AML
La conversación cripto mexicana amaneció este 12 de agosto con un titular explosivo: México habría ido a “full KYC” para las transferencias de Bitcoin y criptomonedas. El marco aprobado sí endurece las obligaciones antilavado de quienes prestan profesionalmente servicios con activos virtuales, pero el alcance es más preciso: aumenta la identificación de originantes, receptores y beneficiarios controladores, fortalece el enfoque basado en riesgo y prepara un monitoreo más automatizado. No convierte por sí solo a cada transferencia entre wallets autocustodiadas en una operación KYC.
Ciudad de México · Corte de información: 12 de agosto de 2026
El titular viral y el texto regulatorio
La alarma se amplificó a partir de publicaciones en redes que resumieron el cambio como una identificación obligatoria de remitentes y receptores de toda transferencia cripto a partir de marzo de 2027. El problema no es que el nuevo régimen sea menor: sí representa un salto cualitativo en trazabilidad, documentación y gestión de riesgo. El problema es presentar como universal una obligación que se inserta en el régimen mexicano de actividades vulnerables y que está dirigida principalmente a quienes ofrecen de manera habitual y profesional intercambio, custodia, almacenamiento o transferencia de activos virtuales.
La noticia no es que México haya descubierto el KYC en 2026. La noticia es que está profundizando la trazabilidad regulatoria del ecosistema profesional de activos virtuales y acercándolo a estándares internacionales más exigentes.
Una reforma que viene caminando desde 2025
Los activos virtuales ya formaban parte del régimen de actividades vulnerables de la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (LFPIORPI). La reforma de 2025 reforzó la base legal; el Reglamento reformado en marzo de 2026 desarrolló elementos operativos; y las Reglas de Carácter General publicadas en agosto de 2026 aterrizan obligaciones más detalladas.
| Fecha | Movimiento | Qué aporta |
|---|---|---|
| 16 julio 2025 | Reforma a la LFPIORPI | Fortalece obligaciones sobre activos virtuales e información de originantes, receptores y beneficiario controlador. |
| 27 marzo 2026 | Reforma al Reglamento | Desarrolla avisos, personas políticamente expuestas, agregación de operaciones y otros componentes operativos. |
| 7 agosto 2026 | Acuerdo 115/2026 y Reglas de Carácter General | Detalla metodología de riesgo, debida diligencia, conservación de información, actualización de expedientes y monitoreo. |
Qué cambia para los proveedores de servicios cripto
El corazón del nuevo marco está en pasar de un KYC básicamente identificatorio a un sistema más estructurado de conozca a su cliente, conozca la operación y entienda el riesgo. Para un proveedor sujeto al régimen, ya no basta con tener una identificación en expediente.
Entre los elementos centrales se encuentran la obtención y conservación de datos precisos del originante y del receptor de operaciones con activos virtuales; la identificación del beneficiario controlador cuando corresponda; la clasificación de clientes por nivel de riesgo; procedimientos reforzados para relaciones de mayor riesgo; y mecanismos que permitan detectar patrones inusuales o sospechosos. También se formaliza la necesidad de manuales internos y de mantener actualizada la información registrada ante las autoridades.
Las fechas no llegan todas al mismo tiempo
La implementación es escalonada, lo que explica por qué algunas publicaciones reducen todo a “marzo de 2027” aunque el calendario sea más amplio.
| Fecha | Hito |
|---|---|
| 30 noviembre 2026 | Entrada en vigor general de las Reglas de Carácter General reformadas. |
| 1 marzo 2027 | Obligaciones estructurales relevantes: metodología de riesgo, manuales, clasificación de clientes, debida diligencia reforzada y esquema de beneficiario controlador. |
| Aproximadamente mayo 2027 | Actualización de información regulatoria para proveedores de activos virtuales ya registrados, conforme al calendario aplicable. |
| 1 junio 2027 | Mecanismos automatizados de monitoreo en operación. |
| 2028 | Primer ciclo esperado de auditorías anuales bajo el régimen actualizado. |
¿Es ya una Travel Rule completa?
Aquí está la parte que todavía merece cautela. La Recomendación 16 del GAFI —conocida en el ecosistema cripto como Travel Rule— suele implicar que determinada información del originante y del beneficiario viaje o sea intercambiada entre proveedores de servicios de activos virtuales junto con la transferencia.
El marco mexicano exige obtener, conservar y poner a disposición de las autoridades información asociada a originantes y receptores. Eso introduce elementos compatibles con la lógica de la Travel Rule, pero no basta para afirmar que México ya implementó un protocolo completo de intercambio VASP-a-VASP en tiempo real o casi real.
Lo que no significa
El endurecimiento regulatorio no elimina las diferencias entre una plataforma regulada y una wallet de autocustodia. Tampoco vuelve automáticamente sujeto obligado a un usuario que envía activos digitales de manera ocasional y no profesional. La autocustodia, el software de wallet y el P2P entre particulares siguen requiriendo un análisis distinto al de un negocio que presta servicios de intercambio, custodia o transferencia de forma habitual.
Eso no significa que una operación autocustodiada sea invisible: una plataforma regulada puede asociar direcciones, transacciones y contrapartes con su expediente, y las autoridades pueden requerir información cuando exista base legal. La diferencia está en quién soporta la obligación regulatoria directa y bajo qué actividad.
Por qué importa para Bitcoin, eCash y otras redes
La regulación no distingue la soberanía técnica de una red por su ticker. Para servicios profesionales en México, el punto central es la actividad realizada y el manejo de activos virtuales. Esto significa que exchanges, mesas OTC, custodios y otros intermediarios deberán diseñar procesos capaces de relacionar identidad, riesgo y trazabilidad on-chain con mayor precisión.
Para proyectos centrados en autocustodia —incluidos wallets de Bitcoin, eCash y otros sistemas UTXO— la lectura estratégica es distinta: la frontera entre protocolo y proveedor de servicios importa cada vez más. Una wallet no custodial que entrega al usuario el control de sus claves no ocupa la misma posición jurídica que una plataforma que recibe, custodia y mueve fondos por cuenta de clientes, aunque ambos productos operen sobre una blockchain pública.
El cambio real detrás del ruido
La narrativa “México se fue a full KYC” sirve para producir una reacción inmediata, pero es una descripción incompleta. El cambio real es más interesante: México está construyendo una capa de cumplimiento más madura alrededor de los intermediarios cripto, con expedientes enriquecidos, beneficiario controlador, perfiles de riesgo, monitoreo y conservación de información durante una década.
La pregunta decisiva para los próximos meses no es si habrá más KYC —eso ya está claro— sino cómo viajarán los datos entre proveedores, qué información exigirá cada formato oficial y hasta dónde llegará la interoperabilidad con estándares internacionales de Travel Rule.
Fuentes y documentos de referencia
- Diario Oficial de la Federación: reforma de la LFPIORPI y publicación de las Reglas de Carácter General aplicables al régimen de actividades vulnerables.
- Secretaría de Hacienda y Crédito Público / Unidad de Inteligencia Financiera: materiales institucionales sobre prevención de lavado de dinero y activos virtuales.
- Recomendaciones del Grupo de Acción Financiera Internacional (GAFI/FATF), en particular el tratamiento de activos virtuales y la Recomendación 16.
- Análisis regulatorios de Holland & Knight, Alvarez & Marsal y firmas especializadas en cumplimiento LFPIORPI.
- Discusión técnica pública del 12 de agosto de 2026 sobre el alcance de las nuevas reglas y la diferencia entre conservación/reporte de datos y una Travel Rule VASP-a-VASP plenamente operativa.