La Autoridad Europea de Valores y Mercados (ESMA) lanzó su primera inspección de supervisión a las empresas de criptomonedas con licencia el 8 de julio, poniendo la resiliencia de la custodia bajo revisión en toda la UE. Esto ocurre días después de que MiCA entrara totalmente en vigor y tras el colapso del popular exchange de criptomonedas AscendEX (anteriormente BitMax).
La ESMA no ha vinculado los dos eventos. Sin embargo, la coincidencia de fechas le ofrece a los reguladores un ejemplo real de cuánto cuesta a los usuarios una mala custodia de criptoactivos.
La revisión de la ESMA se enfoca en el punto más débil de la custodia cripto
En su comunicado del 8 de julio, la ESMA informó que la Acción Común de Supervisión (CSA) evaluará cómo los proveedores de servicios de criptoactivos (CASP) gestionan los riesgos de custodia. Los reguladores nacionales revisarán una muestra de empresas autorizadas, basada en riesgo, desde finales de 2026 hasta principios de 2027.
El ejercicio se enfoca en los riesgos propios de la Distributed Ledger Technology (DLT). Los revisores probarán la gobernanza, gestión de claves y almacenamiento, controles de transacciones, detección de incidentes, riesgo de contratos inteligentes y la dependencia de proveedores externos.
La ESMA ha utilizado este tipo de inspecciones durante años en gestores de fondos, y ahora al aplicarlo a las criptoempresas, incorpora el sector cripto a la supervisión general de la UE. La revisión también se basa en la Ley de Resiliencia Operativa Digital (DORA), que está vigente para empresas financieras desde enero de 2025.
Las conclusiones se recopilarán en un informe para la Junta de Supervisores de la ESMA en la segunda mitad de 2027. Abogados del sector ya señalan que la aplicación efectiva de estas normas será la verdadera prueba para el recién regulado mercado europeo.
El colapso de AscendEX muestra lo que la revisión busca evitar
El exchange de criptomonedas AscendEX informó el 6 de julio que cesó operaciones el 1 de julio, citando a MiCA, un acuerdo de financiamiento fallido y la presión del mercado. Ahora cada retiro requiere revisión manual, sin garantías sobre plazos o montos.
El investigador ZachXBT advirtió sobre el exchange el 26 de junio. Dijo que sus hot wallets parecían no tener tokens de gran capitalización como ether (ETH), Tether (USDT) y Solana (SOL), mientras los depósitos seguían abiertos y los retiros estaban congelados.
“Sus hot wallets públicas aún no tienen activos líquidos para procesar retiros correspondientes a los múltiples montos de 7 cifras en reclamaciones de usuarios que he verificado”, escribió ZachXBT en Telegram.
Recomendó a los usuarios afectados presentar informes a las autoridades y reguladores, identificando al cofundador George (Jing) Cao.
AscendEX se encuentra fuera del alcance de la nueva revisión, que solo cubre a empresas autorizadas. Sin embargo, no cumple con los estándares que la ESMA establece para los demás.
En una declaración del 23 de junio, el regulador pidió a las plataformas no autorizadas cerrar operaciones de forma ordenada. La custodia solo podía continuar el tiempo estrictamente necesario, con plazos de salida claramente comunicados a los clientes.
La ESMA también recomendó a los usuarios de plataformas sin licencia mover sus activos a proveedores autorizados o wallets de auto-custodia, advirtiendo que no tienen las protecciones que ofrece MiCA.
Los retiros congelados en AscendEX hacen imposible seguir ese consejo. Ahora, los usuarios afectados ilustran el tipo de falla de custodia que los reguladores quieren que las empresas con licencia sean capaces de soportar.
El exchange ya había experimentado previamente algo similar. En diciembre de 2021, un hack a sus hot wallets le costó 77.7 millones de dólares, según la firma de seguridad PeckShield. En ese entonces, prometió compensar totalmente a los usuarios. Hoy, ya no ofrece ninguna garantía.
De la depuración de licencias a la fase de cumplimiento
El plazo final de MiCA ya dejó fuera a muchas empresas. Solamente cerca de 210 de más de 1,200 empresas de criptomonedas registradas lograron la autorización. Se informa que solo 14 plataformas cuentan con una licencia de exchange para toda la UE.
Las grandes empresas se retiraron ordenadamente. Binance registró sus mayores salidas semanales en más de tres años cuando salió de la UE, mientras que Bybit empezó a restringir usuarios europeos. Ambas continuaron procesando retiros.
La historia muestra que analizar los motivos de los colapsos es útil. Celsius culpó a condiciones extremas del mercado antes de su bancarrota en 2022, y BlockFills congeló los retiros de clientes este año antes de revelar un déficit de 75 millones de dólares. AscendEX culpó a la regulación mientras sus wallets estaban vacías.
Las conclusiones consolidadas de la ESMA no llegarán hasta finales de 2027. Hasta entonces, queda la duda de si las reglas de custodia escritas en papel pueden evitar que ocurra otro caso como el de AscendEX, ahora dentro del marco regulado.
