El ajuste de MiCA dejó a 1.062 empresas cripto del EEE sin autorización y abrió la puerta a nuevas estafas

El periodo transitorio definitivo del Reglamento sobre los Mercados de Criptoactivos de la Unión Europea (MiCA) terminó el 1 de julio de 2026. Desde ese día, un proveedor de servicios de criptoactivos que atendiera a clientes de la UE sin la autorización necesaria debía dejar de ofrecer esos servicios y ejecutar un cierre ordenado, incluida la migración de clientes cuando fuera necesario. La Autoridad Europea de Valores y Mercados (ESMA) dejó claro que no habría una nueva prórroga a escala europea.

El resultado fue un importante ajuste del mercado, aunque las cifras requieren contexto. Un conjunto de datos de TRM Labs identificó 1.343 proveedores de servicios cripto en el Espacio Económico Europeo (EEE), de los cuales 281 contaban con autorización MiCA y 1.062 no la tenían al llegar la fecha límite. Por tanto, esas 1.062 empresas debían salir del mercado europeo, reestructurarse o transferir a sus clientes; la cifra no demuestra que todas hubieran cerrado inmediatamente todas sus operaciones.

Qué ocurrió después del 1 de julio

MiCA no hizo desaparecer automáticamente todas las plataformas sin licencia de un día para otro. Los proveedores no autorizados debían dejar de atender a clientes de la UE, limitar sus actividades o completar un proceso de cierre ordenado. A las empresas autorizadas se les exigía gestionar la migración de los clientes existentes.

Esta diferencia explica por qué los totales publicados no coinciden. Informaciones posteriores hablaron de más de 1.700 plataformas sin autorización, 323 empresas autorizadas y aproximadamente 10 millones de usuarios que podrían necesitar trasladar sus activos. Esas cifras proceden de fuentes y metodologías distintas, por lo que deben entenderse como estimaciones, no como un recuento oficial de ESMA sobre cierres completados o usuarios que efectivamente transfirieron sus fondos.

La conclusión más sólida es que MiCA redujo drásticamente el número de proveedores que podían atender legalmente al mercado europeo bajo los antiguos regímenes nacionales. No hay base suficiente para afirmar que todas las empresas no autorizadas hubieran cesado ya cualquier actividad ni que todos los usuarios afectados hubieran completado una transferencia.

Por qué el ajuste creó una oportunidad para los estafadores

La transición ofreció a los delincuentes un pretexto creíble para contactar con los clientes. Un estafador podía hacerse pasar por un exchange, ESMA, un regulador nacional o un supuesto socio de migración, y pedir al usuario que “verificara” su cuenta, moviera sus fondos, desbloqueara una cartera o retirara sus activos antes de una fecha límite.

Los reguladores europeos informaron de un aumento de las estafas de suplantación después del 1 de julio. Entre las tácticas detectadas figuraban avisos falsos de organismos supervisores, documentos de autorización falsificados, páginas web clonadas y mensajes que dirigían a los usuarios hacia plataformas fraudulentas.

El riesgo es especialmente elevado porque un proveedor legítimo sí puede pedir a sus clientes que retiren o migren sus activos. Que el cambio regulatorio sea real no convierte en fiable un enlace recibido sin previo aviso. Considera cualquier mensaje no solicitado como no verificado hasta comprobarlo mediante un canal oficial conocido.

Qué exchanges aparecían como autorizados

Entre los grandes exchanges con autorizaciones MiCA reportadas figuraban Coinbase, Kraken, OKX, Crypto.com, Bitstamp y Bitpanda. Sus permisos se obtuvieron a través de determinados Estados miembros de la UE, y el marco MiCA permite a los proveedores autorizados ofrecer los servicios permitidos en todo el mercado único mediante el llamado pasaporte europeo.

Estos nombres no sustituyen a la comprobación en el registro oficial. La autorización corresponde a una entidad jurídica concreta y puede cubrir solo determinados servicios. La guía de ESMA para inversores recomienda confirmar tanto el estado regulatorio del proveedor como el alcance exacto de sus permisos.

Binance no tenía una autorización MiCA equivalente en la fecha límite del 1 de julio. Por ello, sus operaciones europeas no podían ampararse en un pasaporte MiCA para toda la UE. Según la información disponible, la plataforma debía dejar de ofrecer los servicios pertinentes y gestionar el cierre ordenado de las posiciones de sus usuarios.

El material disponible no ofrece pruebas suficientemente fiables para identificar bancos concretos que hubieran “obtenido permisos MiCA”. Además, la comparación requiere matices: algunas entidades financieras pueden prestar servicios relacionados con criptoactivos mediante el procedimiento de notificación previsto por MiCA, sin contar necesariamente con la misma autorización independiente de proveedor de servicios de criptoactivos (CASP) que un exchange.

Qué cambió frente al régimen anterior

Antes del fin de la transición, las empresas elegibles que ya operaban bajo normas nacionales podían seguir haciéndolo temporalmente mientras solicitaban la autorización MiCA. Aquellos sistemas nacionales eran fragmentados; MiCA introdujo un marco común de autorización y supervisión para los proveedores de servicios de criptoactivos.

Entre sus principales exigencias se encuentran:

• Autorización y supervisión: los proveedores deben estar autorizados o acogerse a un procedimiento de notificación aplicable antes de ofrecer los servicios cubiertos por la norma.
• Gobernanza y solvencia: MiCA impone controles organizativos, de gobierno y financieros, incluidos requisitos de capital que varían según el servicio y pueden vincularse también a los gastos generales fijos.
• Protección de los activos de los clientes: la norma establece reglas sobre la custodia de los criptoactivos y fondos de los usuarios.
• Registros y reclamaciones: los proveedores deben conservar registros y disponer de procedimientos para tramitar reclamaciones.
• Transparencia y normas de mercado: MiCA establece requisitos de transparencia, divulgación, autorización y supervisión para la emisión y negociación de criptoactivos, incluidos los tokens referenciados a activos y los tokens de dinero electrónico.

La autorización mejora la supervisión regulatoria, pero no garantiza que los inversores estén protegidos frente a pérdidas, volatilidad, hackeos, fallos operativos o fraudes.

Cómo verificar un proveedor antes de mover fondos

1. Busca la entidad jurídica exacta. No te fíes solo del nombre comercial, de una aplicación o de un anuncio en un buscador. Comprueba el proveedor en el registro de ESMA y confirma que sus permisos cubren el servicio que quieres utilizar y tu país. Consulta también la lista de advertencias del regulador financiero nacional correspondiente.

2. Accede desde un canal conocido. Escribe tú mismo la dirección oficial habitual del exchange o abre su aplicación verificada. No utilices enlaces, códigos QR, números de teléfono ni archivos adjuntos incluidos en correos, mensajes de texto, publicaciones o mensajes directos no solicitados.

3. Rechaza cualquier solicitud de información secreta. Ningún regulador ni exchange legítimo debería necesitar tu frase semilla, clave privada, contraseña o código de autenticación de un solo uso para migrar una cuenta.

4. Confirma las instrucciones de transferencia por otra vía. Comprueba la dirección de destino y la red a través de un canal fiable. Si procede, realiza primero una transferencia de prueba por un importe pequeño y conserva los registros.

5. Revisa qué admite realmente el nuevo proveedor. Antes de mover el saldo, confirma que tus activos, pares de negociación, condiciones de custodia y opciones de retirada seguirán disponibles.

6. Limita la exposición en exchanges. Mantén en una plataforma centralizada solo el saldo que necesites para operar. Para la custodia a largo plazo, protege el material de recuperación fuera de internet y conserva una copia de seguridad probada.

La lección principal del plazo de MiCA no es únicamente que muchas empresas perdieran la capacidad de atender a clientes europeos. Es que una transición regulatoria auténtica puede crear el escenario perfecto para campañas de phishing muy convincentes. Antes de mover un solo activo, verifica de forma independiente la entidad jurídica y el origen de la comunicación.