Riesgo de custodia en los exchanges: qué pasa con tus monedas cuando una plataforma quiebra

Cuando compras bitcoin en un exchange y lo dejas ahí, no tienes bitcoin. Tienes una promesa. FTX, Mt. Gox, Voyager y Celsius demostraron, cada uno a su manera, lo que ocurre cuando esa promesa se rompe. Esto es lo que realmente implican los riesgos.

El problema de “no son tus claves, no son tus monedas”

Todo saldo de algo sale mal, que es precisamente cuando más importa.

En Estados Unidos, las criptomonedas depositadas en un exchange centralizado no están protegidas por el seguro de depósitos de la FDIC (que cubre depósitos bancarios hasta $250,000) ni por el seguro de la SIPC (que cubre valores en custodia de corredores). Es un reclamo sin garantía contra el exchange. Si el exchange se declara en quiebra, te conviertes en acreedor general, detrás de los acreedores garantizados y potencialmente detrás de los propios costos operativos del exchange. Los clientes de FTX que habían depositado fondos tan recientemente como en noviembre de 2022 se encontraron exactamente en esta posición.

El tratamiento legal de las criptomonedas en quiebras de exchanges todavía se está definiendo mediante litigios. Las quiebras de FTX y Celsius plantearon preguntas inéditas sobre si las criptomonedas de los clientes deben tratarse como propiedad del exchange (a distribuirse de forma prorrateada entre todos los acreedores) o como propiedad del cliente en fideicomiso (a devolverse antes que a otros acreedores). Los tribunales llegaron a respuestas distintas en diferentes casos, y la ley sigue sin resolverse en la mayoría de las jurisdicciones.

Qué puede salir mal: cuatro modos de fallo

Insolvencia. El exchange debe más de lo que posee, ya sea porque prestó fondos de clientes sin autorización (como hizo FTX), los invirtió en posiciones ilíquidas o con pérdidas (como hizo Celsius), o acumuló pérdidas operativas que superan su capital. La insolvencia puede no ser evidente hasta que una corrida de retiros la hace visible, momento en el cual ya es tarde para que la mayoría de los clientes puedan salir.

Hackeo. En 2014, Mt. Gox perdió aproximadamente 850,000 bitcoin en un robo que, según se informó, llevaba años en curso. Bitfinex perdió cerca de 120,000 bitcoin en un hackeo de 2016. Cripto.com perdió $34 millones en un ataque de 2022. A pesar de las mejoras de seguridad significativas en toda la industria, los exchanges siguen siendo blancos porque un ataque exitoso puede mover un valor enorme de forma instantánea e irreversible. Las hot wallets, conectadas a internet para la liquidez operativa, son la principal superficie de ataque.

Cierre regulatorio. Un regulador puede obligar a un exchange a congelar retiros o cesar operaciones. Los fundadores de BitMEX fueron acusados por el Departamento de Justicia de EE. UU. en 2020; el exchange continuó operando, pero se excluyó a los usuarios estadounidenses. BtcTurk, un exchange turco, tuvo que lidiar con órdenes de bloqueo gubernamentales. El cierre regulatorio se diferencia de la insolvencia en que los activos pueden seguir existiendo, pero el acceso a ellos queda bloqueado por un proceso legal en lugar de por falta de fondos.

Estafa de salida (exit scam). El operador de un exchange más pequeño simplemente deja de procesar retiros y desaparece con los fondos. Esto es más común en plataformas anónimas y no reguladas. El exchange canadiense QuadrigaCX perdió aproximadamente $190 millones en fondos de clientes que no pudieron recuperarse tras la muerte reportada de su único operador, Gerald Cotten, quien parece haber estado operando algo equivalente a un esquema Ponzi.

Cómo intentan los exchanges reducir el riesgo de custodia

La práctica estándar de la industria para gestionar el riesgo de las hot wallets es mantener la mayoría de los activos en cold storage: hardware wallets o módulos de seguridad de hardware no conectados a internet, que requieren múltiples firmantes humanos para acceder (custodia multi-sig). El área de custodia de Coinbase ha publicado documentación extensa sobre su arquitectura de almacenamiento; Gemini cuenta con la certificación SOC 2 Type II para sus prácticas de custodia. Estos sistemas son considerablemente más seguros que los exchanges mal gestionados, pero no eliminan el riesgo: el hackeo de Bitfinex de 2016 ocurrió a pesar de la custodia multi-sig, al explotar una vulnerabilidad en la propia implementación multi-sig.

La custodia segregada, es decir, mantener los activos de los clientes separados de los fondos operativos propios del exchange, es la salvaguarda estructural frente al modelo de fallo de FTX. Los exchanges regulados en la UE bajo MiCA y en el Reino Unido bajo las normas de la FCA están obligados a segregar los activos de los clientes. La regulación estadounidense ha avanzado más lentamente, aunque las normas propuestas por la SEC para los intermediarios de criptomonedas exigirían la segregación.

El seguro se ofrece cada vez más como una característica. Coinbase mantiene un seguro contra delitos para los activos que mantiene en sus hot wallets. Los sindicatos de Lloyd’s ofrecen cobertura para el cold storage. Los límites, exclusiones y condiciones varían considerablemente, y el seguro no cubre la insolvencia: una empresa puede estar tanto asegurada como insolvente. Es necesario revisar los términos reales de la póliza, y no solo el mensaje de marketing, para entender qué está realmente protegido.

La jurisdicción importa

El lugar donde un exchange está autorizado afecta lo que sucede con tus activos si este quiebra. Los exchanges registrados en la UE bajo MiCA o en el Reino Unido bajo las normas de la FCA operan bajo marcos que incluyen requisitos de segregación de custodia, normas de adecuación de capital y disposiciones de prioridad en caso de quiebra para los activos de los clientes. Los exchanges registrados en jurisdicciones offshore con requisitos regulatorios más laxos pueden no tener ningún mandato de segregación y pueden estar estructurados de modo que los activos de los clientes sean simplemente activos de la empresa en liquidación.

La entidad offshore de FTX estaba registrada en las Bahamas. Cuando quebró, los reguladores de las Bahamas inicialmente tomaron el control de los activos locales antes de que los procedimientos de quiebra de EE. UU. reclamaran una jurisdicción más amplia, un conflicto que complicó el proceso de recuperación y contribuyó a la incertidumbre que enfrentaron los clientes sobre lo que finalmente recibirían. Para más información sobre cómo está evolucionando el panorama regulatorio, consulta la learn/”>sección de aprendizaje. Para escenarios basados en modelos sobre los principales activos, consulta la learn/”>guía de wallets para conocer las contrapartidas en detalle.

Fuentes

• DOJ: acusación y cargos contra el fundador de FTX (Departamento de Justicia de EE. UU., diciembre de 2022)
• Arquitectura de Coinbase Custody y divulgaciones de seguros
• BIS Working Paper 1061: Quiebras de exchanges de cripto y protección al cliente (Banco de Pagos Internacionales, 2023)

Este análisis tiene fines exclusivamente educativos. No constituye asesoramiento financiero ni una recomendación para usar o evitar ningún exchange. El riesgo de custodia de las criptomonedas es real; el panorama regulatorio y legal continúa evolucionando. Realiza siempre tu propia investigación y considera las protecciones legales de tu jurisdicción antes de depositar en cualquier plataforma. Escenarios basados en modelos. No es asesoramiento financiero.