El Grupo de Acción Financiera Internacional (GAFI), el organismo intergubernamental con sede en París que establece estándares globales contra el lavado de dinero y el financiamiento del terrorismo, informa que un número creciente de jurisdicciones está promulgando regulaciones sobre criptomonedas, pero la aplicación sigue rezagada de manera significativa frente al avance legislativo.

En su Séptima Actualización Dirigida sobre la implementación de los estándares del GAFI para activos virtuales y proveedores de servicios de activos virtuales (VASPs), el organismo global de vigilancia encontró que el 83% de las jurisdicciones encuestadas ha aprobado legislación para implementar la Travel Rule, frente al 73% en 2025.

Sin embargo, el informe también revela que solo el 40% de las jurisdicciones con legislación sobre la Travel Rule vigente ha tomado realmente medidas de supervisión o aplicación. En otras palabras, aunque más países cuentan ahora con normas formales, muchos menos están supervisando activamente el cumplimiento de manera significativa. Esa brecha se ha convertido en el desafío central identificado en la actualización.

Las leyes avanzan más rápido que la aplicación

La Travel Rule es uno de los estándares de cumplimiento más relevantes del sector de las criptomonedas. Extiende la Recomendación 16 del GAFI —un requisito de larga data que exige a los bancos compartir datos del remitente y del beneficiario en transferencias electrónicas— a las transacciones con activos virtuales. Exige que los proveedores de servicios de activos virtuales recopilen y transmitan información del originador y del beneficiario en transferencias que cumplan ciertos criterios. En términos prácticos, los reguladores quieren que los intermediarios cripto sepan quién envía y quién recibe fondos, en particular cuando las transferencias cruzan entre plataformas reguladas.

El GAFI aplicó por primera vez sus estándares a los activos virtuales en 2019, y desde entonces la Travel Rule se ha convertido en una prueba clave para determinar si una jurisdicción toma en serio el cumplimiento cripto en materia de AML. Según el GAFI, la mayoría de las jurisdicciones encuestadas ya incorporó la regla a su legislación, un cambio significativo respecto de una etapa anterior en la que muchos países aún evaluaban si regular o no a los VASPs. La UE, por ejemplo, incorporó las obligaciones de la Travel Rule en su regulación más amplia de Mercados de Criptoactivos (MiCA), que comenzó a entrar en vigor en 2024.

Pero la legislación es solo un primer paso. Una norma que existe en los libros sin supervisión activa produce cambios limitados. Exchanges, brókers, custodios y empresas de pagos necesitan orientación, inspecciones, un riesgo creíble de aplicación y sistemas técnicos funcionales. Los reguladores necesitan personal capacitado y herramientas adecuadas. Los mecanismos de cooperación transfronteriza deben funcionar eficazmente. Los datos del GAFI indican que la implementación en estas dimensiones sigue siendo desigual.

Por qué importa la brecha de aplicación

El cumplimiento cripto enfrenta desde hace tiempo un problema de eslabón más débil. Si una jurisdicción mantiene reglas estrictas mientras otra no aplica nada, los actores ilícitos pueden canalizar actividad a través de la jurisdicción más débil. Esta dinámica genera presión sistémica porque las transacciones con criptomonedas son globales por diseño. La principal herramienta del GAFI para presionar a las jurisdicciones rezagadas es su lista de jurisdicciones bajo monitoreo —a menudo denominada lista gris—, que identifica países con deficiencias estratégicas en sus marcos AML/CFT y puede acarrear consecuencias reputacionales y financieras.

La brecha de aplicación es especialmente relevante para estafas, redes de lavado de dinero, grupos de ransomware y operaciones de hackeo vinculadas a Estados. El informe del GAFI señala específicamente como áreas de mayor preocupación los centros de estafas vinculados al crimen organizado, los ciberrobos de la RPDC, las billeteras no alojadas, DeFi y las stablecoins diseñadas para resistir el congelamiento.

Estas categorías ilustran cómo ha evolucionado el panorama de riesgos. El foco ya no se limita a exchanges fuera de norma o a actividad evidente en mercados oscuros. Ahora abarca complejos de estafas a gran escala, operaciones cibernéticas sofisticadas, servicios descentralizados, infraestructura de billeteras y arquitecturas de stablecoins que pueden restringir la capacidad de emisores o intermediarios para congelar fondos ilícitos, un entorno considerablemente más complejo para que los reguladores lo gestionen.

DeFi sigue siendo el encaje más difícil

DeFi plantea uno de los desafíos más difíciles dentro del marco del GAFI. La Travel Rule presupone la existencia de un intermediario capaz de recopilar y transmitir información. En DeFi, ese intermediario puede no existir en ningún sentido tradicional. Un protocolo puede estar compuesto por smart contracts, frontends, participantes de gobernanza, desarrolladores, validadores, relayers o alguna combinación de estos componentes.

En consecuencia, los reguladores enfrentan una pregunta fundamental: ¿quién asume la responsabilidad? Si un equipo controla un frontend, el frontend podría convertirse en el punto de aplicación. Si una DAO gobierna los parámetros del protocolo, los participantes de gobernanza podrían quedar bajo presión. Si los usuarios interactúan directamente con smart contracts, la aplicación se vuelve sustancialmente más difícil.

El GAFI ha estado instando a los países a evitar que la etiqueta de "descentralizado" se convierta en un vacío regulatorio. Sin embargo, traducir ese principio en supervisión práctica está lejos de ser sencillo, por lo que la brecha de aplicación adquiere una importancia aún mayor en el contexto de DeFi.

Las stablecoins bajo la lupa

Las stablecoins ocupan un lugar destacado en la evaluación de riesgos del informe. Representan uno de los casos de uso más adoptados de las criptomonedas y, al mismo tiempo, uno de los instrumentos más fáciles para mover valor rápidamente a través de fronteras. USDT, USDC y otras stablecoins se han convertido en activos centrales de liquidación para traders, empresas, servicios de remesas, usuarios de DeFi y, en ocasiones, redes ilícitas.

La preocupación del GAFI respecto de las stablecoins resistentes al congelamiento se centra en el control. Cuando un emisor de stablecoin puede congelar direcciones, los reguladores pueden obligar a los emisores a actuar contra fondos ilícitos. Cuando una stablecoin está diseñada para resistir el congelamiento o carece de un punto claro de control por parte del emisor, esa vía de aplicación se debilita considerablemente.

Esto plantea preguntas difíciles sobre resistencia a la censura, protección de usuarios y acceso de las fuerzas del orden, cuestiones que no muestran señales de resolverse. Los usuarios de criptomonedas suelen valorar activos que no pueden congelarse fácilmente, mientras que los reguladores temen que esas mismas características puedan facilitar la actividad criminal.

La próxima fase: supervisión

La cifra principal —83% de adopción legislativa— demuestra que la regulación de las criptomonedas se ha vuelto parte de la agenda central. La cifra más relevante podría terminar siendo la tasa de aplicación del 40%. La próxima fase de la supervisión cripto global estará definida menos por si los países han escrito reglas y más por si supervisan a las empresas, sancionan infracciones y cooperan a través de fronteras.

Los exchanges y custodios deberán fortalecer sus sistemas de cumplimiento de la Travel Rule. Los frontends de DeFi podrían enfrentar un mayor escrutinio. Los emisores de stablecoins seguirán bajo presión sostenida.

Para la industria, el mensaje es claro: el debate sobre cumplimiento ya dejó atrás la pregunta de si las criptomonedas deben ser reguladas. Ahora se centra en si las reglas existentes se están aplicando de manera lo suficientemente consistente como para satisfacer a los organismos globales que establecen estándares.

Este artículo se basa en la Séptima Actualización Dirigida del GAFI sobre activos virtuales y VASPs.