Arquitectura de sistemas de pago con criptomonedas: Las 6 capas y cómo fluye el dinero a través de ellas

Si estás construyendo infraestructura de pagos con criptomonedas, es tentador tratarla como una sola cosa: un sistema que mueve stablecoins del punto A al punto B. En la práctica, esa "única cosa" son seis capas distintas apiladas una sobre otra, cada una con su propia función y su propio límite de seguridad — y dos flujos de dinero distintos que las atraviesan.

También conviene aclarar desde el principio los malentendidos más comunes entre capas. Un ejemplo: asumir que la firma MPC por sí sola hace que una billetera sea de autocustodia — cuando la custodia en realidad depende de quién posee las partes de clave necesarias para alcanzar el umbral de firma, no de la técnica que dividió la clave. Otro ejemplo: un cliente que te paga y tú pagando a otra persona parecen lo mismo, una transferencia de stablecoin. No lo son. Confundirlos — tratar un pago saliente como uno entrante, u omitir una verificación porque "solo es recibir dinero" — es como los fondos contaminados terminan acreditados o cómo un pago sale antes de que nadie debería haberlo aprobado.

Analizamos esto como parte de nuestro manual más amplio de seguridad y cumplimiento de pagos con criptomonedas, el mismo modelo de seis capas que esta serie utiliza para mapear la responsabilidad y el límite de seguridad de cada capa.

A continuación, cada capa en detalle: la base de blockchain y stablecoin, la capa de billetera y custodia, la rampa de entrada/salida, la lógica de negocio, el cumplimiento normativo y la capa de aplicación — junto con el límite de seguridad que importa en cada una. Luego recorremos ambos flujos de dinero paso a paso, y señalamos los puntos de control que es fácil construir incorrectamente.

1. La Base de Blockchain y Stablecoin

La capa de blockchain es la base de todo el sistema de pagos, y la fuente principal de muchas de las ventajas de las stablecoins.

Lo que la diferencia de una transferencia bancaria es simple: la transferencia de valor y la compensación/liquidación ocurren en el mismo libro de contabilidad de aceptación común. En las finanzas tradicionales, la transferencia y la compensación son dos pasos separados gestionados por diferentes intermediarios, seguidos de una reconciliación entre instituciones. En una blockchain, una transferencia confirmada es una liquidación completada — no hay un paso de compensación separado ni una reconciliación posterior. Ese mecanismo de "libro compartido, transferencia equivale a liquidación" es exactamente lo que proporciona finalidad en minutos, desintermediación, disponibilidad 24/7 y trazabilidad.

En ese libro compartido, una stablecoin es un token ERC-20 emitido por un emisor que añade funciones administrativas — mint, burn, blacklist y pause — lo que impide que sea un activo completamente descentralizado, ya que el emisor conserva el control sobre el token. Explicamos lo que ese control del emisor significa para un negocio en stablecoin payments explained.

Multi-cadena y entre cadenas

Las stablecoins existen en muchas cadenas, cada una con su propio nicho. Ethereum es el estándar para DeFi y la liquidación institucional, Solana es adecuada para pagos de alto rendimiento, TRON domina las remesas de bajo costo y los mercados emergentes, y las L2 como Base y Arbitrum ofrecen canales de pago de bajo costo. A mayo de 2026, Ethereum concentra aproximadamente el 52% de la oferta de stablecoins y TRON alrededor del 28% — ninguna cadena domina por completo, por lo que la mayoría de las empresas termina necesitando soporte multi-cadena.

Cuando necesitas mover stablecoins entre cadenas, hay tres enfoques comunes: puentes de terceros, el protocolo nativo entre cadenas de un emisor (como el CCTP de Circle, que usa quema y emisión para la transferencia nativa de USDC), o mover fondos entre cadenas mediante depósitos y retiros en un exchange centralizado. La operación entre cadenas no es una capacidad central de un sistema de pagos — elígela según sea necesario. Lo que importa es la seguridad de cada enfoque: los puentes de terceros y sus fondos bloqueados en pools de liquidez han sido durante mucho tiempo objetivos de alto valor, mientras que la ruta del exchange conlleva riesgo de contraparte y de congelamiento.

2. La Capa de Billetera y Custodia

La capa de billetera y custodia gestiona el almacenamiento y la firma de los fondos, y es el núcleo de la seguridad del sistema de pagos.

La primera decisión aquí: ¿gestionas las claves tú mismo, o se las entregas a un tercero?

• Autocustodia — las claves necesarias para alcanzar el umbral de firma están completamente en tus manos, ya sea que mantengas las claves privadas directamente o uses MPC para distribuir la clave en partes entre tu propio personal e infraestructura. Ninguna parte externa puede mover fondos por sí sola. La ventaja es que no hay dependencia de terceros ni riesgo de contraparte; el costo es que toda la responsabilidad de seguridad es tuya, y una clave o parte perdida o robada significa que los fondos se pierden para siempre.
• Custodia de terceros (centralizada/calificada) — un custodio con licencia posee las claves, o las partes que alcanzan el umbral, y tú operas los fondos mediante cuentas y APIs. Externalizas la seguridad de las claves a especialistas, normalmente con credenciales de seguro y cumplimiento y una carga operativa menor, a costa del riesgo de contraparte (que el custodio sea hackeado, quiebre o congele tu cuenta) y la pérdida parcial de control.
• Custodia híbrida/co-custodia — tú y el custodio poseen cada uno parte de las partes de clave MPC; las partes de ninguno de los dos son suficientes para firmar por sí solos, lo que equilibra el control con la custodia profesional.

Vale la pena aclarar un malentendido aquí: MPC es solo una técnica que permite que una clave exista como partes distribuidas y elimina un punto único de fallo — por sí misma no determina la naturaleza de la custodia. Para saber qué tipo tienes realmente, observa una sola cosa: quién posee las partes de clave necesarias para alcanzar el umbral de firma.

Ni la autocustodia ni la custodia de terceros es estrictamente mejor. Muchas empresas de pagos optan por una estrategia híbrida: autocustodiando billeteras calientes para mayor rapidez, y usando custodia de terceros o co-custodia para grandes reservas.

La arquitectura de billetera de tres niveles

También es fácil confundir la temperatura de una billetera (caliente / templada / fría) con su modelo de autorización (MPC / multifirma) — pero son dos dimensiones independientes. La temperatura decide si la billetera está en línea y con qué rapidez pueden moverse los fondos; el modelo de autorización decide cuántas partes necesitan firmar. La práctica de la industria combina ambas en una estructura de tres niveles:

Aparte del almacenamiento de claves, hay una pregunta relacionada: ¿cómo gestionas las direcciones de recepción? Las billeteras HD (Deterministas Jerárquicas) resuelven esto generando una dirección única por recepción, manteniendo los fondos aislados para evitar la contaminación cruzada — lo que importa para el control de riesgos KYT y el rastreo de fondos. Profundizamos en cómo encajan la derivación HD, la autocustodia, MPC y la multifirma en crypto payment key management.

3. La Capa de Rampa de Entrada / Salida

La capa de rampa de entrada/salida es el puente entre las finanzas tradicionales y el mundo on-chain.

• Rampa de entrada (fiat → stablecoin) — un usuario paga en fiat mediante transferencia bancaria o tarjeta, pasa el KYC, y luego el emisor acuña o el usuario compra la stablecoin a través de un exchange.
• Rampa de salida (stablecoin → fiat) — la stablecoin se quema o se vende a través de un exchange, y el fiat se paga al usuario a través de un banco.

Hay tres canales de rampa comunes, cada uno con un costo y una barrera diferente:

• Acuñación/quema directa del emisor — costo más bajo, ya que la acuñación y el canje son generalmente gratuitos o casi gratuitos con las comisiones de transferencia bancaria como gasto principal, pero normalmente requiere estatus institucional y credenciales de cumplimiento.
• Depósitos y retiros en exchanges — barrera baja y amplia cobertura de monedas, pero costo más alto (la tarjeta es el canal más caro, la transferencia bancaria más económica), e introduce el riesgo de contraparte y congelamiento del exchange.
• Mesas OTC — para conversiones grandes de nivel institucional, con precio por cotización negociada con márgenes establecidos por el tamaño de la operación y la liquidez, generalmente más ajustados que los canales minoristas para grandes montos. Las mesas OTC operan 24/7, admiten transferencias wire/SWIFT y liquidan el mismo día, lo que las convierte en la herramienta principal para rampas de gran tamaño.

Aquí está la clave: las patas on-chain y fiat de una rampa funcionan con relojes diferentes. La liquidación on-chain puede ser de nivel de minutos, pero la pata fiat sigue sujeta a los horarios de operación y cortes de SWIFT, SEPA y la compensación local — por lo que la velocidad real de una rampa la determina la pata fiat más lenta, no la más rápida. En cuanto al cumplimiento, la rampa es la puerta clave para KYC/KYB, el escrutinio de sanciones y la revisión del origen de los fondos, todo lo cual debe ocurrir antes de que se liberen los fondos. Los recorridos de pago entrante y saliente más adelante rastrean los puntos de control de escrutinio dentro de cada flujo.

4. La Capa de Lógica de Negocio

La capa de lógica de negocio envuelve las capacidades subyacentes en un producto de pago real. Sus componentes principales:

• Motor de enrutamiento de pagos — elige automáticamente la ruta óptima según la moneda, la cadena, el monto y el precio del gas.
• Motor de FX — cotizaciones en tiempo real, control de deslizamiento, ventanas de bloqueo de precio.
• Facturación y gestión de órdenes — creación de solicitudes de pago, seguimiento de estado, gestión de tiempos de espera.
• Reconciliación y liquidación — coincidencia automática de transacciones on-chain con órdenes de negocio, con manejo de discrepancias.

Si tu empresa hace algo más que procesar una transacción — si custodias y mantienes saldos de clientes, asumiendo algunas funciones similares a las bancarias — esta capa también necesita controles de aprobación de retiros. Los retiros de clientes pasan por aprobación de riesgos, límites y revisión multipersona; los fondos de los clientes están segregados de tus propios fondos operativos; y la solvencia se garantiza en todo momento, lo que significa que siempre hay una reserva equivalente a lo que los clientes pueden retirar. Eso es tanto una práctica de control de riesgos como, en la mayoría de los países y regiones, un requisito de cumplimiento para mantener fondos de clientes.

5. La Capa de Cumplimiento Normativo

La capa de cumplimiento normativo atraviesa cada transacción, interceptando en tiempo real mientras ocurre una transacción en lugar de revisarla después. Sus capacidades incluyen KYC/KYB (incorporación de clientes), KYT (monitoreo de transacciones en tiempo real), escrutinio de sanciones y SAR (reporte de actividades sospechosas). Explicamos cómo funcionan realmente esas capacidades — y el riesgo de congelamiento de stablecoins que las acompaña — en on-chain compliance for crypto payments.

6. La Capa de Aplicación

La capa de aplicación es la interfaz para los usuarios finales y los comerciantes: SDKs para comerciantes, páginas de pago, consolas de administración y pasarelas de API. Hay dos modelos de implementación aquí — solo software, donde la empresa integra bancos y nodos on-chain por sí misma, y rieles integrados, donde una plataforma proporciona un servicio todo en uno.

El Flujo de Pago Entrante: Desde la Solicitud de Pago hasta la Liquidación

Con las capas en su lugar, así es como el dinero se mueve realmente a través de ellas. Un flujo completo de recepción de stablecoins funciona así:

1. El comerciante crea una solicitud de pago mediante API.
2. El sistema genera una dirección derivada por HD — una dirección única por recepción.
3. El usuario transfiere stablecoin a esa dirección.
4. El sistema monitorea on-chain y espera de 3 a 6 confirmaciones de bloque (protección contra doble gasto).
5. La puntuación de riesgo KYT evalúa el riesgo de la dirección remitente y su trayectoria.
6. Una vez que el riesgo queda despejado, se acredita el pago.
7. Barrido: los fondos dispersos en las direcciones derivadas se recopilan en una billetera de recolección, luego se asignan al grupo operativo (caliente) o de reserva (frío) según la política.
8. Opcional: los fondos se convierten automáticamente y se liquidan en fiat u otra moneda.
9. Se notifica al comerciante mediante webhook.

Cada uno de esos pasos es un punto de control de seguridad por derecho propio: el número de confirmaciones es el parámetro clave contra los dobles gastos, la puntuación de riesgo KYT decide si se aceptan los fondos entrantes, y el barrido decide en qué estado de riesgo ingresan esos fondos al pool principal.

Si deseas examinar lo que hizo una transacción on-chain específica antes de que se acredite o se barra, una herramienta como Phalcon Explorer te permite profundizar directamente en los detalles de la transacción.

El Paso de Barrido Es Fácil de Hacer Mal

Este paso es fácil de pasar por alto pero importante. Cada recepción llega a una dirección derivada separada, y el dinero no se consolida solo — hay que barrirlo activamente hacia una billetera de recolección. Hay dos cosas que hacer bien aquí.

Primero, re-verificar antes de barrer. Aunque los fondos entrantes ya pasaron el KYT al momento de acreditarse, el barrido es la puerta por la que los fondos ingresan al pool principal, y los fondos de alto riesgo son difíciles de aislar una vez mezclados — así que confirma nuevamente antes de que entren.

Segundo, gestión del gas. Una dirección derivada generalmente solo contiene stablecoin y ningún token nativo para gas, por lo que el barrido necesita una estación de gas o un mecanismo de patrocinio de comisiones para recargar el gas — de lo contrario, los fondos quedan atrapados en la dirección derivada.

El Flujo de Pago Saliente: Por Qué Enviar Es Más Arriesgado Que Recibir

Enviar es más arriesgado que recibir, porque los fondos son irreversibles una vez que salen on-chain. Un flujo completo de pago saliente funciona así:

1. Se envía una solicitud de pago por lotes.
2. Escrutinio de sanciones del destinatario (KYA).
3. Verificación KYT de la transacción.
4. Por encima de un umbral, esto activa la aprobación multipersona.
5. Firma MPC (o multifirma).
6. La transacción se transmite on-chain.
7. El estado se actualiza tras la confirmación on-chain.
8. Se notifica al solicitante mediante webhook.

Controles Clave Antes de Que Salgan los Fondos

Los controles clave aquí incluyen límites de tasa (topes diarios y por transacción), listas blancas (pagos solo a direcciones preaprobadas) y aprobación multipersona (las transacciones grandes necesitan que varios firmantes confirmen).

El objetivo de estos controles no es ninguno de ellos por separado — es que juntos establecen varias líneas de defensa antes de que salgan los fondos, de modo que incluso si un empleado interno se ve comprometido o un sistema es vulnerado, la pérdida quede contenida.

Varios de estos controles, como la aprobación multipersona y la firma MPC, forman parte de las prácticas más amplias que un sistema de pagos necesita en torno a su entorno de firma — los cubrimos en key management and signing infrastructure.

Uniendo las Seis Capas

Si alineamos las seis capas — base de blockchain y stablecoin, billetera y custodia, rampa de entrada/salida, lógica de negocio, cumplimiento normativo y aplicación — emerge un patrón: cada capa tiene su propia responsabilidad y su propio límite de seguridad. Los dos flujos de dinero luego atraviesan las seis, lo que explica por qué un punto de control faltante en cualquiera de los flujos aparece como una brecha en una capa específica en lugar de un vago "riesgo de pago". Confundir una capa con otra (un modelo de custodia con un modelo de autorización, la velocidad on-chain de una rampa con su velocidad real de extremo a extremo) es donde tienden a abrirse las brechas. Para un recorrido más detallado de cómo estos límites se traducen en controles reales, descarga el manual empresarial completo (PDF).

Preguntas Frecuentes

¿Cuáles son las seis capas de una arquitectura de pagos con criptomonedas? La base de blockchain y stablecoin, la capa de billetera y custodia, la capa de rampa de entrada/salida, la capa de lógica de negocio, la capa de cumplimiento normativo y la capa de aplicación. Cada una tiene su propia responsabilidad y límite de seguridad.

¿Cuál es la diferencia entre la autocustodia y la custodia de terceros en la capa de custodia? En la autocustodia, las claves necesarias para alcanzar el umbral de firma están completamente en tus manos, por lo que ninguna parte externa puede mover fondos por sí sola — pero tú asumes toda la responsabilidad de seguridad. En la custodia de terceros, un custodio con licencia posee las claves y tú operas mediante cuentas y APIs, cediendo algo de control a cambio de seguridad profesional de las claves, generalmente con seguro y credenciales de cumplimiento.

¿La firma MPC hace que una billetera sea de autocustodia? No por sí sola. MPC es una técnica para dividir una clave en partes distribuidas y eliminar un punto único de fallo — no determina la custodia. Lo que determina la custodia es quién posee las partes de clave necesarias para alcanzar el umbral de firma: completamente la empresa, completamente un custodio, o dividido entre ambos.

¿Por qué una rampa de entrada o salida puede tardar más que la liquidación on-chain? Porque las patas on-chain y fiat funcionan con relojes diferentes. La liquidación on-chain puede ser de nivel de minutos, pero la pata fiat sigue sujeta a los horarios de operación y cortes de SWIFT, SEPA y la compensación local, por lo que la velocidad real de una rampa la determina la pata fiat más lenta, no la blockchain.

¿Por qué un flujo de pago saliente con criptomonedas es más arriesgado que un flujo entrante? Porque los fondos son irreversibles una vez que salen on-chain, un flujo de pago saliente ejecuta sus verificaciones — escrutinio de sanciones KYA, KYT, aprobación y firma — antes de que se transmita la transacción.

¿Por qué el paso de barrido necesita re-verificación si los fondos ya pasaron el KYT? Porque el barrido es la puerta por la que los fondos pasan de una dirección derivada aislada al pool principal, y los fondos de alto riesgo son difíciles de aislar una vez mezclados — por lo que confirmar el riesgo antes del barrido, no solo al momento de acreditar, cierra esa brecha.

¿Qué sucede si una dirección derivada no tiene gas para completar el barrido? Los fondos en stablecoin quedan atrapados en esa dirección derivada, por lo que el paso de barrido necesita una estación de gas o un mecanismo de patrocinio de comisiones para recargar el gas antes de que el barrido pueda ejecutarse.