Desde que la UE aprobó su 20.º paquete de sanciones contra Rusia, que impone una prohibición total de las operaciones con criptomonedas con proveedores de servicios de criptoactivos registrados en Rusia, el cumplimiento normativo en cripto se enfrenta a una pregunta difícil: ¿qué se considera exactamente un servicio «vinculado a Rusia»?
El paquete de sanciones no contiene una lista clara de indicios que conviertan automáticamente a una plataforma en infractora. Algunas plataformas han aprovechado esa indefinición para adaptarse, no renunciando a los servicios para los usuarios rusos, sino cambiando a quién se los muestran exactamente.
Eso es lo que ocurrió con una criptoplataforma vinculada a Rusia que antes se seguía como exchange sin licencia. Una simple comprobación de rutina previa a su reclasificación como sujeta a restricciones sancionadoras reveló una situación más compleja que la mera eliminación de los servicios rusos: la plataforma había cambiado el conjunto de usuarios capaces de verlos.
Para los usuarios corrientes, los rublos, el SBP y otras opciones relacionadas con Rusia desaparecieron de la web pública, pero las pruebas posteriores mostraron que esos servicios seguían disponibles para usuarios verificados con número de teléfono y pasaporte rusos. En lugar de eliminar los servicios, la plataforma los había colocado de hecho detrás de una barrera de identidad.
¿Qué se detectó en la criptoplataforma vinculada a Rusia?
Cuando se revisó la plataforma por primera vez, su web anunciaba abiertamente todo un conjunto de servicios orientados a Rusia:
- Ingresos a través del SBP ruso: depósitos y retiradas en rublos mediante el Sistema de Pagos Rápidos, la infraestructura interna de pagos instantáneos de Rusia. Como fuentes de transferencia se admitían 195 bancos rusos, entre ellos varios sancionados por la UE, EE. UU. o el Reino Unido: Sberbank, Gazprombank, VTB, Alfa-Bank, PSB, Sovcombank, Rosselkhozbank, Novikombank, Evrofinance Mosnarbank y Moscow Credit Bank.
- Recargas de teléfonos móviles de los operadores rusos MTS, Tele2, Yota, MegaFon y Beeline.
- Retirada de efectivo en 24 países europeos, así como transferencias SEPA y SWIFT en euros y dólares estadounidenses.
En la siguiente comprobación, las páginas «Send» y «Top-up» de la web estaban considerablemente simplificadas y solo contenían opciones de criptomonedas. El SBP, los rublos, los operadores móviles rusos y las menciones a bancos rusos habían desaparecido. Sobre el papel, parecía una plataforma que había eliminado por completo su vínculo con el mercado ruso.
Sin embargo, el bot de Telegram de la plataforma contaba una historia muy distinta. Al recorrer sus propios menús «Top-up» y «Send», la opción del SBP seguía funcionando y abría una lista de bancos en la que continuaban Raiffeisen, Tinkoff, Alfa-Bank, Sberbank, Gazprombank y PSB, con los importes todavía en rublos. En la sección «Send» también seguía existiendo la posibilidad de recargar cuentas de operadores móviles, cuya lista se mostraba en alfabeto cirílico: МТС, Tele2, Yota, MegaFon y Beeline. Un mensaje publicitario dentro del mismo bot, en ruso, ofrecía una tarjeta virtual Mastercard «para pagar servicios y suscripciones extranjeros».
Dicho de otro modo, la web pública, cuidadosamente depurada, quedó libre de servicios rusos. El bot de Telegram, más difícil de indexar, de archivar de forma masiva y de revisar dentro de un análisis de cumplimiento habitual, siguió funcionando prácticamente igual que antes.
¿Cómo restringió la plataforma vinculada a Rusia los servicios en rublos por ciudadanía?
El esquema siguió cambiando. En una publicación de Telegram de marzo de 2026, la plataforma comunicó a los usuarios:
La restricción entró en vigor en junio de 2026: cuando los especialistas revisaron la web el 24 de junio de 2026, los servicios en rublos seguían activos. El 1 de septiembre de 2026 se volvió a revisar la web y se comprobó que la integración con el rublo había desaparecido. Lo confirmó directamente el propio servicio de atención al cliente de la plataforma, que indicó:
Al mismo tiempo, la plataforma volvió a modificar la estructura de la web. Un visitante corriente ya no podía simplemente abrir el menú de servicios y ver la lista completa de lo que ofrece la plataforma, lo que cerró de hecho la visión no autenticada en la que suelen apoyarse los analistas de cumplimiento y los periodistas.
Esto se diferencia sustancialmente del mecanismo descrito antes. Ahora, en la web de la plataforma, los servicios relacionados con el rublo están ocultos tras una comprobación del número de teléfono y el pasaporte rusos. Eso significa que un visitante corriente no verá las opciones de SBP, OpenBank o ingreso en rublos si no cumple esos requisitos.
El bot de Telegram, en cambio, parece funcionar de otro modo: durante la revisión, el SBP y otros servicios orientados a Rusia seguían mostrándose sin una restricción análoga basada en la identidad del usuario. En la práctica esto crea dos modelos de acceso distintos: la web muestra esos servicios de forma selectiva a usuarios rusos verificados, mientras que el bot de Telegram sigue dando acceso a ellos por un canal menos restringido. Los servicios en sí no han desaparecido: su visibilidad depende de dónde y cómo se dirija el usuario a la plataforma.
¿Por qué esto es importante para el cumplimiento en cripto?
Sería fácil interpretar lo ocurrido como un intento corriente de la plataforma de adecuar su marketing a los nuevos requisitos. Sin embargo, lo que sucede se parece más a una plataforma que entiende dónde exactamente la buscan los equipos de cumplimiento y los especialistas en analítica blockchain, y dónde no suelen buscarla.
Los sitios web son el escenario estándar de las comprobaciones OSINT y de cumplimiento, porque es fácil revisarlos, hacerles capturas y citarlos en un informe. Los bots de Telegram son transaccionales y mutables por naturaleza; para revisarlos hay que recorrer realmente todo el escenario de interacción, no basta con abrir una página. Si una plataforma quiere seguir prestando un servicio que está al borde de las restricciones sancionadoras y a la vez ser menos visible para los reguladores, los medios y el procedimiento habitual de diligencia debida, trasladar ese servicio a una interfaz de chat es una forma racional de conseguirlo. No hace falta cerrar nada. Basta con entender que la mayoría de los revisores no irán más allá de la web pública.
El paso posterior de la plataforma vinculada a Rusia lleva esa lógica aún más lejos: ya no cuenta con que el revisor no busque el servicio en el bot. Cuenta con que el propio revisor no sea el cliente al que ese servicio está destinado.
Es un problema antiguo que aparece en un lugar nuevo: el sector del cumplimiento se ha acostumbrado en general a considerar la web de una plataforma su fuente de información principal y más fiable. Esa premisa empieza ahora a parecer obsoleta.
¿Necesitan los equipos de cumplimiento un único indicio inequívoco para marcar una plataforma como vinculada a Rusia?
Ningún indicio aislado demuestra que una plataforma esté vinculada a Rusia. Pero cuando hay suficientes indicios que apuntan en la misma dirección, su propio conjunto se convierte en prueba, sobre todo si la plataforma está construida a propósito para evitar que aparezca un único hecho descalificador evidente.
Este principio guarda relación directa con el caso analizado. El 20.º paquete de sanciones de la UE no ofrece a los equipos de cumplimiento una lista clara de criterios para determinar cuándo debe considerarse que un criptoservicio está vinculado a Rusia. Prohíbe las operaciones con proveedores de servicios de criptoactivos registrados en Rusia, pero deja sin respuesta unívoca las cuestiones más complejas, sobre todo respecto de plataformas registradas en otros países que siguen atendiendo a usuarios rusos mediante sistemas de pago internos.
Esa indefinición, sin embargo, no debe llevar a una postura de espera. Si una plataforma admite ingresos en rublos a través de un sistema de pagos interno ruso, integra una lista de bancos rusos concretos, algunos de ellos ya bajo sanciones directas, orienta su marketing a usuarios rusoparlantes y ofrece recargas de operadores móviles rusos como servicio principal, el conjunto de esos indicios es en sí mismo una prueba. Una plataforma así parece un servicio financiero orientado a Rusia porque de hecho lo es, con independencia del país en el que la empresa esté formalmente registrada.
Es evidente que se trata de un juicio valorativo y que puede generar controversia. La decisión de marcar una plataforma a partir de un conjunto de indicios de comportamiento, en lugar de esperar a su inclusión oficial en la lista de sanciones, tiene consecuencias reales. Pero el enfoque alternativo - examinar cada indicio por separado y esperar a un único hecho descalificador absolutamente inequívoco - significa que el cumplimiento siempre reaccionará a la elusión de sanciones cuando el dinero ya se haya movido.
Tras realizarse este análisis, el 21.º paquete de sanciones de la UE contra Rusia, aprobado en julio de 2026, avanzó en la misma dirección. Extendió la prohibición de operaciones a 14 plataformas relacionadas con criptomonedas en seis jurisdicciones - Georgia, Panamá, los EAU, las Islas Marshall, Kirguistán y Bielorrusia - e introdujo un nuevo mecanismo que permite a la UE bloquear cualquier operación entre un operador de la UE y un criptoproveedor utilizado por Rusia, sea cual sea el lugar de registro de ese proveedor. Este mecanismo no elimina directamente la indefinición del 20.º paquete, pero confirma la dirección general: la aplicación de la norma avanza hacia un estándar basado en un conjunto de indicios de comportamiento, no en sentido contrario.
¿Qué muestra el análisis de la blockchain?
No se trata simplemente de una discrepancia entre la información de la web y la actividad real. El análisis de las operaciones en blockchain de la plataforma vinculada a Rusia entre el 1 de marzo y el 1 de septiembre de 2026 muestra:
- $94,695,752 recibidos / $96,468,298 enviados;
- $9,329,612 en fondos relacionados con categorías de riesgo elevado, el 4.9% del volumen conjunto;
- las mayores categorías de riesgo elevado: juegos de azar ($6,748,999 recibidos / $142,587 enviados) y contrapartes relacionadas con servicios ilícitos ($88,231 recibidos / $1,118,273 enviados).
Una plataforma por la que pasa casi $200M de facturación conjunta, con una parte significativa vinculada a categorías de riesgo elevado, y que al mismo tiempo gestiona activamente quién puede acceder a sus servicios en rublos y por SBP, no es un caso marginal. Es una ilustración clara de por qué los modelos de cumplimiento basados exclusivamente en revisar una web ya no bastan.
¿Cómo pueden los equipos de cumplimiento cerrar esta brecha?
Este caso apunta a un problema estructural, no a un episodio aislado. Las plataformas son cada vez más sofisticadas a la hora de repartir el riesgo entre canales públicos y cerrados, de modo que la metodología de cumplimiento debe adaptarse. Se puede empezar por lo siguiente:
- 1. Considerar cada canal parte de la plataforma, no solo la webLos bots de Telegram, las aplicaciones integradas, los catálogos de WhatsApp y las aplicaciones móviles forman funcionalmente parte de la infraestructura de producto de la plataforma y deben revisarse con el mismo rigor que su web. Hay que recorrerlos paso a paso, no simplemente ojearlos.
- 2. Archivar de forma continua, no hacer una comprobación puntualUna única instantánea tomada en el alta de la plataforma o en la revisión inicial puede seguir siendo válida solo unos días, como muestra este caso. Un OSINT eficaz para esta categoría de riesgos implica volver a revisar periódicamente la misma plataforma a través de distintos canales y conservar cada versión, no solo la más reciente.
- 3. Registrar pruebas que no puedan borrarse sin dejar rastroLas capturas con fecha y hora visibles, las copias archivadas de las páginas - por ejemplo a través de Wayback Machine, si la plataforma está indexada allí - y las grabaciones de sesión para escenarios interactivos como bots y aplicaciones tienen gran importancia. Las plataformas que depuran su web pueden contar con que la versión de ayer ya no esté al alcance de quien realiza la comprobación hoy. Los sistemas de analítica blockchain deben ser capaces de aportar pruebas de respaldo sobre el estatus sancionador.
- 4. Contrastar las declaraciones fuera de la blockchain con el comportamiento en la blockchainUna web depurada no cambia lo que ocurre en la blockchain. Contrastar las pruebas de los servicios anunciados con el volumen real de transacciones de la plataforma y sus contrapartes convierte una discrepancia de marketing en una conclusión fundamentada sobre el riesgo.
- 5. Desarrollar el conocimiento de tipologías, no solo el cotejo con listas de sancionesEsperar a la inclusión oficial de una plataforma en la lista de sanciones cede la iniciativa a servicios construidos a propósito para ir un paso por delante del reconocimiento formal. Un conjunto documentado de indicios sectoriales - integración RUB/SBP, canales bancarios rusos, marketing dirigido a usuarios rusos, recargas de operadores móviles rusos - es por sí mismo información operativa que exige atención.
El 20.º paquete de sanciones de la UE prohíbe las operaciones con proveedores de servicios de criptoactivos registrados en Rusia. No enumera, sin embargo, todos los indicios por los que una plataforma puede considerarse «vinculada a Rusia», lo que deja margen para que plataformas registradas en otros países sigan atendiendo a usuarios rusos mediante sistemas de pago internos.
Conclusión
La elusión de sanciones no siempre tiene el aspecto de una empresa pantalla o de una jurisdicción ficticia. A veces tiene el aspecto de una plataforma que decide discretamente qué versión de sí misma mostrar a cada público. A medida que mecanismos de control como el 20.º paquete de sanciones de la UE aumentan la presión sobre los criptoservicios orientados a Rusia, los casos de división de canales como este probablemente serán más frecuentes, y no menos. El paso de la propia plataforma vinculada a Rusia de repartir los servicios por canales a restringir el acceso según la ciudadanía verificada, en apenas unos meses, muestra lo rápido que evoluciona esta táctica. La respuesta del cumplimiento debe consistir en revisar todos los canales por los que la plataforma opera realmente, y no solo los más fáciles de revisar, además de tener en cuenta a quién permite exactamente la plataforma ver sus servicios.
