¿Qué es un VASP y por qué importa para las empresas cripto en LATAM?
Un VASP (Virtual Asset Service Provider, proveedor de servicios de activos virtuales) es cualquier persona física o jurídica que, de forma profesional, presta servicios de intercambio, transferencia, custodia o administración de activos virtuales, o que participa en la oferta de instrumentos financieros relacionados con esos activos.
El término lo definió el GAFI en 2019 y es el marco de referencia global que gobierna la relación de las empresas cripto con los reguladores. En América Latina cada país ha construido su propio régimen sobre esa base, con distinto grado de avance: desde marcos plenamente operativos hasta esquemas todavía en desarrollo.
Puntos clave
- Lo que convierte a una empresa en VASP no es usar blockchain, sino prestar servicios de intercambio, transferencia, custodia o administración de activos virtuales en nombre de terceros
- La custodia y la intermediación son los factores determinantes: un validador que opera con fondos propios o un protocolo sin custodia normalmente quedan fuera de la definición
- Brasil tiene hoy el marco más concreto de la región: las resoluciones 519, 520 y 521 del Banco Central entraron en vigor el 2 de febrero de 2026, con plazo hasta el 30 de octubre de 2026 para que los proveedores en activo se autoricen
- A partir de esa fecha, los bancos e instituciones de pago autorizados en Brasil tienen prohibido operar con VASP no autorizados, lo que convierte el registro en condición de acceso bancario
- El efecto práctico de no estar registrado donde corresponde no es solo legal: cierra el acceso al sistema bancario, al segmento institucional y a los clientes corporativos
- La Travel Rule del GAFI obliga a transmitir datos de originador y beneficiario por encima de determinados umbrales, y cada jurisdicción fija el suyo
Qué es exactamente un VASP
El acrónimo viene del inglés Virtual Asset Service Provider y pertenece al vocabulario de la regulación financiera, no al de la tecnología. Lo que define si una empresa es un VASP es qué tipo de servicio presta y en nombre de quién, con independencia de que use blockchain.
Según las Recomendaciones del GAFI, el estándar internacional en prevención del blanqueo de capitales y de la financiación del terrorismo, una empresa es un VASP si realiza alguna de estas actividades:
- Intercambio de activos virtuales por monedas fiduciarias o por otros activos virtuales
- Transferencia de activos virtuales entre direcciones o billeteras por cuenta de terceros
- Custodia o administración de activos virtuales, o de instrumentos que otorgan control sobre ellos
- Participación en la oferta o venta de activos virtuales y en servicios financieros relacionados
De ahí se sigue que los exchanges, los proveedores de custodia institucional, los operadores de pools de minería que pagan por cuenta de terceros y las plataformas de staking que custodian activos de usuarios pueden quedar obligados a registrarse, según la jurisdicción.
No toda empresa que opera en blockchain es un VASP. Un validador que trabaja con sus propios fondos, o un protocolo descentralizado sin custodia, normalmente no califica. Los dos factores que deciden son la custodia y la intermediación: si tienes control sobre activos ajenos o mueves fondos por cuenta de otro, es probable que entres en la definición.
Por qué el estatus VASP importa
Operar sin ese estatus donde la regulación lo exige no es solo un riesgo legal: es una barrera operativa concreta, y se manifiesta en cuatro frentes.
Acceso al sistema bancario
Los bancos comerciales y las fintechs reguladas de la región aplican cada vez más restricciones para operar con empresas cripto no registradas. El registro activo es, en varios mercados, el requisito mínimo para abrir cuentas corporativas, acceder a servicios de pago y procesar conversiones entre moneda fiduciaria y cripto a escala. En Brasil esto dejó de ser una práctica de mercado para convertirse en norma explícita, como se detalla más abajo.
Relaciones institucionales y mesas OTC
Los fondos, las oficinas familiares y los bancos que operan mesas de negociación fuera de mercado exigen contrapartes con un régimen de cumplimiento verificable. Sin registro, una empresa queda fuera de ese segmento, que es el de mayor volumen por operación.
Incorporación de clientes corporativos
Las fintechs, las empresas de pagos y los operadores institucionales que integran servicios blockchain necesitan proveedores con un perfil regulatorio claro. Un proveedor sin registro donde corresponde traslada riesgo legal a la licencia de su propio cliente, y ese es el motivo por el que las áreas de cumplimiento lo descartan en la fase de diligencia.
Riesgo sancionatorio
Varias autoridades de la región han pasado de las advertencias formales a los procesos sancionatorios contra empresas que operan sin registro. El costo del incumplimiento dejó de ser hipotético y, en el caso brasileño, tiene fecha concreta.
Marcos regulatorios por país
La regulación no es uniforme: cada país tiene su autoridad competente, su norma y su calendario. Este es el estado a septiembre de 2026.
| País | Autoridad | Marco legal | Estado |
| Brasil | Banco Central do Brasil (BCB) | Lei 14.478/2022 y resoluciones BCB 519, 520 y 521 | Marco plenamente vigente desde el 2 de febrero de 2026, con plazo de autorización hasta el 30 de octubre de 2026 |
| Chile | Comisión para el Mercado Financiero (CMF) | Ley Fintech (Ley 21.521) | Vigente: la CMF exige registro y autorización a quienes prestan servicios con criptoactivos |
| México | CNBV y Banco de México | Ley Fintech (2018), con reforma publicada en noviembre de 2025 | Vigente, con enfoque centrado en prevención del blanqueo. En 2026 se discute ampliar la supervisión a nuevos tipos de activo |
| Colombia | Superintendencia Financiera (SFC) | Normativa en desarrollo, con esquemas de prueba supervisados | En desarrollo: la SFC supervisa por la vía de alertas y de su registro de entidades vigiladas |
Dos matices al leer esa tabla. El primero es que estar regulado no significa lo mismo en todas partes: en Brasil hay un procedimiento de autorización con expediente y plazo, mientras que en México la exigencia se articula sobre todo desde la prevención del blanqueo, y todavía no existe una ley que trate a los criptoactivos como activo financiero en sí mismo. El segundo es que el panorama cambia rápido, así que cualquier comparación hay que contrastarla con asesoría legal local antes de tomar una decisión de estructura.
Brasil, el marco de referencia de la región
Brasil pasó de tener un marco en desarrollo a tener el régimen más concreto de América Latina, y merece un apartado propio porque marca el estándar hacia el que se mueve la región.
La secuencia fue esta. El Banco Central publicó el 10 de noviembre de 2025 tres resoluciones, la 519, la 520 y la 521, que desarrollan la ley de activos virtuales de 2022. Las tres entraron en vigor el 2 de febrero de 2026. La 519 fija las reglas de autorización de los proveedores, la 520 regula cómo operan y la 521 incorpora las operaciones con activos virtuales al régimen cambiario.
Lo que hace este marco especialmente relevante para cualquier empresa del sector son cuatro elementos:
- Plazo con fecha: los proveedores que ya operaban disponen de 270 días desde la entrada en vigor, es decir hasta el 30 de octubre de 2026, para notificar al Banco Central y encauzar su autorización
- Corte de acceso bancario: a partir de esa fecha, los bancos y las instituciones de pago autorizados tienen prohibido realizar operaciones con VASP no autorizados. El registro deja de ser una ventaja competitiva y pasa a ser condición para existir en ese mercado
- Alcance por cliente, no por domicilio: las plataformas extranjeras que atienden a usuarios brasileños deben trasladar su actividad y sus clientes a un proveedor autorizado localmente dentro del mismo periodo de transición
- Segregación de activos: separación completa entre activos propios y de clientes, con fondos en reales en cuentas de pago individuales y registro segregado de las tenencias en activos virtuales. Las cuentas ómnibus quedan expresamente prohibidas
Para una empresa que opera en la región, el caso brasileño funciona como indicador anticipado: la dirección del marco es hacia autorización previa, segregación de activos y trazabilidad de las operaciones transfronterizas.
Cómo funciona el proceso de registro
El procedimiento varía por país, pero la estructura se repite:
- Diligencia societaria. Personalidad jurídica local o sucursal reconocida, con socios y directivos identificados y sin antecedentes que comprometan la idoneidad exigida por el regulador.
- Política de cumplimiento documentada. Procedimientos formales de prevención del blanqueo de capitales y de verificación de identidad de clientes, que cubran la incorporación, el monitoreo de operaciones y el reporte de las sospechosas.
- Infraestructura técnica verificable. Evidencia de capacidad operativa real: monitoreo en cadena, resguardo de claves privadas cuando hay custodia y mecanismos de trazabilidad de las transacciones.
- Presentación del expediente. Cada jurisdicción tiene su formulario, su documentación societaria y su plan de negocio asociado, y en varios casos exige capital mínimo.
- Revisión y aprobación. La autoridad analiza la solicitud, puede pedir información adicional y en algunos casos realiza una auditoría previa. Los plazos difieren de forma sustancial entre países, así que hay que confirmarlos con la autoridad competente y no con una estimación general.
El papel del GAFI y la Travel Rule
El GAFI es el organismo intergubernamental que fija los estándares globales de prevención del blanqueo de capitales y de la financiación del terrorismo. Sus recomendaciones no son directamente vinculantes, pero los países que no las incorporan acaban en listas de vigilancia con consecuencias financieras concretas, y ese es el mecanismo por el que el estándar se propaga.
En 2019 el GAFI actualizó su Recomendación 15 para incluir de forma explícita los activos virtuales y a sus proveedores de servicios. A partir de ahí los reguladores de todo el mundo empezaron a trasladar el marco VASP a sus legislaciones nacionales, y de ese proceso vienen las normas de la tabla anterior.
El elemento con más impacto técnico es la Travel Rule: los VASP deben transmitir información del originador y del beneficiario en las transferencias que superen determinados umbrales. Dos precisiones importan aquí. La primera es que el umbral lo fija cada jurisdicción, así que no existe una cifra única aplicable en todas partes. La segunda es que cumplirla exige infraestructura específica para intercambiar esos datos con otros proveedores durante la transferencia, lo que convierte una obligación regulatoria en un requisito de integración técnica.
Qué distingue a un proveedor institucional
No todos los VASP son equivalentes. Las diferencias de sofisticación operativa y de capacidad de cumplimiento son sustanciales, y hay que identificarlas antes de firmar con un proveedor:
| Característica | Perfil retail | Perfil institucional |
| Cliente principal | Usuarios individuales | Fondos, fintechs, bancos y empresas del sector |
| Servicios | Compraventa de criptomonedas y billeteras custodiadas | Infraestructura de nodos, custodia institucional, staking, operativa fuera de mercado |
| Nivel de cumplimiento | Verificación de identidad y reporte básicos | Prevención del blanqueo avanzada, auditorías externas, Travel Rule implementada |
| Infraestructura técnica | Software de terceros | Infraestructura propia con redundancia y disponibilidad comprometida |
| Relación con el regulador | El registro como obligación | Participación en consultas y mesas técnicas del sector |
| Garantías contractuales | Cobertura básica | Acuerdos de nivel de servicio, seguros y pruebas de reservas |
Para una empresa que evalúa proveedores, esa tabla se traduce en una pregunta práctica: si tu contraparte no puede documentar su estatus regulatorio, su política de cumplimiento y su esquema de custodia, el riesgo no se queda en su lado del contrato.
Conclusión
El estatus VASP dejó de ser un trámite y se convirtió en la condición de acceso al mercado. El caso brasileño lo muestra sin ambigüedad: desde el 30 de octubre de 2026, un proveedor no autorizado no puede operar con la banca del país, y eso funciona como cierre de canal antes que como sanción.
Para las empresas del sector, la lectura es que el cumplimiento se adelanta al negocio y no al revés. Estructurar la operación sobre una base regulatoria sólida lleva meses, mientras que perder el acceso bancario ocurre en un día, y recuperarlo no depende de la voluntad de nadie dentro de la organización.
Y para quien elige proveedor, sea de custodia, de servicios de staking o de infraestructura de minería como el pool de minería de EMCD, la diligencia sobre el estatus regulatorio de la contraparte forma parte de su propia gestión de riesgo. En un marco donde la banca corta la relación con proveedores no autorizados, el problema de cumplimiento de tu proveedor termina siendo tuyo.
Preguntas frecuentes
¿Qué es un VASP en criptomonedas?
Es una empresa o persona que presta servicios profesionales con activos digitales: intercambio por moneda fiduciaria, transferencias por cuenta de terceros, custodia o participación en la oferta de activos virtuales. El término lo definió el GAFI en 2019 y es el estándar que usan los reguladores para supervisar al sector.
¿Por qué una empresa cripto necesita el estatus VASP en América Latina?
Porque en los países con marco vigente la prestación de estos servicios exige registro o autorización previa. Operar sin ese estatus implica riesgo legal, restricciones bancarias y exclusión del segmento institucional, además de convertir a la empresa en un riesgo regulatorio para sus propios clientes corporativos.
¿Un proveedor de staking o de infraestructura de nodos es un VASP?
Depende del modelo operativo. Un validador o proveedor de infraestructura que trabaja con fondos propios normalmente no califica. Si en cambio custodia activos de terceros, administra recompensas por cuenta de clientes o realiza transferencias entre billeteras de usuarios, puede quedar dentro de la definición en varias jurisdicciones. La respuesta exige revisión legal caso por caso.
¿Qué es la Travel Rule y cómo afecta a los VASP?
Es la exigencia del GAFI de transmitir información del originador y del beneficiario en las transferencias que superan determinado umbral, fijado por cada jurisdicción. En la práctica obliga a implementar una solución técnica para intercambiar esos datos con otros proveedores en el momento de la transferencia.
¿Qué pasa en Brasil el 30 de octubre de 2026?
Vence el plazo de 270 días desde la entrada en vigor del marco del Banco Central. A partir de esa fecha, los bancos y las instituciones de pago autorizados no pueden realizar operaciones con proveedores de servicios de activos virtuales que no estén autorizados, lo que en la práctica desconecta del sistema financiero a quien no haya completado el proceso.
¿Sirve el registro de un país para operar en otro?
No. Cada jurisdicción exige su propia autorización y aplica sus propios requisitos, y en el caso brasileño el alcance se define por el cliente atendido y no por el domicilio de la empresa: atender a usuarios de ese país activa la obligación aunque la sociedad esté constituida fuera.
Este material se publica únicamente con fines informativos y no constituye asesoramiento legal ni regulatorio. Los marcos normativos mencionados evolucionan con rapidez y su aplicación depende de las circunstancias concretas de cada empresa: conviene contrastar cualquier decisión con asesoría legal especializada en la jurisdicción correspondiente.
