Los exchanges conservan datos KYC (identidad, titular real, direcciones y registros de transacción) y, en España, solo los facilitan ante un requerimiento judicial formal o de agentes de Policía Judicial habilitados, en el marco de un procedimiento penal o de una investigación por blanqueo. La Travel Rule y la supervisión del SEPBLAC les obligan a conservar esa información.
En resumen:
- Los registros conservados incluyen documentos de identidad, titular real, contactos, cuentas bancarias, operaciones, direcciones IP y sesiones, además de evaluaciones de riesgo.
- Una petición particular no basta: solo las autoridades habilitadas pueden solicitar datos por cauce formal, y el juzgado puede ordenar el bloqueo cautelar de fondos.
- La normativa europea exige identificar y registrar a ambas partes, incluso en transferencias con direcciones autoalojadas, cuando participa un proveedor de criptoactivos de la Unión.
- Tras una estafa, reúne identificadores de transacción, capturas, conversaciones y comprobantes, denuncia las direcciones implicadas y exporta el historial antes de alterar archivos.
- Un informe forense ordena la trazabilidad de los fondos y respalda solicitudes judiciales; conserva copias íntegras, fechas y registros de acceso para proteger la prueba.
Tabla de contenidos
- Qué datos KYC recaban los exchanges en la práctica
- Marco legal en España y la UE que obliga a conservar los datos
- Cómo entrega el exchange los datos ante un requerimiento judicial
- La Travel Rule y las transferencias hacia direcciones autoalojadas
- Conservación de datos: qué se guarda y durante cuánto tiempo
- Qué puede hacer la víctima en España y cuándo pedir un peritaje forense
- El anonimato retrocede, pero la rapidez sigue decidiendo
- Qué hacemos en Recovera cuando una estafa cripto llega a un exchange
- Preguntas frecuentes
- Fuentes
Qué datos KYC recaban los exchanges en la práctica
Cada dato que el exchange guarda sirve para unir una cuenta con una persona real, y eso es lo que un juzgado necesita para avanzar. Lo habitual es esto:
- Identificación formal: DNI, NIE o pasaporte, con nombre y apellidos, que permiten vincular la cuenta a un titular concreto.
- Titular real: en empresas o estructuras interpuestas, la persona física que está detrás del beneficiario efectivo.
- Datos de contacto: dirección postal, correo electrónico, teléfono y cuentas bancarias asociadas.
- Registros transaccionales: direcciones de entrada y salida, hashes de transacción, marcas de tiempo e importes.
- Metadatos técnicos: direcciones IP, registros de sesión, comunicaciones y documentos contractuales, como las verificaciones de identidad electrónicas.
Cuando la verificación se hace a distancia, existen servicios de verificación de identidad notarizada online que dejan constancia documental del proceso. Un expediente completo y ordenado facilita después cualquier cruce de información.
Marco legal en España y la UE que obliga a conservar los datos
La obligación de identificar y conservar no depende de la buena voluntad del exchange. Nace de normas concretas:
- Ley 10/2010: la ley de prevención del blanqueo de capitales fija las medidas de diligencia debida que deben aplicar los sujetos obligados en España.
- Real Decreto 304/2014: este reglamento de desarrollo regula la identificación formal, las operaciones no presenciales y la conservación documental.
- SEPBLAC: su guía de diligencia debida precisa los procedimientos de identificación para quienes operan sin presencia física.
- Normativa europea: la Directiva (UE) 2024/1640 refuerza los mecanismos de prevención y la cooperación entre Estados miembros, y el Reglamento (UE) 2023/1113 amplía las obligaciones a los criptoactivos.
En la práctica, el SEPBLAC supervisa el cumplimiento, y la Fiscalía y los juzgados canalizan las solicitudes de cooperación.
Cómo entrega el exchange los datos ante un requerimiento judicial
Un requerimiento o mandamiento judicial lo emite el Juzgado de Instrucción, y también pueden instarlo la Fiscalía o la Policía Judicial habilitada. El recorrido operativo suele ser este:
- La autoridad competente formula la petición formal por escrito, identificando la cuenta, las direcciones o los hashes que interesan.
- El exchange verifica que el requerimiento es auténtico y que procede de un órgano habilitado.
- Si procede, el Juzgado de Instrucción puede acordar el bloqueo cautelar de fondos conforme al artículo 367 septies de la LECrim, y la información KYC del titular resulta clave para identificar a los responsables.
- El exchange entrega la información por un canal seguro y deja constancia de lo remitido.
- La información queda sujeta al secreto de sumario y a la custodia que fije el órgano judicial.
Si te interesa preparar la solicitud, tenemos una guía sobre el requerimiento judicial a un exchange con la documentación necesaria.
La Travel Rule y las transferencias hacia direcciones autoalojadas
El Reglamento (UE) 2023/1113 traslada a los criptoactivos la lógica de las transferencias bancarias: quien envía y quien recibe deben quedar identificados. Esto es lo que cambia en la práctica:
- Los proveedores deben recopilar y conservar información sobre el originante y el beneficiario de cada transferencia.
- La obligación alcanza a las operaciones hacia o desde direcciones autoalojadas cuando interviene un proveedor de servicios de criptoactivos de la Unión.
- El intercambio de información entre exchanges deja de ser voluntario y elimina parte del anonimato que existía antes.
- Cuando llega una solicitud judicial, esa información acompañante mejora la trazabilidad de los fondos entre plataformas.
Las correcciones de errores del Reglamento precisan algunas de estas obligaciones, y en nuestra guía de la Travel Rule las explicamos con más detalle.
Conservación de datos: qué se guarda y durante cuánto tiempo
Los sujetos obligados deben conservar la documentación de identificación, los registros de operaciones y los resultados del análisis de riesgo. La normativa española de blanqueo establece obligaciones de conservación documental, según la Ley 10/2010 consolidada.
Para que esos registros sirvan en un proceso, importa tanto el plazo como la forma de custodiarlos: copias íntegras, con fecha y sin alteraciones, y un registro de quién accedió a ellos. Una cadena de custodia bien documentada evita que la defensa cuestione la prueba más adelante.
Qué puede hacer la víctima en España y cuándo pedir un peritaje forense
Si has sufrido una estafa con criptomonedas, el orden de actuación importa. Esto debes reunir y hacer:
- Pruebas esenciales: identificadores de transacción (txid), capturas de pantalla, conversaciones y comprobantes de pago.
- Denuncia: preséntala ante la autoridad competente e indica las direcciones y plataformas implicadas, para que el juzgado pueda solicitar medidas cautelares.
- Solicitud al exchange: nunca lo hagas directamente; los datos KYC llegan por el cauce judicial.
- Peritaje forense: un informe técnico ordena la trazabilidad de los fondos y respalda la petición de requerimiento ante el juzgado.
Consejo profesional: exporta el historial completo de tu cuenta y conserva los metadatos de los archivos antes de modificar o borrar nada.
En nuestro equipo elaboramos esos informes y preservamos la evidencia. Puedes ampliar los pasos en nuestra guía de derechos de la víctima de cripto en España.
El anonimato retrocede, pero la rapidez sigue decidiendo
La Travel Rule y las directivas antiblanqueo han reducido el anonimato en el ecosistema cripto, y eso es una buena noticia para quien reclama. Pero la información existe solo mientras alguien la pide a tiempo y por el cauce correcto. Autoridades, exchanges y peritos forenses necesitan coordinarse deprisa, porque los fondos pueden moverse con rapidez y los trámites requieren coordinación.
— cristian
Qué hacemos en Recovera cuando una estafa cripto llega a un exchange
Si necesitas apoyo técnico para sostener tu denuncia, nuestro equipo realiza la investigación forense blockchain, redacta informes técnicos, preserva la evidencia y colabora con despachos de abogados. Conviene acudir a nosotros antes de solicitar un bloqueo o un requerimiento, para que el juzgado reciba pruebas ordenadas. Solicita la evaluación de tu caso y revisamos qué se puede hacer.
Este artículo es información general y no sustituye el consejo de un abogado cualificado. Consulte a un profesional del derecho cualificado sobre su caso particular antes de actuar según este contenido.
Preguntas frecuentes
¿Qué significa KYC en un exchange de criptomonedas?
KYC significa «conoce a tu cliente». Es el proceso por el que el exchange verifica tu identidad y conserva los datos asociados a tu cuenta, como exige la Ley 10/2010 a los sujetos obligados.
¿Cuándo entrega un exchange los datos KYC de un usuario?
Solo ante un requerimiento judicial formal o de agentes de Policía Judicial habilitados, dentro de una investigación penal o por blanqueo. Una solicitud directa de un particular no suele prosperar.
¿Qué normas regulan las criptomonedas y el KYC en España?
El marco principal es la Ley 10/2010 y su desarrollo por el Real Decreto 304/2014, junto con el Reglamento (UE) 2023/1113, que aplica la Travel Rule a los criptoactivos.
¿Puede un exchange conocer a quién va una transferencia a una cartera propia?
Con la Travel Rule, el proveedor debe recopilar información del originante y del beneficiario también en operaciones con direcciones autoalojadas, cuando interviene un proveedor de la Unión. Esa información puede pedirse después por vía judicial.
Fuentes
- Documents
- Eur-lex
- BOE-A-2010-6737 Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo.
- SEPBLAC 1
- Diligencia debida | Sepblac
