23 webs, un mismo molde: qué vigilar en una plataforma cripto sin autorización

Una plataforma cripto sin autorización se reconoce con más seguridad en dos puntos, ambos comprobables en pocos minutos: la ausencia de inscripción en el registro del supervisor financiero y unas frases publicitarias que se repiten palabra por palabra en decenas de webs ajenas. El 14 de octubre de 2026, la BaFin hizo público exactamente ese patrón. El objeto de la advertencia es esta vez toda una serie de sitios web de diseño casi idéntico.

El nombre de la página de inicio es, por tanto, el dato menos útil que ofrece una web así. Nombre, color y extensión de dominio son intercambiables; lo que permanece es la factura y el texto publicitario. Quien conoce la factura reconoce también la dirección número veinticuatro de la misma serie, la que hoy todavía no figura en ninguna lista.

La BaFin cita 23 direcciones construidas con un mismo molde

El supervisor financiero publicó el 14 de octubre de 2026 un comunicado al consumidor que lleva en el titular la dirección GainLiteX(.)co y enumera en el texto otras 23 webs. La motivación consta literalmente en el comunicado: según las constataciones de la autoridad, los operadores ofrecen en estas webs servicios financieros y servicios de criptoactivos sin autorización, y dichos operadores no están supervisados por la BaFin.

Lo llamativo de este comunicado es su forma. Una advertencia corriente menciona un proveedor y su dominio. Esta describe primero un rasgo identificativo válido para todas las webs de la serie y adjunta después la lista de direcciones conocidas. La autoridad escribe las direcciones desactivadas, con un punto entre paréntesis, para que al leerlas no se genere un enlace pulsable. Mantenemos esa grafía:

• Acmedividends(.)com
• alphasharesmarket(.)com
• aoextrades(.)live
• cloudtinvt(.)pro
• cmetrustgroup(.)com
• copyexpresstrades(.)com
• crownxcapitals(.)com
• dreammfx(.)net
• elitetradehub(.)net
• gifxpartnersltd(.)com
• globalcapitalshares(.)com
• globalmaxinvestment(.)com
• greenpointsllc(.)org
• octapayvest(.)com
• securedcryptoassets(.)com
• sratumcypher(.)com
• standardcapitalfinance(.)ltd
• titanedgefx(.)trade
• trademarketoptionsltd(.)com
• valorstream(.)com
• westgateinvestments(.)org
• zealprimefinance(.)com
• zenithwealthglobals(.)org

El orden es alfabético y las extensiones van desde .com y .org y .net hasta .live, .pro, .trade y .ltd. Varios nombres llevan bloques que suenan a gestión patrimonial consolidada: capital, trust, wealth, global, dividends, prime. Esa elección de palabras forma parte del kit y no es casual.

Obligación de autorización: qué servicios de criptoactivos debe aprobar la BaFin

El marco jurídico de la advertencia es más sencillo de lo que sugiere la formulación oficial. Quien ofrece en Alemania servicios financieros y de inversión necesita para ello una autorización de la BaFin. Lo mismo rige, desde el reglamento europeo MiCAR, para los servicios de criptoactivos: la explotación de una plataforma de negociación, el canje de criptoactivos por euros, la custodia de criptoactivos de terceros, la intermediación y el asesoramiento al respecto.

El concepto de servicio de criptoactivos designa una prestación mercantil en torno a los criptoactivos que un proveedor realiza por cuenta de terceros. Lo decisivo es ese «por cuenta de terceros». Quien convierte su propio dinero en bitcoines no necesita autorización. Quien recibe, custodia o canjea el dinero de otras personas la necesita en todos los casos.

La transposición alemana de estas obligaciones está en la ley de supervisión de los mercados de criptoactivos. El papel que desempeña esa ley en la práctica de advertencias del supervisor lo escribimos el 4 de octubre de 2026 en el artículo sobre la ley KMAG y su obligación de autorización. Las obligaciones que esperan a las empresas autorizadas las recoge nuestro panorama de los deberes de la licencia MiCA.

Dos frases publicitarias como huella de toda una serie de plataformas

La parte más útil del comunicado es un detalle que falta en las advertencias habituales. La BaFin cita dos formulaciones que reaparecen en las webs de la serie. La primera promete un asesoramiento financiero integral y servicios de inversión ajustados a las necesidades individuales del cliente. La segunda invita al visitante a formar parte «del principal proveedor mundial de inversiones financieras».

Ambas frases comparten una propiedad que las hace aprovechables: ninguna entidad seria se expresa así. Una casa supervisada anuncia productos, condiciones y advertencias de riesgo, porque está obligada a ello y porque debe responder por ello. Los superlativos sin objeto, en cambio, no cuestan nada. Y como las frases están en la plantilla en lugar de redactarse para cada web, aparecen idénticas en todas las direcciones de la serie.

De ahí se deriva un gesto que funciona sin base de datos alguna. Copia media frase llamativa de la publicidad de una plataforma desconocida y búscala entre comillas. Si aparecen entonces varios proveedores con nombres distintos y la misma redacción, ahí trabaja un kit. Este gesto funciona también con un dominio que no se ha comunicado en ninguna parte, y justo en eso está su valor.

Estética de kit: cinco señales de una serie antes de la primera lista de alerta

La autoridad describe las webs como de diseño casi idéntico. De las 23 direcciones, y de las series que seguimos en nuestros propios registros, se deducen cinco señales que, reunidas, dan una imagen sólida. Por separado, ninguna es una prueba.

Bloques de palabras en lugar de una historia empresarial

Los nombres se componen de dos o tres términos financieros combinables a voluntad. Falta una trayectoria empresarial real, un año de fundación acreditado, un extracto del registro mercantil o un domicilio verificable. Lo que allí consta como historia de la empresa podría copiarse en cualquier otra dirección de la serie sin que se notara.

Extensiones de dominio exóticas con fachada europea

Extensiones como .live, .pro o .trade cuestan poco y se registran en minutos. Una casa que pretende captar dinero de clientes en Alemania y posee una autorización para ello se presenta por regla general bajo una dirección nacional o .com. La extensión por sí sola no dice nada; junto a una presencia en alemán sin domicilio alemán, es una señal.

Ningún aviso legal que lleve a una sociedad localizable

El cotejo entre dominio y operador es el más exigente de los cinco puntos. Si el aviso legal nombra una sociedad, la buscas en el registro mercantil y en la base de datos del supervisor. Si la pista no lleva a nada, o a una empresa ajena al negocio financiero, el asunto está resuelto. Hasta dónde se puede tender esa pista lo muestra el caso de una identidad prestada del que informamos el 28 de septiembre de 2026 en advertencia de la BaFin por identidad de empresa prestada.

Las mismas frases publicitarias con nombres distintos

Aquí entra la huella del apartado anterior. Cuanto más larga sea la media frase que buscas, más concluyente es el resultado: una fórmula aislada como «estrategia de inversión individual» está en miles de páginas inofensivas, mientras que una frase publicitaria completa de veinte palabras solo está donde se usó la misma plantilla. Repite la búsqueda con una segunda frase de otra subpágina, por ejemplo del apartado sobre la empresa. Si ambas búsquedas dan con el mismo grupo de dominios ajenos, la atribución es casi segura.

Presión sobre el primer pago

Cuanto más rápido empuja una plataforma al primer ingreso, más atención personal ofrece por mensajería y menos tiempo deja para una comprobación, más nítida se vuelve la imagen. Un proveedor autorizado no tiene interés en que dejes su autorización sin comprobar, porque esa autorización es su mejor argumento de venta.

La base de datos de empresas tiene una categoría propia para los proveedores de servicios de criptoactivos

La comprobación propiamente dicha es el registro del supervisor, y ahí se esconde un detalle que muchas guías pasan por alto. La base de datos de empresas de la BaFin consulta varias categorías por separado. Junto a las entidades de crédito y las empresas de servicios de inversión, el campo de selección incluye también las entradas proveedores de servicios de criptoactivos, custodios de criptoactivos, llevadores de registros de criptovalores y emisores MiCAR.

Esa separación explica que una búsqueda salga a veces falsamente negativa. Quien busca el nombre de una plataforma de negociación solo bajo «todas las entidades» obtiene una respuesta vacía, aunque el proveedor figure como proveedor de servicios de criptoactivos. Lo correcto es buscar bajo «todas las empresas» o directamente por la categoría adecuada. El camino hasta allí, campo por campo, lo escribimos el 12 de septiembre de 2026 en la guía cómo comprobar en tres minutos si un proveedor cripto tiene autorización.

Si al final de esa búsqueda hace falta un mercado autorizado, ayuda nuestro panorama de los exchanges cripto regulados por MiCA: allí están los proveedores con licencia de la UE, con sus comisiones y su domicilio.

La fecha de cierre de los datos pone un límite al registro

En la parte superior del formulario de búsqueda hay un campo fácil de pasar de largo: la fecha de los datos. Cuando abrimos la base de datos para este artículo, llevaba el 13 de octubre de 2026. El registro muestra así una instantánea con una fecha adjunta.

Eso tiene dos consecuencias para tu comprobación. Una autorización recién concedida puede faltar todavía en la base de datos aunque esté en vigor. Y una plataforma que se puso en línea ayer no consta allí, lógicamente, porque nunca solicitó una autorización. La ausencia de una entrada es precisamente lo que no distingue esos dos casos.

Por eso el registro es la respuesta necesaria, no la suficiente. Un acierto en la categoría correcta es un argumento fuerte a favor de que detrás de la web hay una casa supervisada. Un acierto que falta es motivo para no transferir nada y repasar las demás señales.

No supervisado y fraude demostrado son dos hallazgos distintos

Esta distinción corresponde a todo texto sobre una lista así, y rara vez se hace. La BaFin escribe en su comunicado que los operadores actúan sin autorización y no están supervisados. En ningún punto afirma la autoridad que las 23 webs roben dinero de clientes o inventen ganancias.

La diferencia es práctica y no académica. Si falta la autorización, falta también todo lo que va unido a ella: la supervisión continua de los fondos propios y de la organización, el deber de custodiar los criptoactivos de terceros separados del patrimonio propio, las vías de reclamación reguladas y la facultad de la autoridad de prohibir el negocio. Si un operador concreto engaña además es una cuestión para la fiscalía.

En el mismo comunicado, la BaFin advierte junto con la Oficina Federal de Policía Criminal y las oficinas de los estados federados sobre el fraude financiero en internet en términos generales y recomienda investigar a fondo antes de invertir dinero en la red. Esa advertencia es general y no es un juicio sobre las direcciones concretas de la lista.

La ley KMAG y MiCAR enmarcan la autorización

La fórmula «servicios financieros y servicios de criptoactivos» que emplea la advertencia es un desdoblamiento preciso. Los servicios financieros requieren autorización conforme a la ley bancaria y a la ley de empresas de servicios de inversión; los servicios de criptoactivos la requieren desde MiCAR, con arreglo a su propio régimen. Una plataforma que ofrece ambos necesita ambas. Muchas webs de la serie ahora comunicada anuncian a la vez servicios de inversión clásicos y criptoactivos, y de ahí viene la doble mención en el comunicado.

Como cliente notas la diferencia allí donde se trata de reclamaciones. Ante una casa autorizada, el reglamento europeo pone a tu disposición una vía con plazos fijos. Cuáles son y cuánto tiempo tiene un exchange para responder a una reclamación consta en nuestro artículo sobre la reclamación contra un exchange cripto conforme al artículo 71 de MiCAR. Frente a un proveedor sin autorización esa vía no opera, porque nunca asumió los deberes correspondientes.

Vía de reclamación y conservación de pruebas tras una transferencia

Si ya ha salido dinero, el orden cuenta. Pon primero a salvo lo que puede desaparecer en pocos días: capturas de pantalla de la página de cuenta con la fecha visible, la correspondencia completa incluidos los hilos de mensajería, los extractos bancarios de las transferencias y, en pagos en criptoactivos, las direcciones de recepción y los identificadores de transacción. Estos datos son la base de cualquier denuncia posterior y están únicamente en tu poder. Si la plataforma desaparece, con ella desaparecen la página de cuenta y el historial del chat.

Después el camino lleva al banco o al servicio de pago por el que se cursó el pago, y a la policía. La BaFin recibe avisos sobre negocios no autorizados y mantiene para ello un teléfono del consumidor, disponible de lunes a viernes de 8 a 18 horas en el 0800 2 100 500. Recuperar el dinero queda fuera del alcance del supervisor; su competencia termina en la prohibición del negocio.

La serie 25 en un conjunto de 639 dominios

El aviso del 14 de octubre no está solo. Nuestro propio análisis de las advertencias de la BaFin de este año, publicado el 14 de agosto de 2026 en advertencias de la BaFin 2026: 24 series de plataformas cripto con 639 dominios, contó 24 series de ese tipo con 639 direcciones en total. Según esa cuenta, la lista actual es la serie 25 y la primera nueva en dos meses.

Nuestra valoración: el valor de este aviso no está en los 23 nombres, sino en las dos frases publicitarias. Los nombres estarán apagados, registrados de nuevo y otra vez en línea en unas semanas; el kit que hay detrás permanece. A favor hablan las cifras de nuestro propio análisis, 639 direcciones en 24 series en un año, y el hecho de que la autoridad mencione esta vez un rasgo textual y no una mera lista de dominios. En contra habla que una frase publicitaria aislada no prueba nada y que un proveedor serio también puede usar una fórmula hecha. La imagen se vuelve sólida solo cuando coinciden varias de las cinco señales y el registro no conoce al proveedor.

Series de plataformas: 23 direcciones, un molde, un registro

La advertencia del 14 de octubre de 2026 quedará superada por la siguiente en pocos días. Lo que queda es una secuencia que funciona también con la dirección que hoy no se ha comunicado en ninguna parte.

1. Consultar el registro antes de cada ingreso. Busca el nombre del proveedor en la base de datos de empresas del supervisor bajo «todas las empresas» y fíjate en la categoría de proveedores de servicios de criptoactivos. Si la búsqueda queda vacía, no sale dinero. Un mercado con licencia de la UE acreditada lo encuentras en nuestro panorama de los exchanges cripto regulados por MiCA.
2. Retirar los saldos de plataformas ajenas. Lo que está en un proveedor sin autorización está sin deber de separación y sin supervisión. Para saldos grandes, la custodia propia es el lugar más seguro; los dispositivos para ello los compara nuestra comparativa de carteras hardware.
3. Documentar cada movimiento. Transferencias, identificadores de transacción y correspondencia deben quedar registrados sin lagunas, tanto para un aviso al supervisor como para la declaración de la renta. Las herramientas que anotan las transacciones automáticamente están en nuestro panorama de software fiscal cripto y rastreadores de cartera.

El comunicado completo con las 23 direcciones está en el propio supervisor: comunicado al consumidor de la BaFin del 14 de octubre de 2026. Con un proveedor sin autorización, una pérdida total del dinero ingresado es posible en cualquier momento.

(14 de octubre de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)