La custodia institucional de criptomonedas ya no es solo un servicio especializado ofrecido por empresas nativas del sector cripto. Los grandes bancos ahora ofrecen, desarrollan o se asocian para la custodia de activos digitales, ya que los gestores de activos, las corporaciones, los fondos y otras instituciones demandan cada vez más los controles operativos, la gobernanza, la presentación de informes y la responsabilidad legal que ya esperan de la custodia tradicional de valores.
Lo importante es que la «custodia segura» no significa que un banco guarde Bitcoin o Ether en una bóveda física. Los criptoactivos permanecen registrados en su cadena de bloques. Lo que protege el custodio es la capacidad de autorizar transacciones: las claves criptográficas, los sistemas de firma, las políticas de acceso, los procedimientos de recuperación y los registros que determinan quién puede mover los activos.
Por lo general, un custodio bancario no toma posesión física de una criptomoneda, ya que no existe un instrumento físico que poseer. La Oficina del Contralor de la Moneda de EE. UU. explicó esta distinción en su Carta Interpretativa 1170 de 2020 : los activos digitales existen en una cadena de bloques o libro mayor distribuido, mientras que el control se ejerce mediante claves criptográficas. En la práctica, la custodia significa salvaguardar las claves u otra autoridad de firma que permita transferir dichos activos.
Esa distinción es importante porque los principales escenarios de pérdida son diferentes a los del robo tradicional de bóvedas. Un custodio debe protegerse contra el robo de credenciales, dispositivos de firma comprometidos, empleados malintencionados, vulnerabilidades de software, aprobaciones de transacciones incorrectas, pérdida de claves, cambios de protocolo, ciberataques y errores operativos.
Acción para una institución: solicitar al posible custodio que describa con precisión qué controla. ¿Mantiene claves privadas completas, utiliza firma distribuida, depende de un subcustodio o combina varios métodos? La «custodia de nivel bancario» no constituye una arquitectura técnica en sí misma.
No necesariamente. La custodia y la propiedad son conceptos distintos. Un acuerdo de custodia bien estructurado está diseñado para que los activos del cliente sigan siendo atribuibles a este, en lugar de formar parte del inventario de negociación del banco.
Esta separación es especialmente explícita en el Reglamento de Mercados de Criptoactivos (MiCA) de la Unión Europea. Según el MiCA , los proveedores que custodian criptoactivos para clientes deben mantener registros de posiciones, establecer una política de custodia, separar los activos de los clientes de los suyos propios y adoptar medidas para que los criptoactivos de los clientes estén legal y operativamente separados del patrimonio del proveedor. El MiCA también exige procedimientos para la devolución de activos o medios de acceso a los clientes.
Asimismo, el Comité de Basilea distingue entre la actividad de custodia segregada y la simple toma de una posición direccional en criptomonedas por parte de un banco. Su norma actual sobre criptoactivos, vigente desde el 1 de enero de 2026 , señala que los servicios de custodia que implican activos de clientes segregados generalmente no generan la misma exposición crediticia, de mercado o de liquidez que la posesión de las criptomonedas, aunque sí generan un riesgo operativo significativo.
Medidas a tomar por la institución: revisar el contrato de custodia legal, no solo la página del producto. Confirmar a nombre de quién están registrados los activos, si los activos de los clientes están separados de los activos de la empresa, qué sucede en caso de insolvencia y si el custodio puede prestar, pignorar, volver a hipotecar o utilizar los activos de cualquier otra forma.
No existe un diseño único aprobado que utilicen todos los bancos. Las implementaciones exactas a menudo se mantienen en secreto por decisión propia. Sin embargo, los sistemas institucionales robustos suelen intentar eliminar la posibilidad de que un empleado, un ordenador portátil o una credencial comprometida puedan transferir activos de clientes por sí solos.
Los controles pueden incluir módulos de seguridad de hardware, sistemas distribuidos de generación o firma de claves, aprobaciones por parte de varias personas, roles separados para administradores y transacciones, entornos de firma estrictamente controlados, direcciones de destino permitidas, límites de transacciones, segmentación de red y hardware criptográfico a prueba de manipulaciones. Algunas instituciones también distribuyen la autoridad de firma entre distintas ubicaciones o sistemas para que un fallo en un solo sitio no interrumpa el acceso.
Cuando un banco o su proveedor de tecnología utiliza módulos criptográficos, los estándares de seguridad reconocidos pueden proporcionar evidencia útil. Por ejemplo, la norma NIST FIPS 140-3 define los requisitos para los módulos criptográficos, que abarcan la autenticación, la seguridad física, la gestión de parámetros de seguridad sensibles, las autopruebas, la seguridad del software y la garantía del ciclo de vida. La validación FIPS por sí sola no demuestra que toda una plataforma de custodia sea segura, pero es un control relevante que se debe evaluar.
Medidas a tomar por una institución: preguntar qué partes del sistema de firma se validan de forma independiente, qué componentes pueden acceder al material clave y si un único administrador puede cambiar las políticas de transacción o recuperar claves sin una vía de aprobación independiente.
El almacenamiento en frío sigue siendo una defensa importante, ya que mantener las claves de firma fuera de línea reduce la exposición a ataques remotos. La guía original de la OCC sobre custodia de criptomonedas describía las carteras frías como almacenamiento fuera de línea y las contrastaba con las carteras calientes conectadas a internet. Sin embargo, «frío» no significa automáticamente «seguro».
Una clave sin conexión puede perderse, manipularse incorrectamente, copiarse, quedar expuesta durante la recuperación o ser utilizada por un empleado autorizado. Las instituciones también necesitan procesar retiros, eventos de staking, bifurcaciones, migraciones y otras operaciones específicas de la cadena de bloques. Esto genera un dilema entre la seguridad sin conexión y la disponibilidad operativa.
Por lo tanto, muchos diseños institucionales utilizan niveles de protección. Una capa de protección estricta puede proteger la mayor parte de las tenencias a largo plazo, mientras que los saldos operativos más pequeños utilizan entornos de firma controlados, ya sean en línea o semi-en línea. La combinación precisa depende de la frecuencia de retiros, los activos respaldados, los compromisos de nivel de servicio y el nivel de riesgo aceptable.
Medidas para una institución: no se limite a la pregunta "¿Utiliza almacenamiento en frío?". Pregunte qué porcentaje de activos puede estar en línea, quién puede transferir activos entre niveles, cómo se gestionan las retiradas de emergencia y qué controles se aplican cuando una clave pasa del estado de copia de seguridad o recuperación al de uso activo.
Las transacciones con criptomonedas pueden ser difíciles o imposibles de revertir tras su liquidación final, por lo que la prevención es más importante que la remediación. Por consiguiente, la custodia institucional depende en gran medida de la separación de funciones y la gobernanza de las transacciones.
Un proceso bien diseñado puede requerir múltiples aprobaciones de diferentes roles, restringir los destinos a direcciones preaprobadas, retrasar transferencias inusualmente grandes, aplicar límites de transacción, exigir verificación fuera de banda y marcar la actividad que se salga de la política habitual del cliente. Los libros de contabilidad internos también deben conciliarse con los registros de la cadena de bloques para que las discrepancias se puedan detectar rápidamente.
El Comité de Basilea considera los fallos de personas, sistemas y procesos como riesgo operacional. Su marco regulatorio para criptoactivos de 2026 incluye explícitamente la pérdida de una clave criptográfica privada por parte de un banco como ejemplo de pérdida operacional y exige a los bancos que participan en actividades criptográficas que evalúen los riesgos tecnológicos, cibernéticos, de subcontratación, de fraude, de datos y de resiliencia.
Acción para una institución: solicitar un análisis detallado del ciclo de retiro, desde la instrucción del cliente hasta la transmisión en la cadena de bloques. La cuestión crucial es si un atacante que compromete una cuenta o a un empleado puede convertir ese compromiso en una transferencia irreversible.
Un servicio de custodia con la marca de un banco no siempre implica que todas las operaciones criptográficas se realicen en infraestructura propiedad del banco. Los bancos pueden recurrir a proveedores de tecnología especializados o subcustodios para la gestión de claves, la ejecución de transacciones, la conectividad blockchain o el soporte específico para activos.
En Estados Unidos, la OCC aclaró este punto en mayo de 2025. La Carta Interpretativa 1184 confirmó que los bancos nacionales y las asociaciones federales de ahorro pueden subcontratar actividades permitidas con criptoactivos, incluidos los servicios de custodia y ejecución, siempre que cuenten con una gestión de riesgos adecuada por parte de terceros. El banco sigue siendo responsable de llevar a cabo la actividad de forma segura y conforme a la legislación aplicable.
La subcustodia puede mejorar la capacidad de los especialistas, pero también genera riesgos de concentración, dependencia, interrupción del servicio, incumplimiento contractual y recuperación. La institución debe saber qué entidad controla realmente la infraestructura de firmas y cuál sería responsable en caso de pérdida.
Acción para una institución: obtener un mapa completo de dependencias. Identificar el banco, el proveedor de tecnología, el subcustodio, la plataforma de intercambio o liquidez, los proveedores de nodos de blockchain, los sitios de recuperación ante desastres y cualquier servicio en la nube o de seguridad que sea fundamental para los retiros.
El panorama político estadounidense cambió sustancialmente en 2025. En marzo de ese año, la OCC reafirmó que la custodia de criptomonedas es una actividad permitida para los bancos nacionales y las asociaciones federales de ahorro, y eliminó el requisito previo de no objeción por parte de la supervisión. También en marzo, la FDIC derogó su requisito de notificación previa y declaró que las instituciones supervisadas por la FDIC pueden participar en actividades permitidas relacionadas con criptomonedas sin necesidad de obtener la aprobación previa de la FDIC, siempre que gestionen adecuadamente los riesgos asociados.
Por otra parte, el Boletín de Contabilidad del Personal 122 de la SEC , vigente desde el 30 de enero de 2025, derogó la guía contable de salvaguarda de criptomonedas del Boletín 121. Este cambio contable eliminó un tratamiento significativo del balance que había complicado algunos modelos de negocio de custodia. Sin embargo, no autorizaba a los bancos a custodiar cualquier criptoactivo ni anulaba las leyes bancarias, de valores, de materias primas, de sanciones o estatales.
Medidas a tomar por una institución: evaluar las autorizaciones regulatorias a nivel de entidad y jurisdicción. Un banco global puede estar autorizado a prestar un servicio a través de una filial o país, pero no a través de otro.
Varios bancos importantes han documentado públicamente servicios de custodia reales en lugar de limitarse a anunciar proyectos de investigación.
En octubre de 2022, BNY anunció que su plataforma de custodia de activos digitales ya estaba operativa en Estados Unidos , permitiendo inicialmente a clientes selectos mantener y transferir bitcoin y ether. Su importancia histórica radica en que un banco de relevancia sistémica mundial pasó de la fase de planificación a la puesta en marcha de operaciones de custodia de activos digitales.
Standard Chartered lanzó un servicio de custodia de activos digitales en los Emiratos Árabes Unidos en septiembre de 2024 , inicialmente compatible con Bitcoin y Ethereum, y nombró a Brevan Howard Digital como su primer cliente. En enero de 2025, el banco también anunció la creación de una entidad en Luxemburgo para servicios de custodia de activos digitales en la UE tras la implementación de MiCA.
Estos ejemplos demuestran que la custodia institucional se está integrando en la infraestructura financiera convencional, pero no deben interpretarse como prueba de que todos los bancos admiten los mismos activos, jurisdicciones, velocidades de liquidación, funciones de staking o tecnologías de monedero.
Acción para la institución: confirme la lista actual de activos admitidos y la entidad legal directamente con el banco antes de la incorporación. El alcance del producto puede cambiar más rápidamente que los materiales de marketing generales del banco.
No. Si bien el seguro puede ser útil, no garantiza el reembolso de todas las pérdidas de criptomonedas. La cobertura puede aplicarse únicamente a billeteras específicas, causas de pérdida concretas, casos de robo interno o lugares de custodia. Las pólizas pueden incluir deducibles, exclusiones, sublímites y límites agregados compartidos entre los clientes.
Los clientes institucionales también deben distinguir entre los recursos del propio custodio, los seguros de terceros, las indemnizaciones contractuales y cualquier protección legal al cliente. No se debe asumir que el seguro de depósitos tradicional cubre los criptoactivos simplemente porque un banco sea el proveedor del servicio.
Medidas a tomar como institución: solicitar el resumen del seguro y la cláusula contractual pertinente. Comparar el importe máximo cubierto con el valor que se prevé depositar en custodia e identificar qué siniestros están explícitamente excluidos.
| Pregunta | Por qué es importante |
|---|---|
| ¿Qué entidad jurídica es la depositaria? | La concesión de licencias, el tratamiento en caso de insolvencia y los derechos del cliente dependen de la entidad contratante y de la jurisdicción. |
| ¿Los activos de los clientes están segregados legal y operativamente? | La segregación reduce el riesgo de que los activos de los clientes se mezclen con el patrimonio del custodio. |
| ¿Quién controla realmente las claves de firma? | El banco puede operar la infraestructura de firma directamente o recurrir a un subcustodio o proveedor de tecnología. |
| ¿Puede una sola persona autorizar una transferencia? | Una custodia estricta debería reducir los fallos cometidos por una sola persona o con una sola credencial. |
| ¿Cómo se rigen los saldos en frío, en caliente y en línea? | La disyuntiva entre seguridad y liquidez depende de cómo se transfieren los activos entre los diferentes niveles de almacenamiento. |
| ¿Cuál es el proceso de recuperación tras la pérdida de claves o un fallo del sistema? | Las copias de seguridad solo son útiles si son seguras, están probadas y son recuperables desde el punto de vista operativo. |
| ¿Cómo se supervisa a los subcustodios? | La externalización transfiere el trabajo, no la responsabilidad ni la dependencia operativa. |
| ¿Qué garantía independiente existe? | Los informes de auditoría, las pruebas de control, las pruebas de penetración y la validación de módulos criptográficos pueden aportar pruebas que van más allá de las afirmaciones de marketing. |
| ¿Qué pérdidas están aseguradas o indemnizadas? | La cobertura puede ser menor que el monto nominal del seguro. |
| ¿Cómo se gestionan las bifurcaciones, los airdrops, el staking y las actualizaciones de protocolo? | Los derechos sobre los activos y los procedimientos operativos varían según la cadena de bloques y pueden afectar la recuperabilidad y la continuidad del servicio. |
La normativa legal y de supervisión es más clara que hace unos años, pero la custodia institucional de criptomonedas no está completamente estandarizada. Los bancos no divulgan toda su arquitectura de seguridad, las jurisdicciones aplican diferentes normas de insolvencia y derecho inmobiliario, y los protocolos blockchain están en constante evolución. Los nuevos servicios, como el staking, los depósitos tokenizados, la liquidación de stablecoins y los valores tokenizados, también pueden introducir riesgos que no se ajustan fácilmente a un modelo sencillo de «billetera fría».
Tampoco hay fundamento para afirmar que un custodio bancario sea automáticamente más seguro que cualquier custodio especializado en criptomonedas. Los bancos aportan marcos sólidos de gobernanza, cumplimiento normativo, auditoría y gestión de riesgos operativos, mientras que los custodios especializados en criptomonedas pueden tener mayor experiencia con tecnologías blockchain específicas. La mejor opción depende de los activos de la institución, la frecuencia de las transacciones, los requisitos legales, las necesidades de recuperación y la tolerancia a la concentración de terceros.
Acción para una institución: considerar la selección de custodia como un ejercicio de debida diligencia, en lugar de una decisión basada en la imagen de marca. La seguridad debe demostrarse mediante la arquitectura, la gobernanza, las protecciones contractuales, las pruebas operativas, el estatus regulatorio y la evidencia de los controles.
Los bancos están reforzando la seguridad de la custodia de criptomonedas aplicando las disciplinas de custodia tradicionales a un activo tecnológico diferente: segregando los activos de los clientes, reforzando los sistemas de firma criptográfica, limitando quién puede autorizar las transferencias, utilizando entornos de claves fuera de línea o estrictamente controlados, supervisando a terceros, conciliando los registros de la cadena de bloques y planificando la recuperación. Los reguladores permiten cada vez más estos servicios, pero siguen exigiendo a los bancos que gestionen los riesgos operativos y tecnológicos específicos de las criptomonedas con la misma seriedad que aplican a otras infraestructuras financieras críticas.
Para un cliente institucional, la pregunta más útil no es "¿Este banco ofrece custodia de criptomonedas?", sino "¿Cómo se controlan, segregan, recuperan y protegen mis activos en caso de que algo salga mal?". La calidad de la respuesta es un mejor indicador de la seguridad de la custodia que el nombre del banco por sí solo.
Cómo funcionará la custodia de criptomonedas con estándares bancarios en 2026, desde los controles de clave privada y el almacenamiento en frío hasta la segregación, la subcustodia, la regulación, las auditorías y la recuperación.
Aprende cómo funciona el dominio de Bitcoin (BTC.D), qué puede indicar un dominio creciente o decreciente y cómo confirmar una posible temporada de altcoins con comprobaciones prácticas.
Aprende a revisar y revocar las aprobaciones de tokens de forma segura, verifica el resultado en la cadena de bloques, gestiona los permisos Permit2 y NFT, y sabe cuándo la revocación no es suficiente.
Aprenda a evaluar e invertir en bienes raíces tokenizados verificando los derechos legales, la economía de la propiedad, la custodia, la liquidez, los impuestos y los riesgos de salida.
Aprende a leer los informes de auditoría de contratos inteligentes antes de comprar criptomonedas: verifica el alcance, los hashes de confirmación, la gravedad, los hallazgos no resueltos, los poderes de administrador, las actualizaciones, los oráculos y el riesgo residual.
Compara las carteras de hardware Ledger, Trezor, Tangem y GridPlus en cuanto a seguridad, recuperación, compatibilidad con criptomonedas, facilidad de uso y cuál se adapta mejor a los principiantes en 2026.
Aprenda a interpretar los flujos, los activos bajo gestión (AUM), las creaciones, los reembolsos, el volumen y la concentración de emisores de los ETF de Bitcoin y Ethereum, y qué revelan realmente estas métricas sobre la demanda institucional.
Aprende qué indicadores son más útiles para el scalping de criptomonedas en intervalos de 15 minutos, qué mide cada uno, los errores comunes al enviar señales y cómo combinarlos con controles de riesgo.
El Bitcoin ronda los 77.000 dólares al inicio del cuarto trimestre de 2026. Descubre qué revela realmente el gráfico Rainbow actualizado, cómo interpretarlo para principiantes y por qué estar "infravalorado" no es una garantía.
Descubre Helium, Hivemapper, Render, Akash y Filecoin, cómo funcionan las recompensas de DePIN, qué factores impulsan el retorno de la inversión y los riesgos operativos y de hardware que debes comprobar primero.
