Cómo construir un proyecto DeFi o Web3: licenciamiento, banca e infraestructura

Lo que necesita para construir un proyecto DeFi o Web3

Un proyecto DeFi o Web3 necesita cinco componentes interrelacionados: una envoltura jurídica para el protocolo o la DAO, una entidad operativa para las actividades off-chain, un análisis del perímetro regulatorio conforme al considerando 22 de MiCA (y a las normas equivalentes fuera de la UE), acceso bancario de entrada y salida de fiat para tesorería y operaciones, y una estructura de compliance continua que abarque auditorías de smart contracts, cribado de sanciones y controles DORA. Los componentes son secuenciales, no paralelos.

Primero está la envoltura jurídica del protocolo. Los protocolos DeFi de escala relevante operan tras una fundación: lo más habitual es una Cayman Foundation Company bajo la Foundation Companies Act (2017, as revised), una ADGM DLT Foundation bajo las Distributed Ledger Technology Foundations Regulations 2023, o una Fundación de Interés Privado panameña bajo la Ley 25 de 12 de junio de 1995. La envoltura mantiene la tesorería del protocolo, contrata con desarrolladores y proveedores, y ofrece una contraparte para programas de subvenciones, exchanges y contrapartes.

Sin una entidad jurídica, las personas que contratan o actúan por un protocolo pueden asumir responsabilidad personal. Las obligaciones sobre valores, fiscalidad y prevención del blanqueo dependen de las actividades, la estructura y la legislación aplicable.^[1]

En segundo lugar viene la entidad operativa para las actividades off-chain. Rara vez el vehículo (wrapper) emplea desarrolladores, gestiona el sitio web, firma contratos de SaaS o mantiene el saldo en moneda fiat. Esas actividades se canalizan a través de una entidad operativa, normalmente una sociedad proveedora de servicios que contrata con la fundación. La entidad operativa es lo que examina el regulador europeo al preguntarse si se requiere una autorización de CASP: tiene una dirección identificable, actividad de marketing, devengo de comisiones y relaciones con contrapartes que la hacen visible ante el regulador.

En tercer lugar, el perímetro regulatorio conforme al considerando 22 de MiCA. El Informe conjunto EBA-ESMA elaborado en virtud del artículo 142 de MiCA (ESMA75-453128700-1391 / EBA/Rep/2025/01, publicado el 16 de enero de 2025) señala que MiCA no especifica cómo interpretar las referencias a «totalmente descentralizado», por lo que la aplicación de la exención depende de los hechos de cada protocolo.^[2] Entre los factores que pueden devolver un servicio al ámbito de MiCA figuran la existencia de un operador identificable del front-end, claves de administración o de actualización, la acumulación de comisiones en una tesorería controlada por una parte identificada, la comercialización activa en la UE y la concentración de tokens de gobernanza.

La descentralización parcial no constituye un puerto seguro. El considerando 22 establece expresamente que MiCA se aplica «cuando parte de esas actividades o servicios se realice de forma descentralizada».

En cuarto lugar, la banca de entrada y salida a fiat. Los proyectos puramente on-chain siguen necesitando fiat para nóminas, pagos a proveedores y la propia rampa de entrada y salida. Los bancos rechazan de forma habitual a las contrapartes vinculadas a DeFi: el anonimato de la contraparte en la capa de protocolo, el riesgo operativo de los smart contracts, la volatilidad de la tesorería en tokens y las obligaciones de la Travel Rule derivadas del Reglamento sobre transferencias de fondos (Reglamento (UE) 2023/1113, aplicable desde el 30 de diciembre de 2024) empujan a los bancos de clearing principales hacia la negativa.

Con arreglo al TFR, la información del ordenante y del beneficiario debe acompañar a toda transferencia de criptoactivos entre CASP sin umbral de minimis; en el caso de transferencias hacia o desde monederos autoalojados por importe superior a 1.000 €, el CASP debe evaluar además si el monedero es propiedad del cliente o está bajo su control.^[3] La vía práctica combina una EMI autorizada en la UE para los flujos en euros, un banco favorable a la DLT en una jurisdicción familiarizada con los activos digitales para la custodia de la tesorería en tokens, y una sociedad fiduciaria regulada para las tenencias de stablecoin y bitcoin.

En quinto lugar, el compliance continuo: auditorías de smart contracts y bug bounty permanente, cribado de sanciones en el front-end y en la rampa de entrada/salida fiat, monitorización de transacciones para cualquier superficie clasificada como CASP, controles DORA para el riesgo de terceros en ICT conforme al Reglamento (UE) 2022/2554 (aplicable desde el 17 de enero de 2025) y compliance con la Travel Rule para cualquier transferencia de CASP a CASP.^[4]

Lista de comprobación de infraestructura

La mayor parte de esto avanza en secuencia. Antes de poder organizar la banca, antes de poder contratar auditorías y antes de poder incorporar a cualquier proveedor de compliance, deben existir la estructura jurídica y la entidad operativa. El análisis del perímetro debe preceder al despliegue de los smart contracts, porque las decisiones de arquitectura (claves de administración, mecánica de devengo de comisiones, capacidad de actualización) determinan si MiCA resulta aplicable. La banca fiat es el elemento de mayor plazo en la mayoría de los proyectos: la precalificación a través de la red de socios suele iniciarse en paralelo a la constitución de la estructura jurídica, no después de ella.

Elegir la jurisdicción adecuada

La elección de la jurisdicción determina el envoltorio jurídico disponible, el perímetro regulatorio, el tratamiento fiscal de la tesorería del protocolo, las opciones de banca fiat y la señal de credibilidad ante exchanges, custodios y contrapartes institucionales. Para los proyectos DeFi y Web3, la elección se plantea entre jurisdicciones offshore de fundaciones (Caimán, ADGM en los EAU, Panamá, San Cristóbal y Nieves) y jurisdicciones MiCA de la UE (Chipre, República Checa), cada una adecuada a un perfil de protocolo distinto.

Comparativa de jurisdicciones

Elija las Islas Caimán si el proyecto es un protocolo con una tesorería que mantiene tokens de gobernanza o stablecoins, prevé ser citado por su nombre en plataformas de terceros y desea el mayor grupo de proveedores de servicios profesionales con conocimiento del sector cripto. La Cayman Foundation Company es un vehículo ampliamente utilizado para DAO, porque puede convertirse en una entidad “huérfana” sin accionistas, supervisada por personas físicas o proveedores (no por miembros), y utilizada por grandes protocolos DeFi, incluidos los de las generaciones de Aave y Compound.^[5]

Cuando el front-end del protocolo es custodial u opera una plataforma de negociación, resulta aplicable el régimen de licenciamiento de la Fase 2 de la VASP Act 2020.

Cayman es la opción por defecto para protocolos que planean integraciones institucionales; no es la base adecuada para proyectos que buscan una distribución minorista activa en la UE. Consulte el centro de licenciamiento cripto completo.

Elija los Emiratos Árabes Unidos si el proyecto busca una sede regulada creíble con acceso al mercado onshore, flujo institucional de MENA y la capacidad de emitir tokens o gestionar un front-end de custodia bajo un marco reconocido. En los EAU existen tres bloques relevantes:

• Licenciamiento VARA: un modelo de ocho categorías abarca asesoramiento, broker-dealer, custodia, exchange, préstamos, gestión, transferencia y emisión de VA, con tasas de solicitud desde 40.000 AED hasta 100.000 AED por actividad y tasas anuales de supervisión de 80.000 AED a 200.000 AED por actividad.^[6]
• ADGM DLT Foundations: el Reglamento de 2023 establece un régimen de fundaciones diseñado específicamente para el uso de DLT y la gobernanza de DAO, y exige un valor inicial mínimo de activos de 50.000 USD pagadero en moneda fiat (Sección 19), un consejo de dos a dieciséis miembros y una carta escrita que regule la emisión de tokens y las normas de tesorería.^[7]
• Fiscalidad y supervisión: el impuesto sobre sociedades de los EAU es del 9% por encima de 375.000 AED de beneficio imponible para los contribuyentes ordinarios; una Qualifying Free Zone Person tributa al 0% sobre las rentas cualificadas y al 9% sobre el resto de la renta imponible. La actividad sancionadora de VARA se ha intensificado: el 7 de octubre de 2025, VARA sancionó a 19 empresas por actividad con activos virtuales sin licencia, con multas de entre 100.000 AED y 600.000 AED.^[8]

Consulte el centro de licenciamiento de criptoactivos.

Elija Panamá si el proyecto busca un envoltorio de bajo coste y baja fricción para la tesorería del protocolo, tratamiento fiscal territorial y ninguna capa de licenciamiento de la Fase 2. Entre los envoltorios de DAO con menor fricción a nivel mundial se encuentra la Fundación de Interés Privado panameña, regulada por la Ley 25 de 1995: dotación mínima de 10.000 USD, tasa gubernamental anual de 400 USD (tasa única),^[13] Consejo de la Fundación compuesto por una persona jurídica o al menos tres personas físicas y separación patrimonial total respecto del fundador conforme al artículo 11.^[9]

Panamá fue retirada de la lista gris del FATF el 27 de octubre de 2023; su retirada de la lista UE de países de alto riesgo en materia AML llegó con la actualización de la Comisión de 10 de junio de 2025 de la lista de terceros países de alto riesgo (Reglamento Delegado (UE) 2025/1184, en vigor desde el 5 de agosto de 2025).^[10] Panamá sigue figurando en el anexo I de la lista de la UE de jurisdicciones no cooperativas a efectos fiscales tras la revisión del Consejo del 17 de febrero de 2026.^[25] Panamá resulta adecuada para estructuras de tesorería y de holding, no para protocolos que necesitan una licencia regulada en el front-end.

Elija Chipre si el proyecto prevé un front-end en la UE con marketing activo hacia usuarios del EEE, pretende operar como CASP regulado y busca una base de impuesto sobre sociedades del 15% alineada con el Pilar Dos, con una sólida infraestructura de servicios profesionales. La autorización de CASP de CySEC conforme a MiCA conlleva los requisitos de capital escalonados estándar fijados por el artículo 67 y el anexo IV: 50.000 € para la Clase 1 (asesoramiento, recepción y transmisión, ejecución de órdenes, colocación, servicios de transferencia, gestión de carteras), 125.000 € para la Clase 2 (custodia y administración de criptoactivos, e intercambio de criptoactivos por fondos y por otros criptoactivos) y 150.000 € para la Clase 3 (gestión de una plataforma de negociación). Cuando una autorización abarca varias clases, se aplica el umbral más elevado que corresponda; el artículo 67(1) exige además que los CASP mantengan en todo momento el importe más alto entre el mínimo legal y una cuarta parte de los gastos fijos generales del ejercicio anterior.^[12][26]

Cuando las salvaguardas se cubren con fondos propios, estos deben ser computables conforme a MiCA, artículo 67(4)(a); una posición de tesorería en BTC o stablecoins no satisface el mínimo regulatorio. CySEC fijó el 27 de febrero de 2026 como plazo para que los CASP preexistentes presentaran sus solicitudes MiCA, y el período transitorio a escala de la UE finalizó el 1 de julio de 2026. Consulte la guía completa de licenciamiento cripto en Chipre.

Elija la República Checa si el proyecto busca una autorización CASP MiCA en la UE de un regulador que ya las está concediendo. Conforme a MiCA y a la Ley n.º 31/2025 Col., el Banco Nacional Checo (ČNB) autoriza y supervisa a los CASP; el cumplimiento AML/CFT lo supervisan la Oficina de Análisis Financiero y el ČNB. La República Checa ofrece un tipo del impuesto de sociedades del 21% y pasaporte europeo con una única autorización CASP. Su examen es selectivo: el ČNB concedió 11 autorizaciones de 251 solicitudes y notificaciones evaluadas hasta el 1 de julio de 2026, y calificó una parte significativa de los expedientes de totalmente insuficiente en su contenido.^[20] Consulte el centro de licenciamiento de criptoactivos.

Constitución de su sociedad

La constitución de sociedades es el primer paso operativo para un proyecto DeFi o Web3, porque el vehículo fundacional, la entidad operativa, la solicitud de banca fiat y el encargo de auditoría de smart contracts requieren todos una persona jurídica registrada. El error de constitución más habitual consiste en constituir la entidad operativa en la jurisdicción equivocada (normalmente una LLC estadounidense o una Ltd británica en manos personales de los fundadores) y reestructurar después, cuando queda claro que la entidad no puede albergar la tesorería del protocolo ni contratar con contrapartes reguladas. El coste es de 2 a 4 meses y de 40.000 € a 100.000 € en honorarios de reestructuración.

Constitución por jurisdicción

Para la mayoría de los protocolos con una escala relevante, la estructura de dos entidades (fundación más entidad operativa) es la arquitectura de trabajo. La fundación mantiene la tesorería y la propiedad intelectual a nivel de protocolo; la entidad operativa emplea a los desarrolladores, gestiona el sitio web y el front-end, y contrata con terceros. Al evaluar si el protocolo está «totalmente descentralizado» o si la entidad operativa es un CASP, el regulador abre un requerimiento de información sobre el contrato de servicios entre ambas. Redactar ese contrato es un ejercicio regulatorio, no societario.

Lo que MiCA no evalúa en la capa del protocolo lo evalúa en la capa de la entidad operativa: la elección de la forma jurídica de la fundación (Cayman Foundation Company, ADGM DLT Foundation, Panama Private Interest Foundation) no resuelve, por sí sola, la cuestión de cuál es el CASP de referencia, que depende de qué entidad controla las claves de actualización, percibe las comisiones del protocolo y opera el front-end accesible a los usuarios del EEE.

Requisitos de licenciamiento

Un proyecto DeFi o Web3 necesita una de tres posiciones, respaldada por documentación contemporánea: una posición «plenamente descentralizada» conforme al considerando 22 de MiCA, sin requisito de licenciamiento; una autorización como CASP conforme a MiCA en la UE; o una licencia de VARA, CIMA u otra equivalente fuera de la UE. Conforme al artículo 67 + anexo IV, el umbral de capital del CASP bajo MiCA es de 50.000 € para la Clase 1 (asesoramiento, recepción y transmisión, ejecución de órdenes, colocación, servicios de transferencia, gestión de carteras), 125.000 € para la Clase 2 (custodia y administración, y canje de criptoactivos por fondos y por otros criptoactivos) y 150.000 € para la Clase 3 (explotación de una plataforma de negociación).^[12]

Ámbito de MiCA y la exclusión del considerando 22

El considerando 22 del Reglamento de Mercados de Criptoactivos (Reglamento (UE) 2023/1114) establece que «cuando los servicios de criptoactivos se presten de forma totalmente descentralizada sin ningún intermediario, no deben quedar dentro del ámbito de aplicación del presente Reglamento». Dos puntos operativos rigen su aplicación. En primer lugar, el considerando 22 no es vinculante, al formar parte del preámbulo; los artículos operativos no contienen ninguna definición de «totalmente descentralizado». En segundo lugar, al no existir un criterio legal, la exención depende de los hechos de cada caso y no de una regla automática: el Informe conjunto EBA-ESMA elaborado en virtud del artículo 142 de MiCAR señala que MiCA no especifica cómo interpretar las referencias a «totalmente descentralizado».^[2]

Según nuestra lectura, siete indicadores de centralización residual pesan a favor de la inclusión en el ámbito de MiCA; el Informe conjunto EBA-ESMA del 16 de enero de 2025 señala varios de ellos, como las claves de administrador, los flujos de comisiones hacia una dirección que controla una parte central y la concentración de tokens de gobernanza:^[2]

• Existencia de claves de administración o de actualización.
• Devengo de comisiones a favor de una tesorería controlada por una parte determinada.
• Un operador identificable de front-end o de interfaz de usuario.
• Comercialización activa en la UE.
• Concentración de tokens de gobernanza en un número reducido de wallets.
• Gestión de tesorería por parte de una fundación identificable.
• Dependencias de puentes u oráculos que introducen intermediarios.

La descentralización parcial no es un puerto seguro: el propio considerando 22 establece que MiCA se aplica «cuando parte de esas actividades o servicios se presta de forma descentralizada». El error habitual consiste en tratar el considerando 22 como un requisito binario en lugar de como un expediente probatorio. Un multisig actualizable, una tesorería controlada por una fundación y un operador de front-end identificado exigen un análisis específico del caso, incluso cuando los propios smart contracts no impliquen custodia. El Informe conjunto EBA-ESMA no fija ninguna prueba de descentralización y afirma que su terminología no expresa una opinión sobre el nivel de descentralización a efectos del considerando 22.^[2] La cuestión es si una persona o empresa identificable presta un servicio de criptoactivos comprendido en MiCA, y esa puede ser el operador del front-end, cualquiera que sea la gobernanza de la capa del protocolo.

Activación de la condición de CASP para front-ends y DAO

Las actividades CASP con mayor probabilidad de aplicarse a un front-end DeFi o Web3 son la explotación de una plataforma de negociación de criptoactivos (cuando el front-end casa órdenes de terceros), el intercambio de criptoactivos por fondos o por otros criptoactivos (cuando el operador facilita los swaps), la custodia y administración de criptoactivos (cuando el front-end controla bóvedas de contratos inteligentes) y los servicios de transferencia (relevantes para los front-ends de bridges).

Un contrato inteligente no custodial que el operador no puede actualizar es la defensa más sólida frente al ámbito CASP; un contrato actualizable controlado por un multisig con firmantes identificados no convierte por sí solo al operador en CASP, pero identifica quién controla el protocolo y hace más difícil demostrar que el servicio funciona sin ningún intermediario.

Emisión de tokens en virtud del título II de MiCA

Para los criptoactivos incluidos en el ámbito de aplicación que no son ni tokens referenciados a activos (título III) ni tokens de dinero electrónico (título IV), el título II de MiCA regula las ofertas al público y la admisión a negociación en la UE, con sujeción a sus exenciones. Cuando se exige un white paper, el oferente o la persona que solicita la admisión a negociación lo elabora conforme al anexo I y lo notifica a la autoridad competente de su Estado miembro de origen al menos 20 días hábiles antes de su publicación (artículo 8); las comunicaciones publicitarias deben ser coherentes con el white paper (artículo 7), y el oferente o la persona que solicita la admisión debe actuar con honestidad, imparcialidad y profesionalidad (artículo 14).

El 23 de diciembre de 2025 entró en aplicación el requisito de formato legible por máquina iXBRL, con la taxonomía XBRL de ESMA publicada el 5 de agosto de 2025.^[14] La mayoría de los tokens de gobernanza DeFi se encuadran en esta categoría del Título II, por lo que las normas del Título II expuestas arriba se aplican cuando un token de este tipo se ofrece al público o se admite a negociación, salvo que se aplique una exención.

Vías de licenciamiento fuera de la UE

VARA (Dubái): ocho licencias específicas por actividad conforme a las Virtual Assets and Related Activities Regulations 2023, complementadas por los Rulebooks de 2024 a 2025. Las tasas de solicitud son de 40.000 AED para Advisory y VA Transfer and Settlement Services, y de 100.000 AED para Broker-Dealer, Category 1 VA Issuance, Custody, Exchange, Lending and Borrowing y VA Management and Investment Services.

Las tasas anuales de supervisión por actividad son de 80.000 AED para los Servicios de Asesoramiento y de Transferencia y Liquidación de VA, y de 200.000 AED para los servicios de Broker-Dealer, Emisión de VA de Categoría 1, Custodia, Exchange, Préstamo y Endeudamiento, y de Gestión e Inversión en VA, pagaderas por actividad y año por adelantado. Las solicitudes multiactividad conllevan una Tasa de Ampliación de Licencia del 50% de la menor de las dos tasas de solicitud. El proceso de licenciamiento consta de dos fases: un Cuestionario de Divulgación Inicial que da lugar a una Aprobación para Constituir, seguido de la solicitud completa de VASP que da lugar a una licencia. El plazo habitual de principio a fin es de 6 a 12 meses.^[6]

Cayman Islands VASP Act 2020: el registro de la fase 1 se aplica al AML y a la ciberseguridad de cualquier servicio de activos virtuales prestado al público. El licenciamiento de la fase 2 para plataformas de negociación y custodios comenzó el 1 de abril de 2025. Tras la consulta del Ministry of Financial Services celebrada de febrero a abril de 2024, la Virtual Asset (Service Providers) (Amendment) Act 2024 amplió la definición de “Owner/Operator” para abarcar plataformas de negociación y DAO sin un grupo gestor identificable.^[15]

Las ventas privadas (conforme a las Virtual Asset (Service Providers) Regulations 2020, “no publicitadas y puestas a disposición de un número limitado de personas o entidades”) quedan fuera del ámbito de la Act, igual que los airdrops gratuitos. No existe un umbral legal de capital: la suficiencia se evalúa en función del plan de negocio.

ADGM DLT Foundations Regulations 2023: el régimen exclusivamente de envoltorio (wrapper). Valor inicial mínimo de activos de 50.000 USD pagadero en moneda fiat (Section 19), desembolsado dentro de los seis meses siguientes a la constitución; Consejo de la Fundación (Foundation Council) compuesto por un mínimo de 2 y un máximo de 16 consejeros; Carta (Charter) obligatoria que establezca los fines, las reglas de emisión de tokens y las reglas sobre los activos; figura opcional del Guardián que supervise el cumplimiento de la Carta por parte del Consejo; cuentas anuales auditadas publicadas en el sitio web de la fundación; auditorías periódicas de seguridad de los sistemas de protección de datos y de TI compartidas con el Registrar; contratación obligatoria de un Company Service Provider salvo que se otorgue el estatus de “exempt foundation”.^[7]

Ley de Activos Virtuales de San Cristóbal y Nieves de 2020, Cap. 21.29 (según su modificación por la Ley de Activos Virtuales (Modificación) n.º 8 de 2026, sancionada el 18 de junio de 2026): registro VASP ante la Financial Services Regulatory Commission (regulador federal, administrado a través de su sucursal de San Cristóbal). La modificación de 2024 incluyó a los accionistas de control en la evaluación fit and proper de los accionistas significativos,^[11] y la modificación de 2026 añadió una auditoría independiente obligatoria en materia de AML/CFT/CPF (artículo 9(11)).^[23] La legislación subsidiaria operativa es ahora el Reglamento de Negocios de Activos Virtuales, SR&O 13 de 2026, que derogó el SRO 25 de 2022 y exige una decisión en un plazo de 90 días desde la presentación de una solicitud completa.^[24]

Saint Lucia Virtual Asset Business Act, n.º 24 de 2022: sancionada el 15 de diciembre de 2022; en vigor desde el 28 de diciembre de 2022. El 4 de agosto de 2025 la FSRA emitió su Circular General sobre los VASP, en la que se confirma que la FSRA es la autoridad supervisora.^[18] La FSRA declaró el 16 de junio de 2026 que no había comenzado a conceder licencias conforme a la ley, por lo que todavía ninguna entidad tiene licencia.^[21] La ley exige que el titular de la licencia deposite en escrow activos equivalentes a un mínimo del 15% del valor total de los fondos de clientes mantenidos (sección 12(1)).

El anexo 2 del SI No. 37 of 2025 establece una tasa de solicitud no reembolsable de 1.000 EC$ y una tasa de licencia única de 15.000 EC$ que cubre todos los ámbitos de actividad, pagadera de nuevo en la renovación anual.

Aplicación de DORA a los CASP de MiCA

Desde el 17 de enero de 2025, el Digital Operational Resilience Act (Reglamento (UE) 2022/2554) se aplica a los CASP sujetos a MiCA. Las obligaciones incluyen:

• un marco integral de gestión de riesgos ICT;
• clasificación y notificación de incidentes graves de ICT en cuestión de horas;
• pruebas de resiliencia, incluidas pruebas de penetración basadas en amenazas cada tres años para las entidades significativas;
• un registro de riesgos de terceros ICT (primera presentación 30 de abril de 2025);
• contratos con proveedores de ICT que incluyan derechos de auditoría, estrategias de salida y controles de subcontratación (Reglamento Delegado (UE) 2025/532 de la Comisión sobre la subcontratación de servicios de ICT que dan soporte a funciones críticas o importantes, en vigor desde el 22 de julio de 2025).

El 18 de noviembre de 2025, las Autoridades Europeas de Supervisión designaron 19 proveedores terceros críticos de ICT, entre ellos AWS, Microsoft Azure, Google Cloud, Oracle, SAP y Deutsche Telekom.^[4] La propia DORA no fija ningún importe sancionador para las entidades financieras: conforme al artículo 50(3), los Estados miembros establecen las sanciones administrativas y las medidas correctoras aplicables a las infracciones.

Los proveedores terceros críticos de ICT se enfrentan a multas coercitivas periódicas de hasta el 1% del volumen de negocios diario medio a escala mundial del ejercicio anterior, impuestas diariamente durante un máximo de seis meses, conforme al artículo 35(6)–(8).^[4]

La octava actualización de la Directiva sobre cooperación administrativa, la Directiva (UE) 2023/2226 (DAC8), se aplica desde el 1 de enero de 2026.^[19] DAC8 impone el intercambio automático de datos sobre operaciones con criptoactivos a los proveedores de servicios de criptoactivos obligados a comunicar información (RCASP) que presten servicios a usuarios residentes en la UE, con independencia del lugar en el que esté establecido el RCASP.

Un operador de fuera de la UE con clientes en la UE queda incluido en el ámbito de aplicación; la descentralización plena conforme al considerando 22 de MiCA no excluye por sí sola el alcance de DAC8 cuando existe un operador, un front-end o una contraparte de tesorería identificable. El primer período de referencia es el año natural 2026. DAC8 deja el plazo de presentación ante la autoridad competente del Estado miembro de conexión del RCASP a la ley de transposición de ese Estado; las autoridades competentes deben después intercambiar la información dentro de los nueve meses siguientes al final del año natural (artículo 8ad(6)).

La exposición sancionadora la fija cada Estado miembro: el artículo 25a de la Directiva 2011/16/UE, sustituido por DAC8, exige sanciones efectivas, proporcionadas y disuasorias, pero no fija un importe ni una horquilla, por lo que el nivel y cualquier multa diaria por persistencia del incumplimiento dependen de la ley de transposición del Estado miembro de conexión.

Consulte la guía completa de autorización CASP en Chipre y el hub de licenciamiento de criptoactivos.

Banca

La banca fiat es el componente más subestimado de cualquier desarrollo DeFi o Web3. Los bancos de compensación principales rechazan de forma habitual a las contrapartes vinculadas a DeFi, y las tasas de rechazo no descienden de manera significativa aunque el proyecto cuente con una estructura de fundación, una auditoría publicada y una posición regulatoria clara. A fecha de mayo de 2026, la banca de entrada y salida de fiat es en la práctica un ejercicio multientidad: una EMI autorizada en la UE para los flujos operativos en euros, un banco afín a la DLT en una jurisdicción familiarizada con los activos digitales para la custodia de la tesorería de tokens y, cuando proceda, una trust company estadounidense regulada para las tenencias de stablecoin y bitcoin.

La mayoría de los bancos rechazan los mandatos DeFi por cinco motivos:

• Anonimato de la contraparte: los usuarios finales de DeFi suelen ser inidentificables para el protocolo, por lo que el banco no puede realizar un análisis significativo de origen del patrimonio ni de origen de los fondos sobre los clientes efectivos del protocolo.
• Riesgo operativo de los smart contracts: un exploit genera exposición a responsabilidad para cualquier banco que financie las operaciones o mantenga la tesorería.
• Volatilidad de la tesorería en tokens: las tesorerías de protocolo denominadas en tokens de gobernanza nativos pueden fluctuar un 70% en un trimestre, lo que complica la evaluación de la solvencia.
• Exposición a la Travel Rule: el Reglamento (UE) 2023/1113, aplicable desde el 30 de diciembre de 2024, responsabiliza a los bancos de la información sobre el ordenante y el beneficiario que envían y reciben sus contrapartes clasificadas como CASP.^[3]
• Riesgo de terceros bajo DORA: los bancos tratan a cualquier contraparte próxima a DeFi que se integre mediante API como un nodo de riesgo ICT.

En la práctica, la estructura de fundación por sí sola no desbloquea el acceso bancario; lo que el comité de crédito evalúa es la capacidad de la entidad operativa de acreditar su postura KYC frente a los usuarios del front-end, los acuerdos de custodia de las claves de actualización sobre los contratos inteligentes y las dependencias de oráculos y puentes que canalizan valor a través de intermediarios identificables, porque esos son los puntos en los que el banco hereda la responsabilidad AML y operativa residual.

En la práctica, las entidades que aceptan estas cuentas se dividen en cuatro arquetipos. El primero es una entidad de dinero electrónico con licencia en la UE y una política documentada de onboarding de activos digitales, utilizada para entradas y salidas SEPA, nóminas y pagos a proveedores; suele tratarse de una EMI de segundo nivel en una jurisdicción familiarizada con los activos digitales y con un equipo de compliance que domina el sector cripto. El segundo es un banco autorizado que ofrece servicios de activos digitales, por ejemplo en Liechtenstein, utilizado para la custodia de tesorerías de DAO y saldos operativos en stablecoins. El registro como proveedor de servicios TT conforme a la TVTG de Liechtenstein no es una licencia bancaria; la licencia suiza de sistema de negociación DLT es un permiso separado.

En tercer lugar, una trust company estadounidense regulada que opera bajo la supervisión de Nueva York o Wyoming, utilizada para tenencias institucionales de bitcoin y stablecoin con atestación mensual. En cuarto lugar, un banco comercial onshore de los Emiratos Árabes Unidos con una no objeción para mantener cuentas de un VASP licenciado por VARA.

Compliance continuo

El compliance es un gasto operativo permanente, no un coste de licenciamiento puntual. Para un front-end DeFi clasificado como CASP de clase 3 bajo MiCA, el coste anual recurrente se sitúa habitualmente entre 500.000 € y 1,2 millones de €, más salvaguardas prudenciales equivalentes al mayor importe entre 150.000 € y una cuarta parte de los gastos fijos generales del ejercicio anterior; para un VASP de mero registro en Caimán o San Cristóbal y Nieves, el coste anual recurrente se acerca a un rango de 150.000 USD a 400.000 USD.

Toda infraestructura clasificada como CASP queda sujeta a cinco obligaciones permanentes: controles AML y cumplimiento de la Travel Rule conforme al Reglamento sobre transferencias de fondos; monitorización de transacciones y cribado de sanciones en el front-end (con precios de proveedores de aproximadamente 25.000 USD a 80.000 USD anuales); controles DORA, incluidos el registro de riesgos de terceros ICT, la clasificación y notificación de incidentes, y las pruebas de penetración basadas en amenazas para entidades significativas; cadencia de auditoría de smart contracts (auditoría inicial previa al lanzamiento, más cada actualización material, más auditoría competitiva, más bug bounty continuo); y auditoría externa de los estados financieros y de los controles ICT.

Los costes de auditoría de contratos inteligentes entre 2025 y 2026 se desglosan según la complejidad:

• Módulo simple: un contrato ERC-20 o de staking cuesta entre 8.000 USD y 50.000 USD.
• Primitiva DeFi moderada: los protocolos de préstamos, AMM o gobernanza cuestan entre 50.000 USD y 150.000 USD.
• Protocolo complejo: una nueva cadena L1/L2 cuesta entre 150.000 USD y 600.000 USD o más en verificación formal.

Las tarifas de los ingenieros de primer nivel rondan los 25.000 USD por ingeniero y semana en Trail of Bits y OpenZeppelin (propuestas del Arbitrum Research and Development Committee, 2024 a 2025), siendo habituales los encargos bajo modelo de retainer en protocolos con una tesorería superior a 100 millones USD.^[16] La mejor práctica del sector para protocolos con un TVL superior a 100 millones USD consiste en dos auditorías independientes, un concurso competitivo en una plataforma como Code4rena o Sherlock y un programa continuo de recompensas por fallos en Immunefi (que había abonado 100,21 millones USD en más de 3.000 informes de bug bounty a septiembre de 2024, con un 77,5% destinado a vulnerabilidades de contratos inteligentes; el mayor pago individual fue de 10 millones USD por una vulnerabilidad del puente cross-chain Wormhole).^[17]

Lo que limita el desarrollo no es el presupuesto de auditoría previo al lanzamiento, que es finito, sino la obligación de volver a auditar en cada actualización material, más el programa continuo de bug bounty; los protocolos que tratan la primera auditoría como un gasto puntual y no como el coste inicial de una línea operativa de seguridad permanente suelen descubrir la brecha en el momento de un incidente derivado de una actualización, cuando la subsanación suele costar mucho más que la cadencia de auditoría recurrente que optaron por no financiar.

Ya han vencido dos plazos transitorios de MiCA: el período transitorio de MiCA para los VASP preexistentes finalizó el 1 de julio de 2026, y el plazo de presentación de documentos de CySEC para los CASP preexistentes era el 27 de febrero de 2026. De cara al futuro, la Comisión Europea no había publicado su informe en virtud de MiCA, artículo 142, que debía presentarse a más tardar el 30 de diciembre de 2024, cuando se comprobó el 25 de agosto de 2026; ese informe debe evaluar las finanzas descentralizadas y puede dar lugar a una legislación específica sobre DeFi.

Plazos y costes realistas

El plazo integral, desde el análisis inicial hasta un front-end operativo, suele ser de 1 a 9 meses para la constitución de una estructura offshore o el registro VASP, según se trate de una fundación panameña o de un registro en Caimán o en San Cristóbal y Nieves, y de 8 a 18 meses para una estructura CASP bajo MiCA en la UE. El desarrollo tecnológico (auditorías de smart contracts, front-end, infraestructura) avanza en paralelo al expediente de licenciamiento; el onboarding bancario es el elemento de ruta crítica en la mayoría de los calendarios.

Desglose de costes por fase

A fecha de mayo de 2026, las cifras anteriores son estimaciones de planificación de Jagelski & Partners (los honorarios reales se presupuestan caso por caso) e incluyen honorarios profesionales, tasas oficiales, honorarios de auditoría y fondos propios mantenidos para las salvaguardas regulatorias cuando resulte aplicable. No incluyen los salarios de los fundadores, el gasto en marketing, el evento de distribución del token del protocolo ni la respuesta a incidentes de seguridad posteriores al lanzamiento. Convención de divisas: EUR para las fases en la UE; USD para las fases fuera de la UE; AED cuando se trate específicamente de VARA.

Preguntas frecuentes

Referencias