación de pago. Mientras no haya circulado dinero, no hay nada que recuperar.

La llamada de vuelta: qué pasa al teléfono y qué no dices

La llamada es la verdadera operación de venta y sigue un desarrollo reconocible. Conocerlo le quita la presión.

Al principio viene casi siempre un sondeo amable: ¿cuánta experiencia tienes, qué importe podrías destinar, qué criptomonedas te interesan? Esas preguntas parecen asesoramiento y son una valoración. Las respuestas deciden con cuánta intensidad se sigue el contacto.

Después llega un pequeño importe de entrada, a menudo en torno a 250 euros, unido a la promesa de poder retirar en cualquier momento. La suma es deliberadamente baja, porque rebaja la barrera y al mismo tiempo establece una relación de pago.

En el tercer paso un área de cliente muestra ganancias. Esa visualización es una representación en una web y no una prueba de transacciones cripto reales. Quien quiera saber si de verdad se ha negociado necesita datos de transacción verificables en una cadena, es decir, direcciones de cartera que puedan comprobarse de forma independiente.

Por último llega el punto en el que la retirada fracasa y aparecen exigencias de pago: supuestas comisiones, supuestos impuestos, supuestos importes de liberación. A partir de ahí, policía y organizaciones de consumidores describen el proceso de forma coincidente como estafa de inversión.

Tres frases bastan para toda la conversación. No mencionas importes. No confirmas datos. Cuelgas. Ningún proveedor serio pierde así un cliente, y un proveedor no autorizado pierde un acceso.

Una coletilla sobre la segunda oleada: tras una pérdida se ponen en contacto con frecuencia supuestos servicios de recuperación, despachos o defensores del consumidor que quieren recobrar el dinero. Esos llamantes sacan sus contactos de las mismas listas. Un pago por adelantado para una recuperación es por regla general el segundo daño.

Qué derechos te da el Reglamento General de Protección de Datos frente a operadores desconocidos

Formalmente te asisten los derechos del Reglamento General de Protección de Datos frente a cualquiera que trate tus datos personales. En la práctica, la situación con estas páginas es incómoda, y es más honesto decirlo abiertamente.

El derecho de acceso del artículo 15 del RGPD obliga a un responsable a comunicarte qué datos trata sobre ti y a quién se los ha entregado. El derecho de supresión del artículo 17 le obliga a borrarlos cuando ya no exista base jurídica. Un consentimiento prestado puedes retirarlo en cualquier momento.

Ambas cosas presuponen que existe un responsable localizable. En webs sin aviso legal válido y con operadores desconocidos es precisamente eso lo que falta. Una solicitud de acceso dirigida a una dirección de contacto de esas páginas cae en el vacío en el mejor de los casos y confirma en el peor que detrás de la dirección hay una persona localizable.

Aun así, quedan dos vías con sentido. La primera pasa por la autoridad de protección de datos de tu región, ante la que puedes presentar una reclamación. Ese organismo tiene facultades de investigación que tú no tienes. La segunda afecta a las empresas que te contactan después: quien te llama y da un nombre de empresa es un responsable identificable. Frente a ese llamante puedes oponerte al tratamiento, exigir información sobre el origen de tus datos y reclamar su supresión. Es justamente esa información la que hace visible la cadena de entregas.

Deja constancia del resultado por escrito. Una negativa documentada le sirve a la autoridad de control; una conversación telefónica sin anotación, no.

Ha circulado dinero: denuncia, banco y comunicación a la BaFin

Si ya se ha pagado, cambia el orden. Entonces cuenta la rapidez, y las primeras horas son las más valiosas.

Dirígete primero a tu banco o proveedor de pago. En pagos con tarjeta y domiciliaciones existen vías de recuperación sujetas a plazos cortos. En transferencias el banco puede intentar una devolución mientras el importe no haya salido de la cuenta del beneficiario. Los bancos miran de todos modos con lupa las operaciones cripto, lo que aquí juega a tu favor.

Presenta después denuncia ante la policía, en línea o en una comisaría. Lleva todo lo que hayas guardado: direcciones de la web, nombres y teléfonos de los llamantes, justificantes de pago, capturas del área de cliente y, si las hay, las direcciones de cartera a las que han ido criptoactivos. Esas direcciones son a menudo la pista más sólida para los investigadores, porque las transacciones en una cadena siguen siendo rastreables de forma duradera.

Comunica además el caso a la BaFin. El supervisor no te devolverá el dinero, pero los avisos de la ciudadanía son la base de advertencias como la del 23 de septiembre. La comunicación va por las vías de contacto del organismo y no cuesta nada.

A la Agencia Tributaria, porque el método trabaja justo con eso. Una de las exigencias más frecuentes antes de un supuesto pago consiste en que primero hay que abonar un impuesto. En Alemania ese no es en ningún caso el procedimiento. Los impuestos sobre rendimientos del capital o sobre operaciones privadas de enajenación se liquidan con la administración tributaria a través de la declaración, nunca como pago anticipado a una plataforma. Ninguna administración y ningún banco exige dinero para liberar un saldo. Si las ganancias fingidas y las pérdidas reales de un caso de fraude tienen efectos fiscales, y cuáles, es una cuestión aparte que hemos tratado en nuestro artículo sobre las ganancias ficticias en la estafa de inversión cripto. Resuélvela con un asesor fiscal, no con el llamante.

Y una vez más, porque es el error más caro después del primero: no pagues nada para conseguir un cobro. Ninguna comisión, ninguna tasa de liberación, ningún anticipo de impuestos. Una exigencia de ese tipo no es un obstáculo en el camino hacia el dinero, es el objeto mismo del montaje.

Dónde comprar en su lugar: autorización MiCA y base de datos de entidades

La consecuencia práctica de una advertencia como esta no es evitar las criptomonedas. Lo sensato es comprobar al proveedor antes del primer clic, y desde la regulación europea existe para ello una base sólida.

Una empresa que presta servicios de criptoactivos en la Unión Europea necesita una autorización. Los proveedores autorizados figuran en registros públicos, están sujetos a exigencias sobre la custodia del patrimonio de los clientes y tienen un servicio de reclamaciones localizable. Quien figura ahí puede cobrar de todos modos comisiones que no te gusten. Pero hay una empresa con domicilio, una inscripción registral y un supervisor.

Tres comprobaciones bastan en la práctica. ¿Figura el nombre exacto de la empresa en la base de datos de entidades de la BaFin o en el registro del supervisor europeo competente? ¿Lleva el aviso legal a un domicilio al que pueda dirigirse una demanda, con número de registro mercantil? ¿Y se te identifica antes de poder operar? Quien responde sí a las tres preguntas ha superado la comprobación básica. Una contraposición ordenada la encuentras en nuestra comparativa de los exchanges de criptomonedas regulados.

La segunda parte afecta a la custodia. Si quieres mantener bitcoin a largo plazo, la pregunta de dónde están las claves importa más que cualquier tabla de comisiones. Cómo ha evolucionado el precio y qué valoraciones circulan está en nuestra predicción del precio de Bitcoin. Cómo asegurar tus saldos con independencia de un exchange lo muestra la comparativa de carteras de hardware. Un proveedor sin autorización no puede ofrecerte ninguna de las dos cosas, porque en caso de duda ni siquiera negocia.

Advertencia de la BaFin sobre la plataforma cripto con IA: qué te llevas de todo esto

1. Comprueba al proveedor antes de introducir nada. Aviso legal con domicilio al que pueda dirigirse una demanda, nombre exacto de la empresa en la base de datos de entidades, identificación antes de la primera operación. Quien busca puntos de entrada regulados los encuentra en la comparativa de los exchanges de criptomonedas regulados.
2. Si ya has dejado datos, asegura las pruebas y no aportes nada más. Dirección de la web, fecha, captura de pantalla. Después, ninguna copia del documento de identidad, ningún dato bancario, ningún acceso remoto, ningún pago. Qué rasgos comparten los proveedores no autorizados está en la guía sobre cómo comprobar a los proveedores cripto.
3. Separa custodia y negociación. Lo que mantienes a largo plazo no debe quedarse de forma permanente en una cuenta cuyo operador no puedes identificar. Las opciones están en la comparativa de carteras de hardware.

El comunicado completo con las 39 direcciones está en el propio supervisor: la BaFin advierte sobre la serie de plataformas "plataforma de trading cripto con IA".

(25 de septiembre de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)