El Grupo de Acción Financiera Internacional (GAFI) ha advertido de que la regulación mundial de los activos virtuales continúa avanzando más lentamente que la evolución del crimen financiero. Aunque cada vez más países han adoptado normas para supervisar el sector de las criptomonedas, la falta de aplicación efectiva de esas reglas sigue dejando importantes vulnerabilidades frente al lavado de dinero, la financiación del terrorismo, la evasión de sanciones y el uso creciente de inteligencia artificial por parte de organizaciones criminales.
Esta es la principal conclusión de la séptima actualización sobre la implementación de la Recomendación 15 (R.15), publicada por el organismo en julio de 2026. El informe analiza el grado de adopción de los estándares internacionales aplicables a los activos virtuales (AV) y a los proveedores de servicios de activos virtuales (PSAV), cuya regulación exige que estas empresas cuenten con licencia o registro, estén sujetas a supervisión y dispongan de mecanismos para identificar, evaluar y mitigar los riesgos de blanqueo de capitales y financiación del terrorismo.
Uso ilícito de criptoactivos, según GAFI
El estudio, elaborado a partir de una encuesta realizada a 147 jurisdicciones y del análisis de 149 evaluaciones mutuas e informes de seguimiento, muestra que el consenso regulatorio internacional continúa ampliándose. Sin embargo, el GAFI considera que el principal desafío ya no es aprobar nuevas normas, sino hacerlas cumplir mediante licencias efectivas, inspecciones, supervisión y sanciones.
El organismo alerta además de que las redes criminales están combinando cada vez con mayor eficacia fraude organizado, financiación de programas de proliferación, evasión de sanciones internacionales y herramientas de inteligencia artificial para sofisticar sus operaciones, una evolución que, según el informe, avanza a un ritmo superior al de la respuesta de los supervisores.
En términos de cumplimiento, el informe refleja avances, aunque todavía insuficientes para cerrar las brechas detectadas por el organismo. El porcentaje de jurisdicciones calificadas como «mayormente cumplidoras» con la Recomendación 15 aumentó del 29% en 2025 al 34% en 2026, mientras que las consideradas «parcialmente cumplidoras» descendieron del 50% al 43%. En cambio, el grupo de países «no cumplidores» prácticamente no registró cambios y continúa representando alrededor del 22% del total.
Mecanismos efectivos de supervisión
El GAFI también constata que la regulación de los activos virtuales se encuentra ya ampliamente definida a escala internacional. El 89% de las 147 jurisdicciones analizadas ha adoptado una posición normativa sobre el sector, frente al 82% registrado el año anterior, lo que confirma la consolidación del marco regulatorio global.
La mayoría de esos países, cerca de dos tercios, ha optado por permitir la actividad de los activos virtuales y de los proveedores de servicios de activos virtuales (PSAV) bajo un régimen de supervisión. Sin embargo, el informe también observa un crecimiento sostenido de las jurisdicciones que han decidido prohibir total o parcialmente estas actividades. En 2026 ya representan el 23% de los países analizados, frente al 20% de 2025 y apenas el 11% registrado en 2023.
No obstante, el organismo insiste en que las prohibiciones no constituyen, por sí mismas, una solución eficaz frente a los riesgos de blanqueo de capitales y financiación del terrorismo. El informe señala que vetar la actividad sin desarrollar mecanismos efectivos de supervisión, detección y sanción deja importantes lagunas de cumplimiento. Como muestra de ello, únicamente seis de las 33 jurisdicciones que mantienen prohibiciones sobre los activos virtuales fueron calificadas como «mayormente cumplidoras» durante las evaluaciones realizadas por el GAFI.
Travel Rule
En materia de autorización de proveedores de servicios de activos virtuales (PSAV), el informe refleja un panorama desigual entre el desarrollo de los marcos regulatorios y su aplicación efectiva. Aunque el 73% de los países que permiten esta actividad exige que los PSAV cuenten con una licencia o registro oficial, solo el 58% informó haber concedido efectivamente licencias a algún proveedor, una cifra inferior al 65% registrado en 2025.
Las evaluaciones mutuas del GAFI ofrecen una visión aún más exigente, ya que únicamente el 40% de las jurisdicciones cumple de forma satisfactoria los criterios relacionados con el licenciamiento de estos proveedores.
Uno de los ámbitos en los que sí se aprecia un avance significativo es la implantación de la denominada Travel Rule o Regla de Viaje, que obliga a los PSAV a transmitir información sobre el ordenante y el beneficiario de las transferencias de activos virtuales. Actualmente, el 83% de las jurisdicciones ya ha aprobado legislación específica para aplicar esta obligación, diez puntos porcentuales más que el año anterior.
No obstante, el GAFI advierte de que la aprobación de la normativa no se está traduciendo en una supervisión efectiva. El 60% de los países que ya disponen de legislación sobre la Travel Rule todavía no ha adoptado medidas específicas de supervisión ni ha impuesto sanciones relacionadas con su incumplimiento.
El crimen organizado industrializa el uso de las criptomonedas
El informe también identifica como un desafío persistente la detección de personas físicas o jurídicas que operan como proveedores de servicios de activos virtuales sin licencia, una situación que atribuye principalmente a las limitaciones de capacidad técnica de las autoridades competentes y a las dificultades existentes en materia de cooperación internacional.
La segunda parte del informe analiza la creciente sofisticación del uso ilícito de los criptoactivos y alerta de que las organizaciones criminales están industrializando sus operaciones mediante estructuras cada vez más complejas y transnacionales.
El GAFI señala que los denominados centros de estafa vinculados al crimen organizado, especialmente en Camboya, continúan generando miles de millones de dólares mediante esquemas de fraude de inversión conocidos como pig butchering.
Según el organismo, un conglomerado financiero camboyano habría lavado al menos 4.000 millones de dólares entre 2021 y 2025, actuando como nodo central entre redes internacionales de fraude, sistemas de banca informal y canales de blanqueo basados en criptoactivos.
Corea del Norte
El informe añade que esta misma infraestructura habría sido utilizada por actores vinculados a Corea del Norte para blanquear fondos obtenidos mediante ciberataques patrocinados por el Estado. De acuerdo con el GAFI, al menos 37 millones de dólares habrían sido destinados presuntamente a financiar programas norcoreanos relacionados con armas de destrucción masiva y misiles balísticos.
El documento también destaca la Operación Borrelli, desarrollada en España, en la que las autoridades desmantelaron una organización que habría defraudado alrededor de 460 millones de euros a más de 5.000 víctimas mediante una compleja estructura societaria y bancaria con sede en Hong Kong.
La IA acelera el delito financiero
El informe dedica además un capítulo específico al creciente papel de la inteligencia artificial en el delito financiero vinculado a los criptoactivos. Según el GAFI, perfiles sintéticos y vídeos generados mediante tecnología deepfake ya se utilizan para reforzar campañas de fraude y captar nuevas víctimas.
Asimismo, advierte de que asistentes de programación basados en inteligencia artificial están facilitando el análisis de vulnerabilidades en contratos inteligentes y la generación de código destinado a explotar esas debilidades, acelerando los ataques contra protocolos de finanzas descentralizadas (DeFi) e infraestructuras interoperables entre distintas cadenas de bloques.
El informe identifica a las stablecoins como uno de los principales focos de riesgo dentro del ecosistema de activos virtuales. Como ejemplo, menciona el caso de un emisor vinculado a la red camboyana anteriormente descrita, que habría desarrollado una stablecoin diseñada específicamente para impedir el congelamiento de fondos por parte de las autoridades, en contraste con la práctica habitual de los emisores regulados, que mantienen la capacidad técnica de bloquear activos cuando así lo requieren las autoridades competentes.
El GAFI también afirma que organizaciones como ISIL y Al-Qaeda estarían recurriendo cada vez con mayor frecuencia a las stablecoins en lugar de bitcoin, aprovechando direcciones rotativas y transferencias fragmentadas para dificultar el rastreo de los fondos.
Wallets no alojadas
Respecto a las wallets no alojadas, el 88% de las jurisdicciones considera que representan un riesgo elevado. Sin embargo, únicamente el 23% recopila y analiza datos de mercado sobre este tipo de operaciones, una carencia que limita la comprensión real de su volumen y utilización.
Otro de los puntos ciegos identificados por el organismo son los PSAV extraterritoriales (oVASPs), es decir, proveedores que prestan servicios fuera de la jurisdicción en la que fueron constituidos.
El informe describe prácticas como el uso de programas de afiliación, la promoción mediante redes sociales y aplicaciones cifradas, así como el aprovechamiento de cuentas «anidadas» en proveedores autorizados para acceder a liquidez y a infraestructuras financieras tradicionales, ocultando en ocasiones el volumen real de actividad al presentarse como usuarios minoristas.
En el ámbito de las finanzas descentralizadas (DeFi), el GAFI considera que existe la mayor brecha de implementación de todas las áreas analizadas. Solo el 18% de las jurisdicciones ha evaluado específicamente los riesgos asociados a este sector y únicamente cuatro países han impuesto requisitos de licenciamiento a protocolos DeFi que, conforme a los estándares del organismo, deben ser considerados proveedores de servicios de activos virtuales. De ellos, solo dos han concedido licencias de forma efectiva.
El principal obstáculo continúa siendo determinar quién ejerce un grado suficiente de control o influencia sobre estos protocolos descentralizados.
Reforzar la supervisión y la cooperación internacional
Como conclusión, el GAFI insta a las jurisdicciones a profundizar sus evaluaciones de riesgo, incluso cuando hayan optado por prohibir determinadas actividades relacionadas con los activos virtuales. Asimismo, recomienda convertir en plenamente operativos los sistemas de licenciamiento y supervisión, reforzar la cooperación internacional para facilitar el rastreo, congelamiento y decomiso de activos ilícitos y mejorar la coordinación entre autoridades.
Al sector privado le recomienda fortalecer la debida diligencia sobre las wallets no alojadas y los proveedores extraterritoriales, mejorar el monitoreo de transacciones mediante herramientas de análisis blockchain y evaluar de forma continua la exposición a protocolos DeFi, puentes entre cadenas y servicios mezcladores de criptoactivos.
Finalmente, el organismo confirma que continuará supervisando la implementación de la Recomendación 15 y la evolución de los riesgos emergentes del ecosistema de activos virtuales, prestando especial atención a las jurisdicciones con sectores de PSAV de mayor relevancia sistémica mediante sus herramientas de evaluación, análisis de riesgos y creación de capacidades.