Transferencias de fondos y criptoactivos: el TFR

El nombre completo de la norma lo explica casi todo: Reglamento (UE) 2023/1113 del Parlamento Europeo y del Consejo, de 31 de mayo de 2023, relativo a la información que acompaña a las transferencias de fondos y de determinados criptoactivos y por el que se modifica la Directiva (UE) 2015/849. En el sector se le llama TFR, por Transfer of Funds Regulation, y a la obligación que impone, travel rule o regla del viajero: la información sobre quién ordena y quién recibe debe viajar junto con la transferencia.

La lógica antiblanqueo es sencilla. Si una transferencia llega sin identificar a quien la ordenó, el receptor no puede evaluar el riesgo, la autoridad no puede reconstruir la cadena y el rastro se pierde. Por eso el régimen de información en transferencias de fondos existe en la Unión desde hace años. Lo que hace el Reglamento 2023/1113 es refundir ese régimen y extenderlo a los criptoactivos, cerrando la brecha que suponía que un mismo valor pudiera moverse con trazabilidad si era una transferencia bancaria y sin ella si era una transferencia de criptoactivos.

La estructura del reglamento refleja exactamente esa doble naturaleza. Tras un capítulo I de objeto, ámbito de aplicación y definiciones, el capítulo II regula las obligaciones de los proveedores de servicios de pago y el capítulo III las de los proveedores de servicios de criptoactivos. Son dos regímenes paralelos, con exigencias parecidas pero no idénticas, y la diferencia más importante entre ambos —la de los umbrales— es precisamente la que más errores genera.

Por su naturaleza de reglamento, el TFR es directamente aplicable: no requiere transposición y se aplica en España sin necesidad de norma interna que lo reproduzca. Convive con la Ley 10/2010 y con su reglamento de desarrollo, que siguen siendo el marco general de las obligaciones de prevención, y se coordina con el paquete europeo del que forman parte el nuevo Reglamento de PBC y la AMLA.

La consecuencia práctica de esa estructura es que muchas entidades caen en los dos capítulos a la vez. Un proveedor de servicios de criptoactivos que además ofrece servicios de transferencia de fichas de dinero electrónico puede necesitar autorización de servicios de pago, y entonces tiene que cumplir los dos regímenes sobre operativas distintas. La primera tarea de cualquier proyecto de cumplimiento del TFR es, por tanto, mapear qué operativa cae en qué capítulo, porque los umbrales y las obligaciones no coinciden.

Dos precisiones sobre el funcionamiento operativo. La primera se refiere al momento: la información del originante y del beneficiario debe presentarse de forma inmediata y segura, y en el caso de las transferencias por lotes el reglamento exige que esa presentación se efectúe antes de que se complete la transacción o en el momento en que esto suceda. No vale enviarla después: la regla se llama del viajero precisamente porque los datos acompañan al movimiento.

La segunda se refiere a la vía. El reglamento no impone una tecnología concreta de transmisión. Exige que la información se transmita de forma inmediata y segura, lo que en la práctica ha llevado al sector a adoptar protocolos y proveedores especializados de mensajería para la regla del viajero. La elección de esa infraestructura es una decisión de cumplimiento, no solo técnica: si tu contraparte usa un protocolo que tú no soportas, la transferencia no puede completarse en condiciones.

Esta es, con diferencia, la confusión más extendida. Muchos proyectos importan sin más el umbral de 1.000 € del régimen de fondos y lo aplican a la operativa de criptoactivos, dejando fuera del flujo de información todas las transferencias por debajo de esa cifra. Es un error de diseño con consecuencias directas: significa que una parte sustancial de la operativa circula sin la información exigida por el reglamento.

El umbral de 1.000 € sí aparece en el mundo cripto, pero para otra cosa: para activar la obligación reforzada respecto de las direcciones autoalojadas. Son dos reglas distintas que comparten cifra, y confundirlas produce el peor resultado posible: cumplir de menos donde no hay umbral y, a la vez, creer que se está cumpliendo.

Una dirección autoalojada es aquella que el usuario controla directamente, sin que medie un proveedor de servicios de criptoactivos. No hay contraparte supervisada a la que pedirle los datos del beneficiario ni a la que transmitirle los del originante. El reglamento resuelve esa asimetría trasladando la carga al proveedor que sí está supervisado.

El mecanismo tiene dos piezas. La primera es la verificación de titularidad o control: cuando la transferencia hacia o desde una dirección autoalojada supera los 1.000 €, el proveedor debe verificar si esa dirección es propiedad de su cliente o está bajo su control efectivo. La segunda, recogida en el artículo 14, apartado 5, es la identificación individual de las transferencias de criptoactivos dirigidas a direcciones autoalojadas. El artículo 16, apartado 2 aborda el sentido inverso: las transferencias procedentes de direcciones autoalojadas.

En la práctica, la verificación de titularidad se resuelve mediante técnicas de prueba de control —firma de un mensaje con la clave privada, microtransacción de verificación u otros métodos equivalentes— cuya idoneidad debe quedar documentada. Lo que no funciona es la declaración del cliente sin más: el reglamento habla de verificar, no de recabar una manifestación.

Conviene además anticipar que este es un terreno en movimiento. El propio reglamento previó que la Comisión evaluara la necesidad de medidas adicionales respecto de las transferencias con direcciones autoalojadas. Cualquier política que se diseñe hoy debe ser revisable, y el procedimiento interno debe permitir endurecer los controles sin rehacer el sistema.

La tercera fase es la que más se descuida y la que más consecuencias tiene. Detectar y rechazar son actos operativos que un sistema bien configurado hace solo. Evaluar la reiteración de una contraparte es otra cosa: exige acumular el histórico, aplicar un criterio propio de cuándo un patrón deja de ser una incidencia y pasa a ser un problema, y actuar en consecuencia —desde intensificar los controles hasta dejar de operar con esa contraparte—. Sin ese registro, la entidad no puede acreditar que ha hecho lo que el reglamento le pide, aunque de hecho esté rechazando transferencias todos los días.

El TFR se aplica a partir de la fecha de aplicación del Reglamento (UE) 2023/1114, MiCA, por expresa previsión del reglamento —el considerando 64 lo justifica «a fin de garantizar la coherencia» entre ambos—. MiCA, a su vez, se aplica desde el 30 de diciembre de 2024, con el régimen transitorio del artículo 143.3 para los proveedores que ya operaban antes de esa fecha.

Y aquí está el dato relevante para cualquier proveedor español: España no acortó ese periodo transitorio, a diferencia de otros Estados miembros, de modo que el grandfathering se extendió hasta el 1 de julio de 2026 o hasta que se concediera o denegara la autorización, lo que ocurriera primero. Ese plazo ya ha vencido. La consecuencia es que hoy todo proveedor de servicios de criptoactivos que opere en España debe estar autorizado y, con ello, sujeto sin matices al régimen de información en transferencias.

En cuanto a la autoridad, la CNMV es la autoridad competente para los proveedores de servicios de criptoactivos en España, mientras que el Banco de España mantiene la competencia sobre la autorización de servicios de pago conforme a la PSD2 —lo que resulta relevante cuando el proveedor ofrece servicios de transferencia de fichas de dinero electrónico—. Esa doble ventanilla explica por qué tantos proyectos de cripto acaban necesitando un análisis de perímetro que abarque las dos normas: ver licencia MiCA y licencia de entidad de pago.

Conviene además tener presente que el texto del reglamento fue objeto de una corrección de errores publicada en el Diario Oficial el 3 de diciembre de 2025, que afectó, entre otros puntos, a la definición de proveedor de servicios de criptoactivos del artículo 3, punto 15, al artículo 14, apartado 5 —identificación individual de las transferencias a direcciones autoalojadas—, al artículo 16, apartado 2 —transferencias desde direcciones autoalojadas— y al artículo 28, apartado 2, sobre sanciones. Si tu manual cita el texto original, conviene revisar que la redacción que manejas es la vigente.