Custodia institucional de criptoactivos: qué exigir a tu proveedor

Cada vez más departamentos de tesorería, dirección financiera y equipos de seguridad de la información se enfrentan a una pregunta que hace pocos años era marginal: qué proveedor debe custodiar los criptoactivos que forman parte del balance o de la operativa de la empresa. La decisión ya no se limita a comparar comisiones o interfaces, porque lo que está en juego es la disponibilidad de fondos corporativos, la trazabilidad ante auditoría y, en última instancia, la responsabilidad de quien firmó el contrato con el proveedor.

Este artículo ordena los criterios objetivos que cualquier empresa debería exigir antes de firmar con un proveedor de custodia institucional criptomonedas, desde la segregación de activos hasta la gobernanza de claves, pasando por la autorización regulatoria y las certificaciones de seguridad que se pueden verificar de forma independiente. El objetivo no es recomendar un proveedor concreto, sino dar a los responsables de la decisión un marco de preguntas que reduzca la dependencia de promesas comerciales y aumente la dependencia de evidencia contrastable.

El artículo se apoya en la guía de Bit2Me Academy sobre wallet custodial frente a no custodial, donde se explica la diferencia conceptual entre delegar la gestión de claves privadas y mantenerla en manos propias, y complementa al pilar de contenidos de B2B / Empresas de Bit2Me Academy, donde se aborda de forma más amplia la operativa institucional con criptoactivos.

Aviso de riesgo (MiCA): La inversión en criptoactivos no está totalmente regulada, puede no ser adecuada para inversores minoristas debido a su alta volatilidad y existe riesgo de perder la totalidad de los importes invertidos. Es importante leer y comprender los riesgos de esta inversión, que se explican detalladamente en: https://up.bit2me.com/legalbit2me

Por qué la custodia institucional exige un estándar distinto al retail

Un usuario particular que guarda criptoactivos en una wallet asume, en gran medida, un riesgo personal: si algo falla, la pérdida es individual y la responsabilidad recae en quien tomó la decisión. Una empresa que custodia criptoactivos propios o de terceros opera en un marco completamente distinto, porque detrás de esa custodia hay accionistas, obligaciones contables, clientes finales y, con frecuencia, un consejo de administración que debe poder justificar la elección del proveedor ante una auditoría.

Esta diferencia de escala cambia por completo qué preguntas son relevantes. Mientras que un usuario individual puede conformarse con una interfaz sencilla y una reputación de marca, una empresa necesita respuestas verificables sobre segregación patrimonial, continuidad operativa y trazabilidad ante un incidente. La custodia institucional criptomonedas no es, por tanto, una versión «más grande» de la custodia retail: es una categoría distinta de servicio, con requisitos de diligencia debida equivalentes a los que se exigen a un custodio de valores tradicionales.

Por eso, cuando un responsable de tesorería o un CISO evalúa proveedores, el criterio de decisión no debería ser únicamente la facilidad de uso o el catálogo de activos soportados. Debería ser, en primer lugar, si el proveedor puede demostrar —con documentación, no solo con discurso— que cumple los criterios mínimos que se detallan en las siguientes secciones. Un custodio regulado que no puede aportar esa evidencia documental no debería llegar a la fase de negociación comercial.

Segregación de activos de clientes: el criterio no negociable

La segregación de activos consiste en mantener separados, de forma verificable, los criptoactivos que pertenecen a los clientes de los que pertenecen al propio proveedor. Es un principio contable y operativo antiguo en el mundo financiero tradicional, donde un bróker no puede mezclar el patrimonio de un cliente con su propio balance, y en el ámbito de la custodia institucional cumple exactamente la misma función.

Sin segregación, un problema de solvencia o de gestión del proveedor puede arrastrar directamente los fondos de sus clientes, porque en la práctica no existe una frontera clara entre «lo que es de la empresa» y «lo que es del cliente». Con segregación, esa frontera existe y puede demostrarse: los activos de clientes están identificados, contabilizados de forma independiente y, en un escenario de insolvencia del proveedor, tratados como patrimonio separado y no como masa de la quiebra.

Cualquier empresa que evalúe un custodio regulado debería pedir que esta segregación se describa por escrito, no solo se mencione de forma genérica. Preguntas concretas incluyen si existe una separación contable auditable entre fondos propios y fondos de clientes, si los criptoactivos de clientes están identificados de forma individual o agrupada, y qué ocurre con esos activos en un escenario de insolvencia del proveedor. Una respuesta vaga o defensiva ante estas preguntas suele ser una señal de alerta más fiable que cualquier folleto comercial.

Autorización MiCA/CASP: el mínimo indispensable de un custodio regulado

En el marco regulatorio de la Unión Europea, el Reglamento MiCA (Markets in Crypto-Assets) exige que cualquier entidad que preste servicios de custodia de criptoactivos por cuenta de terceros cuente con autorización como proveedor de servicios de criptoactivos (CASP, por sus siglas en inglés). Esta autorización no es un sello opcional ni un elemento diferenciador de marketing: es el suelo regulatorio mínimo por debajo del cual una empresa no debería considerar a un proveedor como opción viable para operativa institucional en la Unión Europea.

Conviene distinguir aquí un matiz que suele generar confusión: contar con la autorización CASP no equivale a que el regulador garantice la seguridad de los fondos, sino a que el proveedor ha superado un proceso de supervisión sobre su solvencia, su gobernanza interna y sus procedimientos operativos. Para entender la diferencia conceptual entre delegar la custodia de las claves privadas en un tercero autorizado y mantener el control directo de esas claves, conviene revisar la guía de Bit2Me Academy sobre wallet custodial frente a wallet no custodial, donde se explica ese concepto base con más detalle.

Una empresa que negocia con un proveedor debería pedir el número de autorización, la autoridad competente que la ha otorgado y el alcance exacto de los servicios cubiertos por esa autorización, porque no todas las autorizaciones CASP cubren necesariamente el servicio de custodia. Verificar esta información en el registro público de la autoridad competente correspondiente es un paso de diligencia debida que no debería omitirse nunca, independientemente de la reputación de marca del proveedor.

Auditorías y certificaciones de seguridad verificables

Una vez confirmada la autorización regulatoria, el siguiente nivel de diligencia debida consiste en revisar qué certificaciones de seguridad y continuidad operativa puede acreditar el proveedor de forma independiente. Las certificaciones más relevantes en este contexto son ISO 27001, centrada en la gestión de la seguridad de la información, e ISO 22301, centrada en la gestión de la continuidad de negocio ante incidentes graves.

Junto a estas dos normas ISO, el nivel CSA STAR (Cloud Security Alliance) aporta una capa adicional de evaluación específica sobre seguridad en entornos cloud, cada vez más relevante porque la infraestructura de custodia de criptoactivos suele apoyarse en proveedores de nube especializados. Ninguna de estas certificaciones es una garantía absoluta frente a cualquier incidente, pero sí constituye evidencia verificable de que un proveedor ha sido evaluado por un tercero independiente conforme a un estándar reconocido internacionalmente, algo muy distinto de una afirmación comercial sin respaldo.

Al evaluar a un custodio regulado, una empresa debería solicitar el certificado vigente, la entidad certificadora que lo ha emitido y la fecha de la última auditoría de renovación, no solo una mención genérica a «estándares de seguridad». También conviene preguntar si el proveedor ha sido objeto de auditorías de seguridad externas adicionales, más allá de la certificación ISO, y si los informes de esas auditorías —o al menos un resumen ejecutivo— pueden compartirse bajo acuerdo de confidencialidad. Un proveedor que solo puede citar certificaciones sin poder acreditarlas documentalmente no cumple el estándar mínimo que una operativa institucional requiere.

Gobernanza de claves y procedimientos ante incidentes

La gobernanza de claves es el conjunto de políticas y controles que determinan quién puede autorizar un movimiento de fondos, bajo qué condiciones y con qué nivel de supervisión cruzada. En custodia institucional, la referencia habitual es el esquema de multifirma o de umbral, donde una transacción solo se ejecuta cuando varias partes independientes autorizan la operación, evitando que una sola persona o un solo sistema comprometido pueda mover los fondos por sí mismo.

Más allá de la arquitectura técnica de las claves, una empresa debe entender qué ocurre operativamente ante un incidente: cómo se detecta una actividad anómala, en qué plazo se notifica al cliente afectado, qué protocolo de contención se activa y quién dentro de la organización del proveedor tiene autoridad para tomar decisiones durante una crisis. Un procedimiento de respuesta ante incidentes que solo existe como documento interno sin pruebas periódicas de ejecución (simulacros, revisiones, actualizaciones) es, en la práctica, un procedimiento que no se puede dar por fiable.

Las preguntas que conviene formular en esta área incluyen cuántas firmas o aprobaciones independientes se requieren para mover fondos por encima de un umbral determinado, si existen copias de seguridad de claves distribuidas geográficamente y bajo qué custodia, y con qué frecuencia se ejecutan simulacros de recuperación ante incidentes. También es razonable pedir el compromiso de nivel de servicio (SLA) de notificación ante un incidente de seguridad, porque el tiempo que transcurre entre la detección y la comunicación al cliente suele ser el factor que más condiciona el impacto real de cualquier evento adverso.

Preguntas que exigir a cualquier proveedor de custodia institucional

Los criterios anteriores se pueden convertir en una lista de verificación operativa que un equipo de tesorería, un CISO o dirección financiera puede utilizar directamente en el proceso de selección de proveedor. Cada pregunta corresponde a un criterio objetivo, verificable con documentación, no con discurso comercial.

• ¿Puede el proveedor demostrar por escrito la segregación contable entre fondos propios y fondos de clientes, y qué ocurre con los activos de clientes en un escenario de insolvencia del proveedor?
• ¿Cuál es el número de autorización CASP, qué autoridad competente lo ha emitido y qué alcance exacto de servicios cubre esa autorización?
• ¿Qué certificaciones de seguridad y continuidad de negocio (ISO 27001, ISO 22301, CSA STAR) puede acreditar el proveedor, con certificado vigente y fecha de última auditoría?
• ¿El proveedor ha sido objeto de auditorías de seguridad externas adicionales y puede compartir al menos un resumen ejecutivo de sus resultados?
• ¿Qué esquema de gobernanza de claves utiliza (multifirma, umbral) y cuántas aprobaciones independientes requiere una operación por encima de un importe determinado?
• ¿Con qué frecuencia se ejecutan simulacros de recuperación ante incidentes y quién los supervisa dentro de la organización?
• ¿Cuál es el compromiso de nivel de servicio (SLA) de notificación ante un incidente de seguridad y qué protocolo de contención se activa?

Esta lista no sustituye una revisión legal ni una diligencia debida completa, pero sirve como filtro inicial para descartar proveedores que no pueden responder con evidencia documental a preguntas básicas. Una empresa que evalúa varias alternativas de custodia institucional criptomonedas debería exigir respuestas escritas a estas preguntas antes de avanzar a cualquier negociación comercial, y valorar con especial atención cualquier respuesta que se limite a afirmaciones genéricas de seguridad sin soporte verificable.

Si tu organización está en proceso de definir estos criterios o necesita contrastarlos con un caso concreto, hablar con el equipo B2B de Bit2Me Academy puede ayudar a ordenar la evaluación antes de comprometerse con un proveedor. La decisión de custodia institucional no debería tomarse bajo presión comercial ni sobre la base de un único criterio, por atractivo que resulte a corto plazo.

La adopción institucional de criptoactivos seguirá exigiendo, en los próximos años, el mismo nivel de rigor que ya se aplica a cualquier otro proveedor financiero crítico: documentación verificable, autorización regulatoria vigente y procedimientos que resisten un simulacro real, no solo una presentación comercial. Las empresas que incorporen esta disciplina de evaluación a su custodia institucional criptomonedas desde el primer contrato con un proveedor estarán mejor posicionadas para responder ante cualquier auditoría futura, y para tomar decisiones informadas cuando llegue el momento de renovar o cambiar de custodio regulado.

Preguntas frecuentes sobre custodia institucional criptomonedas