¿Cómo usan las mafias criptomonedas e IBAN virtuales para blanquear?

Las redes criminales están usando con mayor frecuencia criptoactivos, IBAN virtuales, cuentas de paso y plataformas financieras digitales para mover dinero procedente de estafas, evasión fiscal, corrupción y otras actividades ilícitas. No existe un mecanismo único ni una moneda secreta que borre mágicamente el rastro. Lo que funciona para los delincuentes es la combinación: fondos repartidos entre numerosas cuentas, transferencias internacionales casi instantáneas, titulares interpuestos y conversiones rápidas entre euros y activos digitales.

Un IBAN virtual tampoco es, por sí mismo, una cuenta bancaria clandestina. Suele ser un identificador con aspecto de IBAN convencional que redirige el pago hacia una cuenta principal o cuenta maestra. Es una herramienta legítima y útil para empresas, plataformas de comercio electrónico y proveedores de pagos, porque permite ordenar cobros y saber quién ha abonado cada factura. El problema aparece cuando la entidad que ve entrar el dinero no conoce bien al usuario final, cuando la cuenta maestra está en otra jurisdicción o cuando varios intermediarios se reparten la vigilancia. Ahí, entre ventanillas digitales, el dinero puede cambiar de abrigo sin salir del edificio.

La advertencia más reciente procede de la Unidad de Información Financiera de Italia, integrada en el Banco de Italia, cuyo informe anual sobre 2025 describe una expansión de los criptoactivos, los IBAN virtuales, las tarjetas virtuales y los cajeros no bancarios dentro de esquemas de blanqueo cada vez más complejos. La fotografía italiana no debe copiarse sin matices sobre España, pero encaja con las alertas de la Autoridad Bancaria Europea, el GAFI y Europol: el delito financiero se ha vuelto más rápido, transfronterizo y fragmentado.

El matiz importa. Ni las criptomonedas ni los IBAN virtuales son ilegales, del mismo modo que un billete de 50 euros no es culpable de la compra que paga. La tecnología presta servicios legítimos a millones de particulares y empresas. La amenaza nace del uso abusivo, de los controles desiguales y de una arquitectura financiera en la que una transferencia puede atravesar varios países mientras el café aún está caliente.

El dinero sucio ya no necesita maletines

El blanqueo conserva el objetivo de siempre: separar el dinero de su origen delictivo hasta que parezca una renta normal, una inversión afortunada o el pago corriente de una empresa. Lo novedoso es la velocidad de los movimientos. Antes, mover grandes cantidades exigía efectivo, sociedades pantalla, testaferros, facturas falsas y paciencia. Todo eso sigue vivo —el crimen organizado no tira una herramienta que todavía corta—, pero ahora se combina con aplicaciones financieras, bancos digitales, proveedores de pago, plataformas de criptoactivos y billeteras controladas directamente por sus usuarios.

La primera entrada suele producirse tras una estafa, un fraude empresarial, una trama fiscal o una actividad criminal más tradicional. El dinero llega a cuentas abiertas con documentos falsos, sociedades de vida breve o mulas bancarias, personas que prestan su cuenta a cambio de una comisión o que incluso ignoran el alcance del fraude. Desde ahí comienza la dispersión: importes divididos, transferencias encadenadas, pagos a empresas aparentemente normales y saltos a servicios de activos digitales.

Ese recorrido es lo que los especialistas llaman estratificación. En lenguaje menos solemne: levantar niebla. Cada movimiento añade una capa entre el delito y el beneficiario real. Un ingreso procedente de una estafa puede pasar por una cuenta española, desembocar en un IBAN virtual con apariencia local, concentrarse en una cuenta maestra gestionada desde otro país, convertirse en una stablecoin y terminar en una billetera autocustodiada. Más tarde regresará al circuito convencional mediante otra plataforma, una factura simulada, un préstamo entre empresas o la compra de un bien de valor.

El informe italiano contabilizó 162.059 comunicaciones de operaciones sospechosas en 2025, un 11,5 % más que el año anterior. El incremento estuvo vinculado en gran medida a estafas y fraudes informáticos, y las comunicaciones remitidas por operadores de moneda virtual crecieron un 85,1 %, desde 3.165 hasta 5.859. Una comunicación sospechosa no equivale a un delito probado ni a una condena; es una señal que debe analizarse. Confundir ambas cosas sería cómodo, pero falso.

Qué es un IBAN virtual y por qué complica el rastro

A simple vista, un IBAN virtual se comporta como cualquier otro número de cuenta. Tiene el formato habitual, recibe pagos y puede aparecer en una factura o en la pantalla de una aplicación. Por debajo, sin embargo, actúa como un conducto: el dinero se redirige a una cuenta maestra cuyo IBAN es distinto. Una empresa puede asignar un identificador diferente a cada cliente para automatizar la conciliación de cobros. En lugar de revisar miles de conceptos de transferencia, sabe de inmediato quién ha pagado. Eficiente, limpio, razonable.

La dificultad surge porque el pagador y, a veces, incluso la entidad que origina la transferencia no pueden distinguir si ese número corresponde a una cuenta ordinaria o a un identificador virtual. Tampoco ven necesariamente quién controla la cuenta maestra. En algunos modelos, el proveedor que mantiene esa cuenta no tiene relación contractual directa con los usuarios finales; conoce al intermediario, pero no siempre a cada persona o empresa que opera detrás de los distintos identificadores.

La Autoridad Bancaria Europea ha advertido de que la falta de una interpretación uniforme ha creado diferencias entre países sobre qué es exactamente un IBAN virtual, quién debe supervisarlo y dónde deben comunicarse las operaciones sospechosas. Aparece entonces el arbitraje regulatorio: elegir la jurisdicción, la licencia o la estructura societaria que ofrece menos fricción. En el mundo legal puede ser optimización empresarial. En manos criminales, una grieta por la que cabe un camión.

El truco no está en el número, sino en la cuenta maestra

La secuencia puede resultar engañosa. Un comercio o una plataforma entrega al usuario un IBAN que parece propio; los pagos entrantes terminan, en realidad, en una cuenta general mantenida por una entidad asociada. Si el conocimiento del cliente se reparte entre varios actores, cada uno contempla una parte del cuadro. Uno conoce al proveedor tecnológico, otro a la empresa contratante y un tercero procesa el pago. El beneficiario real queda al fondo, desenfocado.

El riesgo depende del contexto. Un banco que asigna identificadores virtuales a una compañía consolidada para ordenar miles de cobros no plantea el mismo escenario que un proveedor opaco que distribuye números entre clientes de numerosos países, con actividad difícil de justificar y controles mínimos. El titular real, el volumen, la procedencia y el comportamiento de los fondos siguen siendo decisivos.

La utilidad legítima explica por qué prohibir estos instrumentos sería una respuesta tan aparatosa como poco inteligente. Permiten centralizar tesorería, reducir costes y separar proyectos o clientes. También pueden aliviar la discriminación por IBAN, esa práctica en la que una empresa rechaza una cuenta europea solo porque comienza por las letras de otro país. El problema está en que su apariencia de cuenta individual puede ocultar una estructura mucho más larga. Y el delincuente, se sabe, adora los pasillos con muchas puertas.

De la estafa a la stablecoin: así se encadena el blanqueo

Las tramas actuales mezclan canales clásicos y digitales. El efectivo continúa siendo útil para economías sumergidas, narcotráfico, extorsión y corrupción. El oro, los relojes, los vehículos, el juego y los inmuebles tampoco han pedido la jubilación. Pero las plataformas financieras permiten mover el producto del delito con una rapidez y una escala antes reservadas a organizaciones con una infraestructura considerable.

En una estafa de inversión, por ejemplo, la víctima cree enviar dinero a un intermediario que comprará acciones, divisas o criptomonedas. La transferencia llega a una cuenta controlada por una mula o a un IBAN virtual. En cuestión de horas, los fondos se reparten entre otras cuentas y una parte se dirige a un proveedor de criptoactivos. Allí puede convertirse en una stablecoin, un activo digital diseñado para mantener un valor relativamente estable frente a una moneda como el dólar.

Las stablecoins resultan atractivas para los delincuentes por la misma razón que interesan a usuarios legítimos: se transfieren con facilidad, funcionan a cualquier hora y evitan buena parte de la volatilidad asociada a bitcoin u otros activos. El GAFI ha observado un aumento de su presencia en la actividad ilícita registrada en cadenas de bloques. Eso no convierte a todas las stablecoins en dinero criminal; revela que, cuando un instrumento gana liquidez y aceptación, el delito también aprende a usarlo. Suele llegar sin invitación y comer del bufé.

Después pueden aparecer billeteras autocustodiadas, es decir, monederos cuyas claves controla directamente el usuario sin que una plataforma actúe como custodio. La cadena de bloques conserva el historial de movimientos, una ventaja formidable para los investigadores, pero las direcciones se expresan mediante códigos alfanuméricos. La transacción es visible; la identidad puede no serlo. Esa dualidad explica buena parte del debate: las criptomonedas no son siempre anónimas, aunque sí pueden ser seudónimas y operar fuera de intermediarios obligados a identificar al cliente.

Los delincuentes intentan añadir dificultad mediante cambios entre activos y redes, servicios de mezcla, plataformas ubicadas en jurisdicciones poco cooperativas u operaciones directas entre particulares. Más tarde buscan la salida: convertir de nuevo los activos digitales en moneda oficial o gastarlos en bienes y servicios. Los puntos de entrada y salida, conocidos en la jerga como rampas de acceso, son cruciales. Allí suelen intervenir empresas reguladas, cuentas bancarias o tarjetas, y allí se concentra buena parte de la vigilancia.

Las señales de riesgo no dependen de una sola transferencia llamativa. Pesan la entrada y salida inmediata de fondos, la fragmentación sin lógica económica, numerosos ordenantes que pagan a un mismo identificador, cambios repentinos de beneficiario, empresas recién creadas con volúmenes desproporcionados o movimientos hacia plataformas incompatibles con la actividad declarada. Una operación aislada puede tener explicación. Cien operaciones idénticas, a las tres de la madrugada y sin clientes reales, cuentan otra historia.

Las cifras que explican la alarma europea

El informe de la unidad italiana aporta una magnitud relevante: las operaciones sospechosas ejecutadas y comunicadas durante 2025 sumaron 95.200 millones de euros. Si se añaden las operaciones que llegaron a plantearse pero no se ejecutaron, el valor alcanzó 100.500 millones. No significa que toda esa cantidad fuera dinero blanqueado; representa el importe asociado a comunicaciones sometidas a análisis. La diferencia es esencial para no convertir una estadística preventiva en una sentencia colectiva.

Las alertas vinculadas a estafas y fraudes informáticos rondaron las 31.600 comunicaciones, algo menos de una quinta parte del total. El documento describe flujos que pasan rápidamente por múltiples relaciones bancarias, a menudo extranjeras o a nombre de personas que desconocen el plan completo, antes de dirigirse en algunos casos a operadores de moneda virtual. La escena ya no es la del contable solitario con doble libro. Es una cadena de producción, con captadores, proveedores técnicos, titulares interpuestos, operadores financieros y especialistas en sacar los fondos.

La dimensión internacional es inseparable del fenómeno. Un proveedor puede estar autorizado en un Estado de la Unión, prestar servicios en otro, mantener la cuenta maestra en un tercero y atender a usuarios situados fuera del bloque. Cuando llega una alerta, hay que determinar qué entidad conoce al cliente, qué supervisor es competente, qué unidad de inteligencia financiera debe recibir la comunicación y qué legislación se aplica. Mientras las autoridades intercambian oficios, el dinero lleva varios transbordos de ventaja.

Para España, la lectura es incómoda pero clara. El sistema bancario español no vive aislado y las transferencias SEPA circulan por un mercado integrado. Una estafa cometida contra una víctima en Valencia puede utilizar un titular en Madrid, una fintech con licencia de otro país europeo, un IBAN virtual emitido por un socio y una plataforma de criptoactivos registrada fuera de la Unión. La frontera nacional ya no coincide con la frontera del riesgo.

También conviene evitar el alarmismo de feria. La inmensa mayoría de los ciudadanos que compran criptoactivos, usan una aplicación de pagos o reciben un IBAN virtual para cobrar trabajan dentro de la legalidad. Las estadísticas sobre operaciones sospechosas miden señales, no culpabilidad. El desafío consiste en separar la innovación útil de los modelos que convierten la opacidad en negocio. Si el control trata a todo usuario como delincuente, fracasa por exceso; si confía ciegamente en la etiqueta fintech, fracasa por ingenuidad.

Más control, pero una frontera llena de agujeros

La Unión Europea ha endurecido el marco. Desde finales de 2024, los proveedores de servicios de criptoactivos están sometidos a reglas más homogéneas de autorización, prevención del blanqueo y transmisión de datos sobre el ordenante y el beneficiario. La llamada regla de viaje obliga a que cierta información acompañe a las transferencias de criptoactivos, del mismo modo que ocurre en los pagos bancarios. No elimina el delito, pero reduce el espacio para operaciones sin nombre en plataformas reguladas.

El reglamento MiCA ha creado un régimen común para buena parte del mercado de criptoactivos, mientras el nuevo paquete europeo contra el blanqueo pretende sustituir el mosaico de interpretaciones nacionales por normas más uniformes. La Autoridad Europea contra el Blanqueo de Capitales, AMLA, ya está desplegándose en Fráncfort y prepara la selección de hasta 40 entidades financieras de alto riesgo que supervisará directamente desde 2028.

El calendario revela una verdad poco elegante: la regulación corre detrás de un mercado que no espera. Durante 2026 se construyen bases de datos, modelos de riesgo y criterios comunes; gran parte del reglamento único será aplicable en 2027, y la supervisión directa europea llegará después. Entretanto, las autoridades nacionales, entre ellas el Sepblac en España, continúan sosteniendo el trabajo cotidiano junto con bancos, entidades de pago, notarios, auditores, plataformas de criptoactivos y fuerzas policiales.

Las normas tampoco sirven si la identificación del cliente es pobre. Los controles sobre el alta de usuarios, la vigilancia continuada y la conservación de información son la argamasa del sistema. Un algoritmo puede examinar millones de movimientos, pero si parte de datos incompletos producirá una montaña de alertas mediocres. Mucho ruido, pocos peces. La inteligencia artificial ayuda a encontrar patrones, aunque también puede fabricar una falsa sensación de control cuando nadie revisa la calidad de lo que entra.

La cooperación internacional sigue siendo el cuello de botella. El GAFI señaló que 99 jurisdicciones habían aprobado o estaban tramitando legislación para aplicar la regla de viaje, pero persisten problemas con proveedores situados en el extranjero, licencias desiguales y actividades prestadas sin autorización. Una red criminal busca precisamente esas costuras. No necesita que todo el sistema sea débil; le basta con localizar el eslabón que hace menos preguntas.

La verificación del beneficiario en las transferencias instantáneas añade otra protección al comparar el nombre indicado por el pagador con el asociado al IBAN. Sin embargo, los identificadores virtuales y las cuentas maestras pueden complicar esa comprobación cuando el usuario final no figura como titular de la cuenta subyacente. Otra vez el mismo problema: una herramienta concebida para ordenar pagos se transforma en un espejo deformante si no están claras las responsabilidades.

La tecnología no delinque; la opacidad sí

El blanqueo digital no ha sustituido al tradicional. Lo ha conectado a una red más veloz. Criptoactivos, IBAN virtuales, tarjetas digitales y cuentas fintech conviven con efectivo, sociedades pantalla, facturas falsas y bienes de lujo. El resultado es un circuito híbrido en el que el dinero cambia varias veces de forma, jurisdicción y responsable aparente.

La noticia relevante no es que una criptomoneda pueda utilizarse para delinquir; eso se sabe desde hace años. Lo nuevo es la integración creciente entre los canales digitales y la banca convencional, el aumento de las comunicaciones procedentes de operadores de moneda virtual y la profesionalización de redes capaces de ofrecer el blanqueo como un servicio. Ya no hablamos solo del delincuente que improvisa una cartera digital, sino de estructuras que conocen licencias, umbrales, tiempos de respuesta y diferencias regulatorias.

La respuesta eficaz pasa por identificar al beneficiario real, seguir el dinero entre plataformas y conseguir que cada intermediario entienda qué parte de la cadena debe vigilar. También por distinguir. Un sistema democrático no puede combatir la delincuencia financiera mediante sospecha indiscriminada, bloqueos arbitrarios o vigilancia sin límites. La prevención necesita controles proporcionados, vías de reclamación y protección de datos. La seguridad sin garantías acaba pareciéndose demasiado al problema que pretendía resolver.

Los IBAN virtuales seguirán existiendo porque resuelven necesidades reales. Los criptoactivos tampoco desaparecerán por decreto. La batalla se juega en otro terreno: información fiable, supervisión coherente y cooperación rápida. El dinero sucio siempre busca una sombra. Cuando la arquitectura financiera multiplica los pasillos y apaga las luces, la encuentra con demasiada facilidad.