La respuesta corta: las pasarelas de pago heredan el conjunto completo de deberes AML/CFT
Una pasarela de pagos cripto no es una tubería neutral. En el momento en que un negocio convierte moneda fiat en cripto, o cripto en fiat, por cuenta de sus clientes, mueve valor y se sitúa justo en el punto que los reguladores vigilan con más atención: la rampa de entrada y salida. Bajo el enfoque basado en el riesgo del GAFI, una pasarela de pagos cripto que mueve valor por cuenta de clientes es un proveedor de servicios de activos virtuales (VASP) y hereda los mismos deberes AML/CFT que un exchange o un custodio.
El enfoque basado en el riesgo del GAFI convierte un deber abstracto en cuatro controles concretos: conocer a la otra parte, vigilar el flujo de transacciones, comunicar lo que parezca sospechoso y conservar un registro auditable de cada decisión. El resto del artículo lleva esos controles a los deberes concretos que afronta una pasarela de pagos cripto y a las funciones que los satisfacen.
Ese estatus no es un tecnicismo. La rampa de entrada y salida es el cuello de botella de la economía cripto, el sitio donde una identidad en moneda fiat se encuentra con un valor on-chain seudónimo. Es también donde los supervisores comprueban más a menudo si el programa AML de una empresa es real o solo está escrito. Una pasarela que trata el cumplimiento como algo de trastienda carga con más riesgo del que cree.
La presión está subiendo. Las actualizaciones específicas del GAFI cuentan solo 1 de 138 jurisdicciones evaluadas como plenamente conforme y un 29 % como conforme en gran medida, con un 59 % que todavía no ha implementado las medidas exigidas (actualización de julio de 2026). Una pasarela de pagos que opera entre fronteras afronta, por tanto, normas desiguales, todavía en maduración y aplicadas con creciente seriedad.
Los deberes AML que afronta una pasarela de pagos
El conjunto de deberes empieza por lo obvio: una pasarela de pagos tiene que saber por cuenta de quién mueve dinero y por dónde ha pasado ese dinero. On-chain, eso significa analizar cada dirección entrante y saliente antes de que la transacción se liquide, no después. Fuera de la cadena, significa atar cada transferencia a una identidad verificada y mantener ese vínculo auditable.
El segundo deber es la monitorización continua. Una pasarela que analiza un depósito una vez y no vuelve a mirar arrastra un punto ciego estructural, porque una dirección limpia puede volverse de riesgo en el momento en que llegan fondos nuevos. Los datos del sector sitúan la contaminación en unos 13 U de dinero ilícito por cada 10 000 U movidos.
Por eso el screening no puede detenerse en el alta. Una pasarela que comprueba una dirección solo al darla de alta está contrastando el cuadro de riesgo de ayer con el flujo de hoy, y el hueco entre los dos es exactamente por donde entran los fondos ilícitos. Screening, monitorización y reporte son tres etapas de un mismo deber, y una debilidad en cualquiera de ellas socava las otras dos.
El tercer deber es el reporte. Cuando una transacción cruza un umbral de riesgo, la pasarela tiene que presentar un informe de transacción sospechosa que un regulador pueda leer de verdad, con las evidencias subyacentes adjuntas. Una pasarela que detecta riesgo pero no puede documentarlo no ha cumplido el deber.
El hilo común de los tres es un registro. Los reguladores no preguntan solo si una pasarela encontró una transacción de riesgo: preguntan si puede demostrar, con un rastro de auditoría completo, que analizó, vigiló, escaló y comunicó en el orden correcto. Para una pasarela de pagos, ese registro es además un activo comercial, porque es lo que le permite dar de alta rápido a comercios legítimos manteniendo fuera a los de riesgo.
| Deber | Qué significa en la rampa de entrada y salida | Qué cuesta una debilidad ahí |
|---|---|---|
| Conocer a la otra parte | Analizar cada dirección entrante y saliente antes de liquidar, atada a una identidad verificada | Mover dinero por cuenta de alguien a quien nadie puede identificar |
| Vigilar de forma continua | Volver a analizar cuando llegan fondos nuevos, no solo en el alta | El cuadro de riesgo de ayer contra el flujo de hoy |
| Comunicar lo que parezca sospechoso | Presentar un informe que un regulador pueda leer, con las evidencias adjuntas | Detectar riesgo sin documentarlo no cumple el deber |
| Mantener auditable el registro | Conservar el rastro de decisiones de cada transferencia | No tener nada que enseñarle a un supervisor |
Las funciones esenciales que se requieren
Estos deberes se traducen en cuatro funciones técnicas que necesita toda pasarela de pagos cripto.
Cada capacidad se corresponde con uno de los cuatro controles y, juntas, forman la pila de cumplimiento mínima viable para una rampa de entrada y salida.
La primera son los datos de direcciones etiquetadas. El KYA construye un perfil profundo de la dirección mediante un rastreo profundo de fondos a varios saltos que cruza cadenas y entidades. Eso permite a una pasarela ver más allá de la dirección inmediata, hasta el origen de los fondos que hay detrás.
El rastreo profundo multisalto importa porque un salto oculta casi toda la historia. Una dirección que parece limpia a un salto puede estar financiada por un mezclador o un clúster sancionado dos saltos más allá, y una pasarela que no puede ver esos saltos no puede valorar bien el riesgo.
La segunda es la monitorización de transacciones. El KYT entrega una monitorización a nivel de milisegundos y empuja las alertas de riesgo por siete canales en tiempo real. El riesgo aflora en el momento en que entra en el flujo, y no días después.
La velocidad es una propiedad de cumplimiento, no solo de rendimiento. Una marca de riesgo que aterriza después de que los fondos se hayan liquidado es un hallazgo forense; una que aterriza antes de la liquidación es una intervención.
La tercera es un motor de riesgo. El motor fusiona el análisis de comportamiento con IA y más de 200 señales de riesgo para marcar el blanqueo y la actividad de alto riesgo, como las estafas de tipo «pig butchering».
Un motor de solo reglas atrapa lo que ya conoce. Un motor guiado por señales atrapa lo que no ha visto antes, y esa diferencia es la línea entre un filtro y una detección de verdad.
La cuarta es el reporte. Phalcon Compliance genera un informe de transacción sospechosa (STR) estandarizado con un clic y con un rastro de auditoría completo. Eso convierte una detección en una comunicación en lugar de en una redacción manual.
Cómo cubre Phalcon Compliance las necesidades de una pasarela de pagos
Phalcon Compliance está construida como una solución AML/CFT en tiempo real y de alto rendimiento para negocios de pagos cripto, exchanges centralizados, plataformas de comercio electrónico, redes publicitarias y aplicaciones de juego y redes sociales. Ese enfoque importa, porque una pasarela de pagos no es un exchange y necesita una capa de screening diseñada para el flujo de la rampa de entrada y salida, no readaptada desde un producto de custodia.
El flujo de una pasarela es de alta velocidad y poco contacto manual. Los depósitos y las retiradas se mueven constantemente, y la capa de cumplimiento tiene que seguir el ritmo sin forzar una revisión manual en cada transferencia, y por eso el conjunto de capacidades está construido alrededor de la velocidad y la automatización.
La plataforma analiza contra una biblioteca de etiquetas de más de 600 millones de direcciones blockchain, actualizada de forma continua. Phalcon Compliance se alinea con los estándares del GAFI y admite el reporte en varias jurisdicciones clave. La combinación de perfilado KYA, monitorización KYT y generación de STR con un clic permite a una pasarela ejecutar el conjunto completo de deberes dentro de un solo sistema en lugar de coser herramientas sueltas.
Eso es lo que hace Phalcon Compliance por los negocios de pagos cripto: convierte el conjunto de deberes del GAFI en una capa de control operativa que analiza, vigila, reporta y documenta.
Qué hacer a continuación
Empieza por contrastar el flujo actual de tu pasarela con los cuatro controles de arriba. ¿Dónde analizas hoy a la otra parte, y ocurre ese análisis antes de liquidar? ¿Dónde corre la monitorización, y reevalúa las direcciones cuando llegan fondos nuevos? ¿Dónde vive tu flujo de STR, y puede producir un informe listo para el regulador en un solo paso? El objetivo no es añadir más pasos manuales: es hacer que los cuatro controles corran automáticamente, en segundo plano, con un rastro de auditoría que sobreviva a la lectura de un supervisor.
Gestiona el riesgo de bloqueo de stablecoins con Phalcon Compliance para reunir screening, monitorización y reporte en un solo sistema. Descarga el informe técnico sobre riesgo de bloqueo en stablecoins para entender el riesgo de bloqueo al que está expuesto tu flujo de pagos.
Dos piezas acompañan a esta: por qué los negocios de pagos cripto necesitan AML explica de dónde vienen los deberes, y los pagos transfronterizos con stablecoins pone los controles sobre un corredor de liquidación.
Para el cuadro completo de normas, riesgo de bloqueo y AML en pagos con stablecoins, parte de la guía de cumplimiento de stablecoins.