Cómo construir un proyecto DeFi o Web3: licenciamiento, banca e infraestructura

Lo que necesita para construir un proyecto DeFi o Web3

Un proyecto DeFi o Web3 necesita cinco componentes interrelacionados: una envoltura jurídica para el protocolo o la DAO, una entidad operativa para las actividades off-chain, un análisis del perímetro regulatorio conforme al considerando 22 de MiCA (y a las normas equivalentes fuera de la UE), acceso bancario de entrada y salida de fiat para tesorería y operaciones, y una estructura de compliance continua que abarque auditorías de smart contracts, cribado de sanciones y controles DORA. Los componentes son secuenciales, no paralelos.

Primero está la envoltura jurídica del protocolo. Los protocolos DeFi de escala relevante operan tras una fundación: lo más habitual es una Cayman Foundation Company bajo la Foundation Companies Act (2017, as revised), una ADGM DLT Foundation bajo las Distributed Ledger Technology Foundations Regulations 2023, o una Fundación de Interés Privado panameña bajo la Ley 25 de 12 de junio de 1995. La envoltura mantiene la tesorería del protocolo, contrata con desarrolladores y proveedores, y ofrece una contraparte para programas de subvenciones, exchanges y contrapartes.

Un protocolo sin una estructura societaria no es un protocolo; es un grupo de personas físicas expuestas personalmente a responsabilidad en materia de valores, fiscal y de normativa AML en cada jurisdicción en la que residen.^[1]

En segundo lugar viene la entidad operativa para las actividades off-chain. Rara vez el vehículo (wrapper) emplea desarrolladores, gestiona el sitio web, firma contratos de SaaS o mantiene el saldo en moneda fiat. Esas actividades se canalizan a través de una entidad operativa, normalmente una sociedad proveedora de servicios que contrata con la fundación. La entidad operativa es lo que examina el regulador europeo al preguntarse si se requiere una autorización de CASP: tiene una dirección identificable, actividad de marketing, devengo de comisiones y relaciones con contrapartes que la hacen visible ante el regulador.

En tercer lugar, el perímetro regulatorio conforme al considerando 22 de MiCA. El Informe conjunto EBA-ESMA elaborado en virtud del artículo 142 de MiCA (ESMA75-453128700-1391 / EBA/Rep/2025/01, publicado el 13 de enero de 2025) confirma que «muy pocos sistemas DeFi alcanzan una descentralización verdaderamente plena en el sentido contemplado por el considerando 22» y que la exención debe evaluarse caso por caso.^[2] Entre los factores que devuelven un servicio al ámbito de MiCA figuran la existencia de un operador identificable del front-end, claves de administración o de actualización, la acumulación de comisiones en una tesorería controlada por una parte identificada, la comercialización activa en la UE y la concentración de tokens de gobernanza.

La descentralización parcial no constituye un puerto seguro. El considerando 22 establece expresamente que MiCA se aplica «cuando parte de esas actividades o servicios se realice de forma descentralizada».

En cuarto lugar, la banca de entrada y salida a fiat. Los proyectos puramente on-chain siguen necesitando fiat para nóminas, pagos a proveedores y la propia rampa de entrada y salida. Los bancos rechazan de forma habitual a las contrapartes vinculadas a DeFi: el anonimato de la contraparte en la capa de protocolo, el riesgo operativo de los smart contracts, la volatilidad de la tesorería en tokens y las obligaciones de la Travel Rule derivadas del Reglamento sobre transferencias de fondos (Reglamento (UE) 2023/1113, aplicable desde el 30 de diciembre de 2024) empujan a los bancos de clearing principales hacia la negativa.

Con arreglo al TFR, la información del ordenante y del beneficiario debe acompañar a toda transferencia de criptoactivos entre CASP sin umbral de minimis; en el caso de transferencias hacia o desde monederos autoalojados por importe superior a 1.000 €, el CASP debe verificar además la propiedad o el control del monedero por parte del cliente.^[3] La vía práctica combina una EMI autorizada en la UE para los flujos en euros, un banco favorable a la DLT en una jurisdicción familiarizada con los activos digitales para la custodia de la tesorería en tokens, y una sociedad fiduciaria regulada para las tenencias de stablecoin y bitcoin.

En quinto lugar, el compliance continuo: auditorías de smart contracts y bug bounty permanente, cribado de sanciones en el front-end y en la rampa de entrada/salida fiat, monitorización de transacciones para cualquier superficie clasificada como CASP, controles DORA para el riesgo de terceros en ICT conforme al Reglamento (UE) 2022/2554 (aplicable desde el 17 de enero de 2025) y compliance con la Travel Rule para cualquier transferencia de CASP a CASP.^[4]

Lista de comprobación de infraestructura

Aquí nada avanza en paralelo. Antes de poder organizar la banca, antes de poder contratar auditorías y antes de poder incorporar a cualquier proveedor de compliance, deben existir la estructura jurídica y la entidad operativa. El análisis del perímetro debe preceder al despliegue de los smart contracts, porque las decisiones de arquitectura (claves de administración, mecánica de devengo de comisiones, capacidad de actualización) determinan si MiCA resulta aplicable. La banca fiat es el elemento de mayor plazo en la mayoría de los proyectos: la precalificación a través de la red de socios suele iniciarse en paralelo a la constitución de la estructura jurídica, no después de ella.

Elegir la jurisdicción adecuada

La elección de la jurisdicción determina el envoltorio jurídico disponible, el perímetro regulatorio, el tratamiento fiscal de la tesorería del protocolo, las opciones de banca fiat y la señal de credibilidad ante exchanges, custodios y contrapartes institucionales. Para los proyectos DeFi y Web3, la elección se plantea entre jurisdicciones offshore de fundaciones (Caimán, ADGM en los EAU, Panamá, San Cristóbal y Nieves) y jurisdicciones MiCA de la UE (Chipre, República Checa), cada una adecuada a un perfil de protocolo distinto.

Comparativa de jurisdicciones

Elija las Islas Caimán si el proyecto es un protocolo con una tesorería que mantiene tokens de gobernanza o stablecoins, prevé ser citado por su nombre en plataformas de terceros y desea el mayor grupo de proveedores de servicios profesionales con conocimiento del sector cripto. A escala mundial, la Cayman Foundation Company es el vehículo dominante para DAO, porque puede convertirse en una entidad “huérfana” sin accionistas, supervisada por personas físicas o proveedores (no por miembros), y utilizada por grandes protocolos DeFi, incluidos los de las generaciones de Aave y Compound.^[5]

Cuando el front-end del protocolo es custodial u opera una plataforma de negociación, resulta aplicable el régimen de licenciamiento de la Fase 2 de la VASP Act 2020.

Cayman es la opción por defecto para protocolos que planean integraciones institucionales; no es la base adecuada para proyectos que buscan una distribución minorista activa en la UE. Consulte el centro de licenciamiento cripto completo.

Elija los Emiratos Árabes Unidos si el proyecto busca una sede regulada creíble con acceso al mercado onshore, flujo institucional de MENA y la capacidad de emitir tokens o gestionar un front-end de custodia bajo un marco reconocido. En los EAU existen tres bloques relevantes:

• Licenciamiento VARA: un modelo de ocho categorías abarca asesoramiento, broker-dealer, custodia, exchange, préstamos, gestión, transferencia y emisión de VA, con tasas de solicitud desde 40.000 AED hasta 100.000 AED por actividad y tasas anuales de supervisión de 80.000 AED a 200.000 AED por actividad.^[6]
• ADGM DLT Foundations: el Reglamento de 2023 es el único régimen de fundaciones del mundo diseñado específicamente para el uso de DLT y la gobernanza de DAO, y exige un valor inicial mínimo de activos de 50.000 USD pagadero en moneda fiat (Sección 19), un consejo de dos a dieciséis miembros y una carta escrita que regule la emisión de tokens y las normas de tesorería.^[7]
• Fiscalidad y supervisión: el impuesto sobre sociedades de los EAU es del 9% por encima de 375.000 AED de beneficio imponible, con un 0% en zonas francas cualificadas. La actividad sancionadora de VARA se ha intensificado: el 7 de octubre de 2025, VARA sancionó a 19 empresas por actividad con activos virtuales sin licencia, con multas de entre 100.000 AED y 600.000 AED.^[8]

Consulte el centro de licenciamiento de criptoactivos.

Elija Panamá si el proyecto busca un envoltorio de bajo coste y baja fricción para la tesorería del protocolo, tratamiento fiscal territorial y ninguna capa de licenciamiento de la Fase 2. Entre los envoltorios de DAO con menor fricción a nivel mundial se encuentra la Fundación de Interés Privado panameña, regulada por la Ley 25 de 1995: dotación mínima de 10.000 USD, tasa gubernamental anual de 300 USD, Consejo de la Fundación de al menos tres miembros y separación patrimonial total respecto del fundador conforme al artículo 11.^[9]

Panamá fue retirada de la lista gris del FATF el 27 de octubre de 2023; su retirada de la lista UE de países de alto riesgo en materia AML llegó con la actualización de la Comisión de 10 de junio de 2025 de la lista de terceros países de alto riesgo (Reglamento Delegado (UE) 2025/1184, en vigor desde el 5 de agosto de 2025).^[10] Panamá resulta adecuada para estructuras de tesorería y de holding, no para protocolos que necesitan una licencia regulada en el front-end.

Elija Chipre si el proyecto prevé un front-end en la UE con marketing activo hacia usuarios del EEE, pretende operar como CASP regulado y busca una base de impuesto sobre sociedades del 15% alineada con el Pilar Dos, con una sólida infraestructura de servicios profesionales. La autorización de CASP de CySEC conforme a MiCA conlleva los requisitos de capital escalonados estándar fijados por el artículo 67 y el anexo IV: 50.000 € para la Clase 1 (asesoramiento, recepción y transmisión, ejecución de órdenes, colocación, servicios de transferencia, gestión de carteras), 125.000 € para la Clase 2 (custodia y administración de criptoactivos, e intercambio de criptoactivos por fondos y por otros criptoactivos) y 150.000 € para la Clase 3 (gestión de una plataforma de negociación). Cuando una autorización abarca varias clases, se aplica el umbral más elevado que corresponda; el artículo 67(3) exige además que los CASP mantengan el importe más alto entre el mínimo legal y una cuarta parte de los gastos fijos generales del ejercicio anterior.^[12]

El capital debe mantenerse en instrumentos de fondos propios admisibles; una posición de tesorería en BTC o stablecoins no satisface el mínimo regulatorio. CySEC fijó el 27 de febrero de 2026 como plazo para que los CASP preexistentes presentaran sus solicitudes MiCA, y el período transitorio a escala de la UE finalizó el 1 de julio de 2026. Consulte la guía completa de licenciamiento cripto en Chipre.

Elija la República Checa si el proyecto busca una autorización CASP MiCA en la UE con una interlocución con el regulador más eficiente que en los Estados miembros de mayor tamaño. Conforme a MiCA, el Banco Nacional Checo (ČNB) supervisa a los CASP, y la Ley AML checa de 2024 lleva a cabo la transposición. La República Checa ofrece un tipo del impuesto de sociedades del 21% y pasaporte europeo con una única autorización CASP. La República Checa resulta adecuada para proyectos que desean un estatus regulatorio en la UE sin la acumulación de expedientes supervisores que se observa en Alemania, los Países Bajos y otros Estados miembros de la UE de primer nivel.^[13] Consulte el centro de licenciamiento de criptoactivos.

Constitución de su sociedad

La constitución de sociedades es el primer paso operativo para un proyecto DeFi o Web3, porque el vehículo fundacional, la entidad operativa, la solicitud de banca fiat y el encargo de auditoría de smart contracts requieren todos una persona jurídica registrada. El error de constitución más habitual consiste en constituir la entidad operativa en la jurisdicción equivocada (normalmente una LLC estadounidense o una Ltd británica en manos personales de los fundadores) y reestructurar después, cuando queda claro que la entidad no puede albergar la tesorería del protocolo ni contratar con contrapartes reguladas. El coste es de 2 a 4 meses y de 40.000 € a 100.000 € en honorarios de reestructuración.

Constitución por jurisdicción

Para la mayoría de los protocolos con una escala relevante, la estructura de dos entidades (fundación más entidad operativa) es la arquitectura de trabajo. La fundación mantiene la tesorería y la propiedad intelectual a nivel de protocolo; la entidad operativa emplea a los desarrolladores, gestiona el sitio web y el front-end, y contrata con terceros. Al evaluar si el protocolo está «totalmente descentralizado» o si la entidad operativa es un CASP, el regulador abre un requerimiento de información sobre el contrato de servicios entre ambas. Redactar ese contrato es un ejercicio regulatorio, no societario.

Lo que MiCA no evalúa en la capa del protocolo lo evalúa en la capa de la entidad operativa: la elección de la forma jurídica de la fundación (Cayman Foundation Company, ADGM DLT Foundation, Panama Private Interest Foundation) no resuelve, por sí sola, la cuestión de cuál es el CASP de referencia, que depende de qué entidad controla las claves de actualización, percibe las comisiones del protocolo y opera el front-end accesible a los usuarios del EEE.

Requisitos de licenciamiento

Un proyecto DeFi o Web3 necesita una de tres posiciones, respaldada por documentación contemporánea: una posición «plenamente descentralizada» conforme al considerando 22 de MiCA, sin requisito de licenciamiento; una autorización como CASP conforme a MiCA en la UE; o una licencia de VARA, CIMA u otra equivalente fuera de la UE. Conforme al artículo 67 + anexo IV, el umbral de capital del CASP bajo MiCA es de 50.000 € para la Clase 1 (asesoramiento, recepción y transmisión, ejecución de órdenes, colocación, servicios de transferencia, gestión de carteras), 125.000 € para la Clase 2 (custodia y administración, y canje de criptoactivos por fondos y por otros criptoactivos) y 150.000 € para la Clase 3 (explotación de una plataforma de negociación).^[12]

Ámbito de MiCA y la exclusión del considerando 22

El considerando 22 del Reglamento de Mercados de Criptoactivos (Reglamento (UE) 2023/1114) establece que «cuando los servicios de criptoactivos se presten de forma totalmente descentralizada sin ningún intermediario, no deben quedar dentro del ámbito de aplicación del presente Reglamento». Dos puntos operativos rigen su aplicación. En primer lugar, el considerando 22 no es vinculante, al formar parte del preámbulo; los artículos operativos no contienen ninguna definición de «totalmente descentralizado». En segundo lugar, la exención debe aplicarse caso por caso y no como un criterio automático: el Informe conjunto EBA-ESMA elaborado en virtud del artículo 142 de MiCAR, que expone los indicadores que figuran a continuación, concluye que «muy pocos sistemas DeFi alcanzan una descentralización verdaderamente plena».^[2]

Siete indicadores de centralización residual devuelven un servicio al ámbito de MiCA, según el Informe conjunto EBA-ESMA sobre DeFi (publicado el 13 de enero de 2025):^[2]

• Existencia de claves de administración o de actualización.
• Devengo de comisiones a favor de una tesorería controlada por una parte determinada.
• Un operador identificable de front-end o de interfaz de usuario.
• Comercialización activa en la UE.
• Concentración de tokens de gobernanza en un número reducido de wallets.
• Gestión de tesorería por parte de una fundación identificable.
• Dependencias de puentes u oráculos que introducen intermediarios.

La descentralización parcial no es un puerto seguro: el propio considerando 22 establece que MiCA se aplica «cuando parte de esas actividades o servicios se presta de forma descentralizada». El error habitual consiste en tratar el considerando 22 como un requisito binario en lugar de como un expediente probatorio: un protocolo con un multisig actualizable, una tesorería controlada por una fundación y un operador de front-end identificado no supera la prueba de «plena descentralización» en el análisis de factores de EBA-ESMA, incluso cuando los propios smart contracts no impliquen custodia, y la NCA de origen puede determinar que el front-end es el CASP operativo con independencia de cómo se gobierne la capa del protocolo.

Activación de la condición de CASP para front-ends y DAO

Las actividades CASP con mayor probabilidad de aplicarse a un front-end DeFi o Web3 son la explotación de una plataforma de negociación de criptoactivos (cuando el front-end casa órdenes de terceros), el intercambio de criptoactivos por fondos o por otros criptoactivos (cuando el operador facilita los swaps), la custodia y administración de criptoactivos (cuando el front-end controla bóvedas de contratos inteligentes) y los servicios de transferencia (relevantes para los front-ends de bridges).

Un contrato inteligente no custodial que el operador no puede actualizar es la defensa más sólida frente al ámbito CASP; un contrato actualizable controlado por un multisig con firmantes identificados sitúa al operador dentro del ámbito.

Emisión de tokens en virtud del título II de MiCA

Para los tokens que no son ni tokens referenciados a activos (título III) ni tokens de dinero electrónico (título IV), se aplica el título II de MiCA. Los emisores deben redactar un white paper que cumpla los requisitos del anexo I, notificarlo a la autoridad nacional competente de origen al menos 20 días hábiles antes de su publicación, garantizar que las comunicaciones publicitarias sean coherentes con el white paper y actuar con honestidad, imparcialidad y profesionalidad (artículo 14).

El 23 de diciembre de 2025 entró en aplicación el requisito de formato legible por máquina iXBRL, con la taxonomía XBRL de ESMA publicada el 5 de agosto de 2025.^[14] La mayoría de los tokens de gobernanza DeFi quedan comprendidos en el Título II.

Vías de licenciamiento fuera de la UE

VARA (Dubái): ocho licencias específicas por actividad conforme a las Virtual Assets and Related Activities Regulations 2023, complementadas por los Rulebooks de 2024 a 2025. Las tasas de solicitud son de 40.000 AED para Advisory, VA Issuance y VA Transfer and Settlement Services, y de 100.000 AED para Broker-Dealer, Custody, Exchange, Lending and Borrowing y VA Management and Investment Services.

Las tasas anuales de supervisión por actividad son de 80.000 AED para los Servicios de Asesoramiento y de Transferencia y Liquidación de VA, y de 200.000 AED para los servicios de Broker-Dealer, Custodia, Exchange, Préstamo y Endeudamiento, y de Gestión e Inversión en VA, pagaderas por actividad y año por adelantado. Las solicitudes multiactividad conllevan una Tasa de Ampliación de Licencia del 50% de la menor de las dos tasas de solicitud. El proceso de licenciamiento consta de dos fases: un Cuestionario de Divulgación Inicial que da lugar a una Aprobación para Constituir, seguido de la solicitud completa de VASP que da lugar a una licencia. El plazo habitual de principio a fin es de 6 a 12 meses.^[6]

Cayman Islands VASP Act 2020: el registro de la fase 1 se aplica al AML y a la ciberseguridad de cualquier servicio de activos virtuales prestado al público. El licenciamiento de la fase 2 para plataformas de negociación y custodios comenzó de forma incremental a partir de 2024. Tras la consulta del Ministry of Financial Services celebrada de febrero a abril de 2024, la Virtual Asset (Service Providers) (Amendment) Act 2024 amplió la definición de “Owner/Operator” para abarcar plataformas de negociación y DAO sin un grupo gestor identificable.^[15]

Las ventas privadas (conforme a las Virtual Asset (Service Providers) Regulations 2020, “no publicitadas y puestas a disposición de un número limitado de personas o entidades”) quedan fuera del ámbito de la Act, igual que los airdrops gratuitos. No existe un umbral legal de capital: la suficiencia se evalúa en función del plan de negocio.

ADGM DLT Foundations Regulations 2023: el régimen exclusivamente de envoltorio (wrapper). Valor inicial mínimo de activos de 50.000 USD pagadero en moneda fiat (Section 19), desembolsado dentro de los seis meses siguientes a la constitución; Consejo de la Fundación (Foundation Council) compuesto por un mínimo de 2 y un máximo de 16 consejeros; Carta (Charter) obligatoria que establezca los fines, las reglas de emisión de tokens y las reglas sobre los activos; figura opcional del Guardián que supervise el cumplimiento de la Carta por parte del Consejo; cuentas anuales auditadas publicadas en el sitio web de la fundación; auditorías periódicas de seguridad de los sistemas de protección de datos y de TI compartidas con el Registrar; contratación obligatoria de un Company Service Provider salvo que se otorgue el estatus de “exempt foundation”.^[7]

Saint Kitts and Nevis Virtual Asset Act 2020, Cap. 21.29 (en su versión modificada por la Virtual Asset (Amendment) Act No. 8 of 2026, sancionada el 18 de junio de 2026): registro VASP ante la Financial Services Regulatory Commission (división de Nevis). La modificación de 2024 alinea la ley con los estándares de la Recomendación 15 del FATF.^[11] La legislación subordinada en vigor es actualmente el Virtual Asset Business Regulations, SR&O 13 of 2026, que derogó el SRO 25 of 2022.

Saint Lucia Virtual Asset Business Act, n.º 24 de 2022: sancionada el 15 de diciembre de 2022; en vigor desde el 28 de diciembre de 2022. El 4 de agosto de 2025 la FSRA emitió su Circular General sobre los VASP, en la que se confirma que la FSRA es la autoridad supervisora.^[18] La ley exige que el titular de la licencia deposite en escrow activos equivalentes a un mínimo del 15% del valor total de los fondos de clientes mantenidos (sección 12(1)).

El anexo 2 del SI No. 37 of 2025 establece una tasa de solicitud no reembolsable de 1.000 EC$ y una tasa de licencia única de 15.000 EC$ que cubre todos los ámbitos de actividad, pagadera de nuevo en la renovación anual.

Aplicación de DORA a los CASP de MiCA

Desde el 17 de enero de 2025, el Digital Operational Resilience Act (Reglamento (UE) 2022/2554) se aplica a los CASP sujetos a MiCA. Las obligaciones incluyen:

• un marco integral de gestión de riesgos ICT;
• clasificación y notificación de incidentes graves de ICT en cuestión de horas;
• pruebas de resiliencia, incluidas pruebas de penetración basadas en amenazas cada tres años para las entidades significativas;
• un registro de riesgos de terceros ICT (primera presentación 30 de abril de 2025);
• contratos con proveedores de ICT que incluyan derechos de auditoría, estrategias de salida y controles de subcontratación (Reglamento Delegado (UE) 2025/532 de la Comisión sobre la subcontratación de servicios de ICT que dan soporte a funciones críticas o importantes, en vigor desde el 22 de julio de 2025).

El 18 de noviembre de 2025, las Autoridades Europeas de Supervisión designaron 19 proveedores terceros críticos de ICT, entre ellos AWS, Microsoft Azure, Google Cloud, Oracle, SAP y Deutsche Telekom.^[4] Las sanciones alcanzan el 2% del volumen de negocios anual mundial para las entidades financieras; los proveedores terceros críticos de ICT se enfrentan además a multas coercitivas diarias de hasta el 1% del volumen de negocios diario medio a escala mundial, conforme al artículo 35(6).

La octava actualización de la Directiva sobre cooperación administrativa, la Directiva (UE) 2023/2226 (DAC8), se aplica desde el 1 de enero de 2026.^[19] DAC8 impone el intercambio automático de datos sobre operaciones con criptoactivos a los proveedores de servicios de criptoactivos obligados a comunicar información (RCASP) que presten servicios a usuarios residentes en la UE, con independencia del lugar en el que esté establecido el RCASP.

Un operador de fuera de la UE con clientes en la UE queda sujeto; la descentralización plena conforme al considerando 22 de MiCA no excluye por sí sola el alcance de DAC8 cuando existe un operador, un front-end o una contraparte de tesorería identificable. El primer ciclo de reporte abarca las operaciones del año natural 2026, con presentación antes del 31 de enero de 2027 ante la autoridad competente del Estado miembro de conexión del RCASP.

La exposición sancionadora la fija cada Estado miembro dentro de la banda armonizada del artículo 25a de la Directiva 2011/16/UE; en la práctica, las transposiciones nacionales se concentran entre 20.000 € y 150.000 € por infracción, con multas diarias por continuidad.

Consulte la guía completa de autorización CASP en Chipre y el hub de licenciamiento de criptoactivos.

Banca

La banca fiat es el componente más subestimado de cualquier desarrollo DeFi o Web3. Los bancos de compensación principales rechazan de forma habitual a las contrapartes vinculadas a DeFi, y las tasas de rechazo no descienden de manera significativa aunque el proyecto cuente con una estructura de fundación, una auditoría publicada y una posición regulatoria clara. A fecha de mayo de 2026, la banca de entrada y salida de fiat es en la práctica un ejercicio multientidad: una EMI autorizada en la UE para los flujos operativos en euros, un banco afín a la DLT en una jurisdicción familiarizada con los activos digitales para la custodia de la tesorería de tokens y, cuando proceda, una trust company estadounidense regulada para las tenencias de stablecoin y bitcoin.

La mayoría de los bancos rechazan los mandatos DeFi por cinco motivos:

• Anonimato de la contraparte: los usuarios finales de DeFi suelen ser inidentificables para el protocolo, por lo que el banco no puede realizar un análisis significativo de origen del patrimonio ni de origen de los fondos sobre los clientes efectivos del protocolo.
• Riesgo operativo de los smart contracts: un exploit genera exposición a responsabilidad para cualquier banco que financie las operaciones o mantenga la tesorería.
• Volatilidad de la tesorería en tokens: las tesorerías de protocolo denominadas en tokens de gobernanza nativos pueden fluctuar un 70% en un trimestre, lo que complica la evaluación de la solvencia.
• Exposición a la Travel Rule: el Reglamento (UE) 2023/1113, aplicable desde el 30 de diciembre de 2024, responsabiliza a los bancos de la información sobre el ordenante y el beneficiario que envían y reciben sus contrapartes clasificadas como CASP.^[3]
• Riesgo de terceros bajo DORA: los bancos tratan a cualquier contraparte próxima a DeFi que se integre mediante API como un nodo de riesgo ICT.

En la práctica, la estructura de fundación por sí sola no desbloquea el acceso bancario; lo que el comité de crédito evalúa es la capacidad de la entidad operativa de acreditar su postura KYC frente a los usuarios del front-end, los acuerdos de custodia de las claves de actualización sobre los contratos inteligentes y las dependencias de oráculos y puentes que canalizan valor a través de intermediarios identificables, porque esos son los puntos en los que el banco hereda la responsabilidad AML y operativa residual.

En la práctica, las entidades que aceptan estas cuentas se dividen en cuatro arquetipos. El primero es una entidad de dinero electrónico con licencia en la UE y una política documentada de onboarding de activos digitales, utilizada para entradas y salidas SEPA, nóminas y pagos a proveedores; suele tratarse de una EMI de segundo nivel en una jurisdicción familiarizada con los activos digitales y con un equipo de compliance que domina el sector cripto. El segundo es un banco con licencia DLT en una jurisdicción pequeña del EEE (la DLT Act de Liechtenstein y sus equivalentes), utilizado para la custodia de tesorerías de DAO y para saldos operativos en stablecoin.

En tercer lugar, una trust company estadounidense regulada que opera bajo la supervisión de Nueva York o Wyoming, utilizada para tenencias institucionales de bitcoin y stablecoin con atestación mensual. En cuarto lugar, un banco comercial onshore de los Emiratos Árabes Unidos con una no objeción para mantener cuentas de un VASP licenciado por VARA.

Compliance continuo

El compliance es un gasto operativo permanente, no un coste de licenciamiento puntual. Para un front-end DeFi clasificado como CASP de clase 3 bajo MiCA, el coste anual recurrente se sitúa habitualmente entre 500.000 € y 1,2 millones de €, más el mínimo de fondos propios de 150.000 €; para un VASP de mero registro en Caimán o San Cristóbal y Nieves, el coste anual recurrente se acerca a un rango de 150.000 USD a 400.000 USD.

Toda infraestructura clasificada como CASP queda sujeta a cinco obligaciones permanentes: controles AML y cumplimiento de la Travel Rule conforme al Reglamento sobre transferencias de fondos; monitorización de transacciones y cribado de sanciones en el front-end (con precios de proveedores de aproximadamente 25.000 USD a 80.000 USD anuales); controles DORA, incluidos el registro de riesgos de terceros ICT, la clasificación y notificación de incidentes, y las pruebas de penetración basadas en amenazas para entidades significativas; cadencia de auditoría de smart contracts (auditoría inicial previa al lanzamiento, más cada actualización material, más auditoría competitiva, más bug bounty continuo); y auditoría externa de los estados financieros y de los controles ICT.

Los costes de auditoría de contratos inteligentes entre 2025 y 2026 se desglosan según la complejidad:

• Módulo simple: un contrato ERC-20 o de staking cuesta entre 8.000 USD y 50.000 USD.
• Primitiva DeFi moderada: los protocolos de préstamos, AMM o gobernanza cuestan entre 50.000 USD y 150.000 USD.
• Protocolo complejo: una nueva cadena L1/L2 cuesta entre 150.000 USD y 600.000 USD o más en verificación formal.

Las tarifas de los ingenieros de primer nivel rondan los 25.000 USD por ingeniero y semana en Trail of Bits y OpenZeppelin (propuestas del Arbitrum Research and Development Committee, 2024 a 2025), siendo habituales los encargos bajo modelo de retainer en protocolos con una tesorería superior a 100 millones USD.^[16] La mejor práctica del sector para protocolos con un TVL superior a 100 millones USD consiste en dos auditorías independientes, un concurso competitivo en una plataforma como Code4rena o Sherlock y un programa continuo de recompensas por fallos en Immunefi (que había abonado 100,21 millones USD en más de 3.000 informes de bug bounty a septiembre de 2024, con un 77,5% destinado a vulnerabilidades de contratos inteligentes; el mayor pago individual fue de 10 millones USD por una vulnerabilidad del puente cross-chain Wormhole).^[17]

Lo que limita el desarrollo no es el presupuesto de auditoría previo al lanzamiento, que es finito, sino la obligación de volver a auditar en cada actualización material, más el programa continuo de bug bounty; los protocolos que tratan la primera auditoría como un gasto puntual y no como el coste inicial de una línea operativa de seguridad permanente suelen descubrir la brecha en el momento de un incidente derivado de una actualización, cuando el coste marginal de la subsanación asciende a entre cinco y diez veces la cadencia de auditoría recurrente que optaron por no financiar.

Ya han vencido dos plazos transitorios de MiCA: el período transitorio de MiCA para los VASP preexistentes finalizó el 1 de julio de 2026, y el plazo de presentación de documentos de CySEC para los CASP preexistentes era el 27 de febrero de 2026. De cara al futuro, la Comisión Europea aún no ha publicado la evaluación prevista en MiCA, artículo 142, que se esperaba a mediados de 2026 y que puede dar lugar a una legislación específica sobre DeFi, comprobado el 25 de agosto de 2026.

Plazos y costes realistas

El plazo integral, desde el análisis inicial hasta un front-end operativo, suele ser de 1 a 9 meses para una estructura de registro offshore, según se trate de una fundación panameña o de un registro en Caimán o en San Cristóbal y Nieves, y de 9 a 18 meses para una estructura CASP bajo MiCA en la UE. El desarrollo tecnológico (auditorías de smart contracts, front-end, infraestructura) avanza en paralelo al expediente de licenciamiento; el onboarding bancario es el elemento de ruta crítica en la mayoría de los calendarios.

Desglose de costes por fase

A fecha de mayo de 2026, las cifras anteriores incluyen honorarios profesionales, tasas oficiales, honorarios de auditoría y capital regulatorio mínimo cuando resulte aplicable. No incluyen los salarios de los fundadores, el gasto en marketing, el evento de distribución del token del protocolo ni la respuesta a incidentes de seguridad posteriores al lanzamiento. Convención de divisas: EUR para las fases en la UE; USD para las fases fuera de la UE; AED cuando se trate específicamente de VARA.

Preguntas frecuentes

Referencias