La regla de viaje de los criptoactivos es la obligación de que cada transferencia de criptoactivos vaya acompañada de los datos de quien la envía y de quien la recibe. La impone el Reglamento (UE) 2023/1113, aplicable en toda la Unión desde el 30 de diciembre de 2024. En España, el Real Decreto-ley 25/2026, de 29 de septiembre, ha cambiado la Ley 10/2010 de prevención del blanqueo. Todos los proveedores de servicios de criptoactivos pasan a ser sujetos obligados, y saltarse la regla de viaje es infracción grave. Los cambios rigen desde el 1 de octubre de 2026. La Diputación Permanente del Congreso convalidó el real decreto-ley el 16 de octubre, según la resolución publicada en el BOE del 20 de octubre.
Si necesitas abogados de prevención del blanqueo para empresas de criptoactivos, solicita una valoración inicial gratuita.
Cada transferencia de criptoactivos debe llevar el nombre del originante y del beneficiario, sus direcciones de registro distribuido o números de cuenta y, del originante, su domicilio y un dato de identificación. Lo exige el artículo 14 del Reglamento (UE) 2023/1113. La obligación no tiene umbral. Se aplica a cualquier transferencia, sea cual sea su importe.
| Dato | Originante | Beneficiario |
|---|---|---|
| Nombre | Sí | Sí |
| Dirección de registro distribuido, si la transferencia se registra en una red de ese tipo, y número de cuenta de criptoactivos si existe y se usa | Sí | Sí |
| Número de cuenta de criptoactivos, si la transferencia no se registra en una red de registro distribuido | Sí | Sí |
| Domicilio con el país, número del documento oficial de identidad y número de cliente o, en su lugar, fecha y lugar de nacimiento | Sí | No |
| LEI u otro identificador oficial equivalente, si el formato del mensaje lo admite y el originante lo facilita | Sí | Sí |
Los datos no tienen que viajar dentro de la transacción registrada en la cadena de bloques. Basta con que se transmitan de forma segura antes de la transferencia o a la vez, y de acuerdo con el RGPD (artículo 14.4). Antes de enviar, el proveedor del originante comprueba la exactitud de los datos de su cliente con documentos o fuentes fiables e independientes (artículo 14.6). Si no puede cumplir el artículo 14, no puede iniciar ni ejecutar la transferencia (artículo 14.8).
Una dirección autoalojada es una dirección de registro distribuido que no está vinculada a ningún proveedor de servicios de criptoactivos ni a una entidad de fuera de la Unión que preste servicios similares. Es el monedero que controla el propio usuario. La define el artículo 3, punto 20, del Reglamento 2023/1113, y el Real Decreto-ley 25/2026 ha llevado esa definición al artículo 1.7 de la Ley 10/2010.
Cuando una transferencia sale hacia una dirección autoalojada o llega desde ella, no hay un segundo proveedor que envíe o reciba los datos. El proveedor que interviene obtiene y conserva él mismo la información del originante y del beneficiario, y se asegura de que la transferencia pueda identificarse individualmente (artículos 14.5 y 16.2). Por encima de 1.000 euros, además, evalúa con medidas adecuadas si la dirección autoalojada pertenece a su cliente o está bajo su control.
| Operación | Hasta 1.000 euros | Más de 1.000 euros |
|---|---|---|
| Envío del cliente a una dirección autoalojada | Obtener y conservar los datos del originante y del beneficiario e identificar la transferencia | Lo mismo, y evaluar si la dirección de destino es del cliente o está bajo su control |
| Recepción para el cliente desde una dirección autoalojada | Obtener y conservar los datos del originante y del beneficiario e identificar la transferencia | Lo mismo, y evaluar si la dirección de origen es del cliente o está bajo su control |
El proveedor que recibe una transferencia de criptoactivos sin todos los datos exigidos tiene dos salidas, que elige según un análisis de riesgos y sin demora injustificada. Puede rechazarla o devolver los criptoactivos a la cuenta del originante. O puede pedir los datos que faltan antes de poner los criptoactivos a disposición de su cliente (artículo 17.1).
Para detectar la falta de datos, el proveedor del beneficiario aplica procedimientos eficaces, incluida la supervisión durante la transferencia o después de ella (artículo 16.1). Antes de abonar los criptoactivos, comprueba la exactitud de los datos de su propio cliente (artículo 16.3). La falta de información cuenta además como factor para valorar si la operación es sospechosa y debe comunicarse a la unidad de inteligencia financiera (artículo 18). En España, esa unidad es el Sepblac.
Si otro proveedor deja de enviar los datos de forma reiterada, el proveedor del beneficiario tiene que reaccionar. Puede empezar por una advertencia con plazo y, si los datos siguen sin llegar, rechazar sus transferencias, restringir la relación o terminarla. También puede rechazar directamente toda transferencia futura. En los dos casos informa del incumplimiento a la autoridad que supervisa la prevención del blanqueo (artículo 17.2).
Los proveedores intermediarios, que transmiten la transferencia entre otros dos, tienen obligaciones paralelas. Transmiten toda la información recibida con la transferencia y conservan sus registros a disposición de las autoridades (artículo 19). Aplican procedimientos para detectar si faltan datos, sobre todo cuando interviene una dirección autoalojada (artículo 20). Y deciden con criterio de riesgo si ejecutan, rechazan, devuelven o suspenden la transferencia incompleta (artículo 21).
El Reglamento 2023/1113 se aplica directamente en España desde el 30 de diciembre de 2024. Lo que faltaba era adaptar la ley española. La Comisión Europea abrió a España el procedimiento de infracción INFR (2025) 2079 por no hacerlo, que el preámbulo del real decreto-ley sitúa en fase de dictamen motivado. La disposición final primera del Real Decreto-ley 25/2026 cambia la Ley 10/2010 en cinco puntos.
La infracción grave se sanciona con una multa de al menos 60.000 euros. Su máximo es la mayor de cuatro cifras, el 10 % del volumen de negocios anual, el contenido económico de la operación más un 50 %, el triple del beneficio obtenido o 5.000.000 de euros (artículo 57.1.a). La multa va siempre acompañada de una amonestación pública o privada o, en una entidad autorizada, de la suspensión temporal de la autorización. Los administradores y directivos responsables pueden recibir además multas de 3.000 a 5.000.000 de euros (artículo 57.2).
El real decreto-ley entró en vigor el 1 de octubre de 2026, al día siguiente de su publicación en el BOE. La Diputación Permanente del Congreso, que actúa con las Cortes disueltas, lo convalidó el 16 de octubre. La resolución se publicó en el BOE del 20 de octubre, y con ella los cambios en la Ley 10/2010 quedan consolidados. Para los operadores de cajeros, que ya eran sujetos obligados, la novedad de octubre es otra, la identificación obligatoria en los cajeros de criptomonedas del Real Decreto 813/2026.
Nébula Exchange es una plataforma española autorizada por la CNMV. Su clienta Lucía le envía el equivalente a 2.500 euros en bitcoin desde un monedero que ella misma controla. Ningún otro proveedor interviene, así que nadie manda a Nébula los datos del originante. Nébula los obtiene de Lucía, los conserva con los de la beneficiaria, que es la propia Lucía, e identifica la transferencia de forma individual. Como supera los 1.000 euros, evalúa también si la dirección de origen es de Lucía, con una prueba técnica de control de esa dirección. Lucía la supera y Nébula abona el saldo. La identidad de Lucía ya estaba verificada al darla de alta como cliente, así que no hace falta repetir esa comprobación. Si Nébula hubiera abonado sin obtener los datos ni hacer la evaluación, habría incumplido el artículo 16.2 del Reglamento. Desde el 1 de octubre de 2026, eso es infracción grave de la Ley 10/2010.
La Autoridad Bancaria Europea publicó el 4 de julio de 2024 sus directrices sobre la regla de viaje, con la referencia EBA/GL/2024/11. Se aplican desde el 30 de diciembre de 2024. Precisan qué información acompaña a las transferencias de fondos y de criptoactivos, cómo detectar que falta o está incompleta y qué hacer en ese caso. También fijan criterios y medios para identificar y verificar al originante o al beneficiario en las transferencias con direcciones autoalojadas. Son la referencia práctica para diseñar los procedimientos que piden los artículos 16, 17, 20 y 21 del Reglamento.
Esos procedimientos se apoyan en sistemas TIC que también entran en las obligaciones de DORA para proveedores de servicios de criptoactivos, así que conviene diseñarlos a la vez.
No. El artículo 14 del Reglamento (UE) 2023/1113 exige que toda transferencia de criptoactivos vaya acompañada de los datos del originante y del beneficiario, sea cual sea su importe. La cifra de 1.000 euros solo aparece en las transferencias con direcciones autoalojadas. Por encima de ella, el proveedor debe evaluar además si esa dirección pertenece a su cliente o está bajo su control.
Obtener y conservar los datos del originante y del beneficiario e identificar la transferencia de forma individual, según el artículo 16.2 del Reglamento (UE) 2023/1113. Si la transferencia supera los 1.000 euros, también hay que evaluar con medidas adecuadas si la dirección autoalojada es de tu cliente o está bajo su control. Las directrices EBA/GL/2024/11 describen criterios y medios para hacerlo.
El proveedor que la recibe tiene dos salidas, según un análisis de riesgos y sin demora injustificada. Puede rechazarla o devolver los criptoactivos. O puede pedir los datos que faltan antes de abonarlos a su cliente (artículo 17.1 del Reglamento (UE) 2023/1113). La falta de datos cuenta además para valorar si la operación es sospechosa y debe comunicarse al Sepblac (artículo 18).
Desde el 1 de octubre de 2026, día en que entró en vigor el Real Decreto-ley 25/2026. Su disposición final primera reformó el artículo 52.5 de la Ley 10/2010 para tipificar como grave el incumplimiento de los artículos 4 a 24 y 26 del Reglamento (UE) 2023/1113. La Diputación Permanente lo convalidó el 16 de octubre de 2026. La multa mínima por infracción grave es de 60.000 euros.
La disposición adicional segunda de la Ley 10/2010, que regula ese registro, sigue en el texto consolidado y el Real Decreto-ley 25/2026 no la ha modificado. Pero la inscripción ya no permite operar. Desde el 1 de julio de 2026, cuando terminó en España el periodo transitorio, prestar servicios de criptoactivos exige la autorización MiCA de la CNMV.
La regla de viaje obliga a rehacer el flujo de cada envío y cada recepción, y desde octubre de 2026 su incumplimiento se sanciona como infracción grave. Para un proveedor forma parte del mismo expediente que la licencia de la CNMV, DORA y el control del blanqueo. En Innovatech acompañamos a proveedores de servicios de criptoactivos en ese expediente dentro de nuestro servicio de abogados MiCA. Escríbenos y te damos una valoración inicial gratuita.
Marta Suárez-Mansilla, Socia Directora de Innovatech y abogada que ejerce en derecho tecnológico. Formada en Copyright por Harvard Law School y en Blockchain por BerkeleyX, acumula más de 8 años de experiencia asesorando a empresas tecnológicas.