Guía
Cómo establecer un proveedor de custodia criptográfica en los EAU
La respuesta corta
El regulador que decide depende de dónde esté establecido y a quién atienda el negocio de custodia: la Virtual Assets Regulatory Authority (VARA) en Dubái, la Financial Services Regulatory Authority (FSRA) en ADGM, o la Dubai Financial Services Authority (DFSA) en el DIFC. La custodia es una actividad de activos virtuales sujeta a licencia, no una licencia comercial con una descripción de cripto. Lo que con más frecuencia determina la vía es quién tiene el control legal y práctico de las claves privadas.
Quién decide, y por qué importa la ubicación
Tres reguladores supervisan la custodia de activos virtuales en los EAU. VARA publica rulebooks por actividad para Dubái, y su Custody Services Rulebook está en vigor desde el 19 de junio de 2025. Su Parte III establece las normas de almacenamiento y custodia de activos virtuales, incluidas la segregación y el control. La FSRA de ADGM y la DFSA de DIFC aplican cada una su propio régimen a la actividad con criptoactivos dentro de sus centros financieros.
Estos regímenes son independientes. Una empresa autorizada en uno no traslada esa autorización a otro, y cada uno define la actividad, el solicitante y las pruebas exigibles en sus propios términos. Elegir el regulador es, por tanto, una decisión empresarial sobre dónde se ubica la entidad y quiénes son sus clientes, no un trámite posterior a la constitución. También puede resultar aplicable una vía federal a través de la Capital Market Authority (CMA), nueva denominación de la Securities and Commodities Authority conforme a los Decretos-Ley Federales n.º 32 y 33 de 2025 (en vigor desde el 1 de enero de 2026), o del Banco Central de los EAU (CBUAE). Si la estructura queda fuera de VARA, la FSRA o la DFSA, confirme la situación directamente con la CMA o el CBUAE.
Si el plan también incluye la gestión del dinero de clientes dentro de una estructura de fondo, se trata de una función regulada distinta. Quienes lo estén considerando pueden plantearse constituir un fondo de criptoactivos o gestor de activos virtuales como entidad separada.
El control de las claves determina el ámbito
Los reguladores y los equipos de cumplimiento normativo (compliance) de los bancos se fijan en lo que la firma puede hacer, no en cómo se denomina a sí misma. En custodia, la prueba es práctica. ¿Quién puede iniciar, aprobar y recuperar una transferencia? Si la firma, o un proveedor que actúa en su nombre, puede mover los activos del cliente por sí solo, la firma tiene el control, diga lo que diga la página del producto.
Cuatro situaciones se repiten con frecuencia:
- Una billetera (wallet) descrita como no custodiada, en la que el proveedor conserva facultades de recuperación.
- Un proveedor de tecnología que utiliza computación multiparte (MPC, multi-party computation) o módulos de seguridad de hardware (HSM), sin tener definido quién ostenta el control legal.
- Staking, préstamo o reutilización de activos de clientes. En el Custody Services Rulebook de VARA, el staking desde la custodia tiene su propia Parte IV, que abarca las instrucciones del cliente, la gestión de nodos y una declaración de divulgación de riesgos, por lo que exige una autorización clara del cliente y un análisis propio.
- La subcustodia para otra firma autorizada, en la que el contrato asigna la responsabilidad pero la cuestión de la autorización sigue abierta.
El resultado útil es una posición de perímetro por escrito: qué hace la empresa, qué no va a hacer, qué funciones corresponden a firmas autorizadas y qué funcionalidades futuras de la hoja de ruta (roadmap) cambiarían la conclusión. Una autorización debe cubrir el negocio tal y como funcionará, no solo la versión de lanzamiento.
Qué querrá ver el regulador
Los reglamentos (rulebooks) y las páginas citadas más abajo son la referencia para los requisitos detallados, incluidas las cifras, los plazos y las denominaciones de las categorías. Confirme cada uno de ellos con el texto vigente antes de comprometerse con una estructura.
Lo que puede afirmarse con seguridad es la naturaleza de las pruebas necesarias. Un equipo de autorización buscará un dosier coherente: el plan de negocio, la arquitectura de custodia, las personas que la dirigen, los recursos financieros que la respaldan y el marco de cumplimiento normativo. El trabajo de planes de negocio y documentación es donde esa coherencia se construye o se pierde.
Las decisiones de diseño que modifican las cuestiones de capital y personal deben fijarse antes de la solicitud, no durante ella:
- Almacenamiento en caliente, templado, en frío o híbrido.
- Billeteras (wallets) y libros de registro omnibus o segregados.
- MPC, HSM y el modelo de recuperación.
- Redes y tokens admitidos, y eventos de protocolo como los forks y los airdrops.
- El seguro y la asignación de responsabilidad.
Para la vía de Dubái, la estructura de una constitución de VARA y activos virtuales depende de estas respuestas.
Cómo se mueven el dinero y los activos, y en qué se fija un banco
Los bancos tratan a las firmas de activos virtuales como clientes de diligencia debida reforzada (enhanced due diligence). Quieren que el relato regulatorio, el relato del flujo de fondos y el relato de marketing coincidan entre sí.
Para un custodio, eso significa preparar lo siguiente:
- Documentación de gestión de claves de extremo a extremo.
- Un enfoque de conciliación y prueba de activos (proof-of-assets) que vincule los registros legales con los saldos on-chain.
- Pruebas de continuidad de negocio y recuperación.
- Diligencia debida sobre proveedores y subcustodios.
- La trayectoria de los responsables de custodia, seguridad y cumplimiento normativo.
El origen de los fondos de los accionistas importa tanto como el modelo operativo. Las pruebas de ello se elaboran mediante el trabajo de origen del patrimonio y los fondos, y la propia solicitud de cuenta mediante preparación para la cuenta bancaria corporativa. La coherencia acorta el proceso de apertura (onboarding). No garantiza una cuenta.
Titularidad, sustancia y las funciones que deben cubrirse
Una firma de custodia no puede ser una sociedad pantalla. La entidad de cara al cliente necesita las personas y los sistemas acordes con las funciones que desempeña: alta dirección, un responsable de cumplimiento normativo y de reporte de blanqueo de capitales (MLRO), y liderazgo en seguridad y tecnología. Los roles exactos, las expectativas de residencia y los recursos financieros los fija el regulador elegido, por lo que se indican allí, no aquí.
Una matriz en el extranjero, una empresa de IP o un vehículo de propósito especial (SPV) pueden situarse junto a la entidad autorizada. Una estructura diseñada principalmente para mostrar un precio de constitución bajo se percibe así por el equipo de autorización, y por todos los bancos después. Cuando la propiedad está estructurada en capas, una revisión más amplia de constitución para estructuras de propiedad reguladas y complejas debe preceder a cualquier solicitud.
Qué suele salir mal
- Comprar primero una licencia comercial. Una licencia comercial no es un permiso de activos virtuales y no se convierte en uno.
- Cartografiar al proveedor, no el control. Confiar en un proveedor de tecnología sin dejar constancia por escrito de quién ostenta el control legal de las claves.
- Tratar el seguro como un control. El seguro respalda los controles operativos. No los sustituye.
- Comparar las tasas de constitución. La comparación relevante es la vía completa: las funciones permitidas, el capital que debe mantenerse, las contrataciones obligatorias, la realidad bancaria y el coste de volver a documentar la estructura después del lanzamiento.
- Agrupar funciones. La custodia, la negociación (dealing) y la emisión en una sola empresa multiplica las cuestiones de gobernanza y de conflictos de interés.
