Un VASP es una empresa que presta servicios de activos virtuales para otros, como intercambio, transferencias, custodia o administración y servicios financieros relacionados con la oferta o venta de un emisor. Exchanges, servicios de pago y custodios son ejemplos habituales. Las obligaciones de autorización y AML dependen de las actividades y la ley aplicable: diligencia del cliente, monitorización, registros, informes y la regla de viaje donde esté implementada. Este hub representa cada capa y enlaza la guía que profundiza en ella.
La página se lee en el orden en que la mayoría de equipos encuentra el problema. Primero, qué significa el término y por qué les importa ahora a los reguladores. Después, la licencia que legaliza el negocio, los controles preparados durante la solicitud y mantenidos durante la operación, la regla de viaje en un párrafo y el trabajo de monitorización que consume la mayor parte de la semana. Una tabla de navegación al final enumera todas las guías de la familia y las familias vecinas de este sitio que cubren trabajos relacionados.
Qué es un VASP
Actividades habituales en los marcos VASP
VASP significa proveedor de servicios de activos virtuales. El término procede del Grupo de Acción Financiera Internacional, cuyos estándares moldean los marcos AML nacionales. Las actividades habituales incluyen intercambio entre activos virtuales y fiat, intercambio entre activos virtuales, transferencias, custodia o administración y servicios financieros relacionados con la oferta o venta de un emisor. La definición publicada por el Banco Central de Irlanda enumera estas cinco categorías; la ley aplicable determina si una empresa concreta entra en su alcance.
La prueba es qué haces, no cómo te llamas. Una plataforma que permite cambiar bitcoin por euros está intercambiando. Un servicio de pago que mueve stablecoins entre comprador y vendedor está transfiriendo. Un custodio que conserva claves para clientes está custodiando. Si realizas cualquiera como negocio, eres un VASP a efectos regulatorios, por lo que tantas empresas distintas despertaron bajo la misma normativa.
Conviene nombrar lo que no cubre la denominación: alguien que negocia fondos propios o un proveedor de software puro sin contacto con activos de clientes. La línea puede estrecharse en algunas estructuras descentralizadas, y los casos fronterizos son precisamente los que merecen leer la fuente de la definición.
VASP y CASP: marcos relacionados pero distintos
En la Unión Europea, MiCA, el reglamento de mercados de criptoactivos, utiliza proveedor de servicios de criptoactivos, o CASP, para gran parte del mismo conjunto de empresas. VASP es la palabra del estándar internacional; CASP es la palabra jurídica de la UE para su propio sistema de licencias. Un exchange de Fráncfort es VASP cuando los reguladores hablan globalmente y CASP en sus documentos de licencia.
Este hub usa VASP para la discusión internacional de AML. Los alcances VASP y CASP se solapan, pero MiCA define sus propios servicios, reglas de autorización y obligaciones; los términos no son intercambiables en una evaluación jurídica. La guía de definición siguiente explica la comparación.
Por qué los VASP están ahora fuertemente regulados
Una empresa cripto con licencia ya no es una novedad que los reguladores intentan determinar cómo tratar. Dos fuerzas movieron el mínimo. En la Unión Europea, MiCA convirtió registros nacionales dispersos en un sistema de autorización con verdadera capacidad supervisora. Globalmente, los estándares del GAFI, incluida la regla de viaje y su revisión de implementación de 2025, esperan que cada jurisdicción supervise VASP como se supervisa a bancos, y el GAFI califica a los países que no lo hacen.
En la práctica, el cumplimiento dejó de ser un diferenciador y se convirtió en el billete de entrada. Una empresa incapaz de mostrar licencia, programa AML escrito y registros de monitorización no es una versión más pequeña de una conforme. Es un operador ilegal en la mayoría de jurisdicciones, y las acciones de los últimos años la han tratado así.
El mínimo de cumplimiento se movió
Se movió en una dirección específica que conviene entender porque moldea cada página de esta familia. Los reguladores dejaron de preguntar si compruebas clientes y empezaron a preguntar cómo analizas una dirección de depósito. Preguntan cómo explicas una puntuación de riesgo a un examinador y cómo atiendes una alerta a las dos de la mañana. La orientación de activos virtuales mantenida por el GAFI expresa esas expectativas con la mayor claridad.
De dónde procede el término
El GAFI revisó sus estándares en octubre de 2018 y junio de 2019 y publicó orientación sobre activos virtuales en junio de 2019, como recoge la cronología oficial del Consejo de Estabilidad Financiera. El tratamiento y la implementación nacionales variaban; algunas jurisdicciones ya aplicaban obligaciones AML antes de esas actualizaciones. Los cambios aclararon el marco internacional, no crearon toda la regulación desde cero.
La capa de licencias
La licencia es la puerta por la que pasa todo lo demás. Donde se exige autorización, operar sin ella puede generar actuaciones y sanciones; la ley aplicable determina requisitos y consecuencias. Las vías difieren: la UE aplica una autorización CASP única con pasaporte entre Estados miembros; otras jurisdicciones tienen sistemas nacionales con sus propias exigencias de capital, personal y presencia local.
Elegir dónde solicitar es una decisión empresarial antes de jurídica. Qué mercados abre la licencia, qué pide la solicitud, cuánto dura la revisión y cómo son los costes continuos. La guía de licencia y registro VASP recorre la decisión, los documentos y la vía de Lituania que evalúan muchos solicitantes.
Una licencia, muchas normativas
Una sorpresa habitual del primer solicitante: la licencia es el comienzo de la supervisión, no su final. La autorización trae deberes continuos, plazos de informes y exámenes. Los equipos que la tratan como meta suelen llegar sin preparación al primer examen.
Empieza por tu jurisdicción
El primer paso práctico es situar dónde están tus clientes, porque eso decide ante qué regulador respondes y qué normativa deben satisfacer tus políticas. La guía siguiente también empieza ahí.
La capa de deberes
Los controles aplicables deben prepararse antes o durante la solicitud de autorización y mantenerse tras aprobarse. El marco del GAFI abarca diligencia del cliente, monitorización continua, registros, comunicación de actividad sospechosa y requisitos de información de transferencias. Los deberes concretos, umbrales y fechas de implementación dependen de la legislación local.
La lista es corta. El trabajo no, y se reparte de forma desigual. KYC pesa al incorporar y es ligero después. Monitorizar es lo contrario: semanas tranquilas y después una cola que consume el día. Los examinadores indagan en los cinco, pero las preguntas que separan preparados de sorprendidos se agrupan en monitorización y registros: qué viste, qué hiciste al respecto y puedes mostrármelo.
La guía AML para VASP cubre todo el conjunto y dónde van realmente las horas. Sobre si el análisis de transacciones es en sí una obligación legal para VASP, la pieza breve si KYT es obligatorio responde directamente. Y para la pregunta que suele seguir, qué herramientas soportan qué deber, la preselección de herramientas de cumplimiento VASP evalúa opciones frente al propio conjunto de deberes.
Cinco áreas del marco de cumplimiento
Estas cinco áreas ofrecen un marco útil entre jurisdicciones, pero no pasan a ser legalmente aplicables en todas al mismo tiempo. La implementación local determina alcance, fechas y medidas exigidas. Organizar la guía por deberes ayuda a mapear controles sin tratar los estándares internacionales como una sola ley global.
Dónde sienten presión los equipos
Dos puntos de presión aparecen en casi todos los relatos de equipos de cumplimiento: colas dominadas por falsos positivos y preguntas de examen sobre cómo se derivaron las puntuaciones. Ambos tienen tratamiento propio en esta familia, en la guía de monitorización y el manual de falsos positivos.
La regla de viaje en un párrafo
La regla de viaje es la Recomendación 16 del GAFI: cuando un VASP envía una transferencia de activos virtuales a otro, debe recopilar y transmitir información del ordenante y beneficiario. Nombre, cuenta y más, mantenidos disponibles. El objetivo es impedir que las transferencias cripto sean giros anónimos. La regla completa, qué debe viajar exactamente, los umbrales y por qué la implementación transfronteriza es realmente difícil se tratan en la guía de regla de viaje.
Un tema vecino que no forma parte de esta familia: el análisis de listas de sanciones, el lado OFAC del cumplimiento, es una materia propia con tratamiento propio en otras partes del sitio.
Qué pide R.16 que transmitas
El paquete de información suena simple y lo es: quién lo envió, desde qué cuenta, quién lo recibe y a qué cuenta. La dificultad nunca son los campos. Es localizar al VASP contraparte, intercambiar datos en un formato que ambos lean y gestionar casos en los que la otra parte es un monedero autocustodiado y no una firma regulada. A esos límites dedica sus páginas la guía.
Monitorización: dónde se concentra el trabajo
Si los deberes son una lista de puestos, la monitorización es el de jornada completa. El análisis se ejecuta al incorporar y en cada depósito y retirada; la monitorización observa el comportamiento entre medias y después porque el riesgo de una dirección cambia con nueva actividad. Un cliente que superó todas las comprobaciones al incorporarse puede recibir fondos contaminados un mes después, y el programa es quien lo detecta.
A diario, monitorizar significa una cola: señales de riesgo generan alertas, una persona las clasifica y se cierran con motivo o se escalan. Cómo integrar comprobaciones en depósitos y retiradas, qué significan las señales y cómo atender la cola sin ahogarse son materia de la guía de monitorización de transacciones. También explica cómo dejar registros aceptables para un examinador. Es la página más operativa de esta familia.
La familia de análisis de monederos vecina cubre la misma disciplina desde el lado de autocustodia y firma del riesgo de monedero, para equipos cuya exposición es lo que firman sus usuarios y no lo que enrutan.
La monitorización es la carga diaria
Conviene fijar expectativas honestas: la monitorización es donde va el personal de cumplimiento. La cola nunca termina; se renueva. Los equipos que presupuestan esa realidad diseñan pronto clasificación y enrutamiento, y la guía de falsos positivos existe porque ese único problema decide si la cola es control o cuello de botella.
Familias adyacentes de este sitio
Dos vecinas tratan problemas relacionados. La familia KYT profundiza en flujos de análisis e integración API. La familia AML mantiene la biblioteca más amplia contra el blanqueo, desde explicabilidad de puntuaciones hasta selección para pequeños VASP. Y una nota de límite: ataques de ordenamiento de transacciones y MEV son riesgo de mercado, no de cumplimiento, y están fuera de este hub.
Phalcon Compliance
En herramientas, la línea de cumplimiento de este sitio es Phalcon Compliance: análisis de direcciones y transacciones mediante las capacidades KYA y KYT. La biblioteca cubre más de 600 millones de direcciones etiquetadas, mantenidas continuamente, con más de 200 señales de riesgo en 17 categorías de indicadores de riesgo (según BlockSec). Las respuestas API regresan en menos de 100 milisegundos, lo que necesita un flujo de depósitos en picos.
Las dos capacidades de análisis reparten el trabajo. KYA analiza direcciones al incorporar y revisar depósitos; KYT analiza transacciones. Los resultados y registros de auditoría apoyan una trazabilidad onchain coherente, con cinco niveles: Sin riesgo, Bajo, Medio, Alto y Crítico. Los motores admiten reglas de riesgo para 27+ jurisdicciones (según BlockSec), separadas de la cobertura de plantillas de informes. Los borradores STR están disponibles actualmente para Hong Kong y Singapur; la institución los revisa, determina si procede informar y los presenta conforme a las reglas aplicables.
Qué cubre el motor
Phalcon Compliance apoya las partes onchain de un flujo de cumplimiento más amplio: análisis de direcciones y transacciones, alertas de monitorización, registros de auditoría, exportaciones y borradores STR. Estas funciones ayudan a reunir evidencia de análisis; no completan el KYC de identidad, el programa AML de la institución ni sus obligaciones de comunicación. La institución aporta la evidencia necesaria de identidad, revisión y aprobación.
Cómo están estructurados los precios
Los precios empiezan con nivel gratuito: registrarse en BlockSec da tres comprobaciones gratuitas de riesgo mensuales. Después pueden comprarse créditos a demanda o pasar a suscripción mensual cuando el análisis se vuelve rutinario. La API está en Scale y Enterprise, y conviene confirmar esa barrera antes de cualquier integración.
Límites honestos
Tres límites pertenecen a una descripción honesta. El análisis reduce riesgo, no lo elimina, y un resultado limpio hoy habla de hoy. La herramienta da valoraciones y evidencia; decisiones y política escrita siguen siendo trabajo del operador. Y comprobar documentos de identidad, KYC estricto, no es lo que hace el motor; analiza direcciones y transacciones y espera que la identidad opere en paralelo. Los detalles completos están en la página de Phalcon Compliance.
Explora la familia VASP
Cada guía siguiente ocupa una posición en el mapa anterior.
Entre familias, para trabajos relacionados: AML tiene guías de selección y puntuación, incluidos precios para pequeños VASP. KYT tiene estudios de monitorización y necesidad y tutoriales API. Análisis de monederos cubre el riesgo desde la firma.
Dónde empiezas depende de tu día. Si defines estatus, empieza por definición. Si solicitas, por licencia. Si ya tienes licencia y dotas la función de cumplimiento, por AML para VASP y monitorización.
