Cómo comprobar si una plataforma de criptoactivos tiene autorización MiCA

Una plataforma de criptoactivos está autorizada con arreglo al Reglamento relativo a los mercados de criptoactivos (MiCA) solo cuando una entidad jurídica concreta aparece en un registro oficial, junto con los servicios que puede prestar y una fecha de autorización. Por eso conviene averiguar qué empresa te presta realmente el servicio, identificar a su supervisor y buscar esa entidad en el registro de ESMA o en la lista del propio regulador. Un nombre en una tienda de aplicaciones o un número de licencia en el pie de una web no demuestra nada por sí solo.

Lo esencial

• Desde que terminó, el 1 de julio de 2026, el periodo transitorio válido en toda la UE, una empresa necesita autorización MiCA (o, en el caso de ciertas entidades ya reguladas, una notificación) para ofrecer servicios con criptoactivos a clientes de la UE.
• La autorización pertenece a una entidad jurídica, no a una marca que puede abarcar varias sociedades.
• El registro provisional MiCA de ESMA y las listas nacionales muestran la denominación social, el LEI, el país de origen, la fecha de autorización y los servicios permitidos.
• Compara los servicios que figuran con lo que quieres hacer. Una autorización para la custodia no equivale a una autorización para todo.
• La autorización es un estatus de supervisión. No elimina el riesgo de precio, el fraude dirigido a los usuarios ni los fallos operativos.

¿Qué significa realmente «autorizada MiCA»?

Un proveedor de servicios de criptoactivos (PSCA, o CASP en inglés) está autorizado con arreglo a MiCA cuando la autoridad competente de un Estado miembro de la UE le ha concedido, conforme al Reglamento (UE) 2023/1114, la autorización para prestar determinados servicios con criptoactivos. Ese estatus pertenece a esa entidad jurídica, cubre únicamente los servicios que figuran en su ficha y se extiende a otros Estados miembros mediante notificación.

MiCA define diez servicios con criptoactivos, entre ellos la custodia, el canje de criptoactivos por fondos, la ejecución de órdenes y los servicios de transferencia (se enumeran en el paso 4). Una empresa que los ofrezca necesita autorización con arreglo al artículo 59, y un proveedor autorizado debe tener su domicilio social en un Estado miembro. Los bancos, las empresas de servicios de inversión, las entidades de dinero electrónico y algunas otras entidades ya supervisadas pueden, en cambio, notificarlo a su regulador al menos 40 días hábiles antes de empezar a prestar servicios equivalentes (artículo 60); por eso una entidad legítima puede no ser un «PSCA» en sentido estricto.

Autorización MiCA frente a registro nacional de VASP

Antes de MiCA, cada país tenía su propio régimen, habitualmente un registro como proveedor de servicios de activos virtuales (VASP); ESMA señaló que esa mezcla generaba un nivel desigual de protección del consumidor. Las empresas que operaban legalmente conforme a las normas nacionales a 30 de diciembre de 2024 podían continuar hasta el 1 de julio de 2026, o hasta que su solicitud de autorización MiCA fuera concedida o denegada, lo que ocurriera primero (artículo 143, apartado 3). Esa ventana ya se ha cerrado.

Un registro nacional anterior a MiCA documenta un historial, no el estatus actual. Según la declaración de ESMA de 17 de abril de 2026, cualquier entidad que preste servicios con criptoactivos a clientes de la UE después del 1 de julio de 2026 sin autorización MiCA incumple el Derecho de la Unión y debe cesar su actividad.

Paso 1 — Averigua qué entidad jurídica está detrás de la aplicación

Las marcas, las aplicaciones y los sitios web son capas de marketing. La parte que tiene obligaciones contigo es una empresa nombrada en los documentos que aceptaste al registrarte. Revisa los primeros párrafos de las condiciones de uso («los servicios los presta…»), la política de privacidad (que nombra al responsable del tratamiento de datos), el aviso legal, la letra pequeña del pie de página y tus correos de bienvenida.

Anota la denominación social exacta con su forma jurídica (GmbH, SAS, OÜ, Ltd), el domicilio social, el número de registro mercantil y el regulador que se menciona. Si aparecen varias sociedades, averigua cuál presta el servicio que utilizas: la custodia, el canje y las transferencias pueden corresponder a entidades distintas, como ocurre en un esquema de IBAN crypto-friendly. La orientación de ESMA para los consumidores insiste en lo mismo: las protecciones de MiCA solo se aplican a la entidad autorizada de la UE concreta, y no a otras sociedades del grupo. Si la documentación no está clara, pregunta por escrito al servicio de atención; una respuesta vaga también es una información.

Paso 2 — Identifica al regulador

La autorización la concede la autoridad competente del Estado miembro de origen de la entidad, por ejemplo la AMF en Francia, la BaFin en Alemania, la CNMV en España, la CONSOB en Italia, el Banco Central de Irlanda o la MFSA en Malta. El registro indica la autoridad de cada ficha, y ESMA publica la lista de autoridades designadas. Considera el regulador que se cita en la publicidad como una afirmación que hay que contrastar: una autoridad de fuera de la UE no puede conceder una autorización MiCA.

Paso 3 — Consulta el registro oficial

ESMA publica el registro provisional MiCA como archivos descargables en su página dedicada a MiCA: cinco archivos CSV que abarcan los libros blancos, los emisores de fichas referenciadas a activos, los emisores de fichas de dinero electrónico, los proveedores de servicios de criptoactivos y las entidades incumplidoras. Para una plataforma, utiliza el archivo de proveedores de servicios de criptoactivos.

1. Abre la página de MiCA de ESMA y localiza la sección «Interim MiCA Register» (registro provisional MiCA).
2. Descarga el archivo de proveedores de servicios de criptoactivos y ábrelo en una hoja de cálculo.
3. Busca la denominación social, el identificador de entidad jurídica (LEI) o el dominio del sitio web, y no solo la marca. El nombre comercial figura en una columna aparte.
4. Lee la fila completa: autoridad competente, Estado miembro de origen, denominación social, LEI, domicilio, sitio web, fecha de autorización, fecha de retirada, servicios y Estados miembros en los que la empresa tiene previsto operar.
5. Comprueba que consta una fecha de autorización y que la fecha de retirada está vacía.
6. Repite la búsqueda en la lista propia del regulador nacional, que puede estar más actualizada.

ESMA actualiza el registro cada semana a partir de lo que comunican las autoridades nacionales, de modo que una autorización muy reciente puede no aparecer de inmediato, y una autorización retirada permanece en el archivo con su fecha de finalización. Accede a los archivos a través de la página de ESMA, ya que los califica de provisionales. Un libro blanco que figure en el registro no supone la aprobación de la ficha.

Si una fila no tiene fecha de autorización, lee el campo de comentarios y la página del regulador: la entidad puede ser un banco u otra empresa supervisada que se acoge a la vía de notificación del artículo 60. Si no encuentras ninguna fila, pide al proveedor su entidad jurídica, su LEI y su referencia ante el regulador, consulta la lista del regulador y espera a que algo coincida antes de depositar nada.

Paso 4 — Comprueba los servicios cubiertos

El registro anota cada servicio con una letra, siguiendo los diez servicios de la definición de MiCA.

Una ficha que solo mencione el asesoramiento no da base alguna para custodiar tus activos. Comprueba que tu país figura entre los Estados miembros indicados.

Paso 5 — Haz coincidir el dominio y la entidad jurídica

Una ficha auténtica también puede ser utilizada por un sitio web impostor. Compara, carácter por carácter, el sitio web del registro con la dirección que utilizas, y comprueba que la denominación social de las condiciones, el domicilio y el LEI coinciden con el registro y que el desarrollador en la tienda de aplicaciones es la misma empresa. La búsqueda pública de GLEIF muestra el nombre y el domicilio registrados detrás de un LEI.

Comprueba también el tipo de entidad. Una empresa de fuera de la UE no puede ofrecer servicios MiCA a clientes de la UE, salvo en el estrecho supuesto de que el cliente la contacte por su propia y exclusiva iniciativa (solicitud por iniciativa exclusiva del cliente, o «reverse solicitation»), y ESMA considera que la promoción dirigida a clientes de la UE es una captación de clientes.

Paso 6 — Revisa las advertencias y restricciones

Consulta el archivo de entidades incumplidoras, que nombra a las entidades que las autoridades han identificado como prestadoras de servicios con criptoactivos incumpliendo las normas de autorización, y lee después la sección de advertencias del regulador de origen y la de tu propio regulador nacional. Un resultado limpio solo significa que todavía no se ha emitido ninguna alerta.

Señales de alarma: afirmaciones que conviene comprobar

Un ejemplo práctico (ficticio)

Imagina una aplicación llamada Tidewell. Su web dice «MiCA licensed» y muestra un número de licencia, pero ningún nombre de empresa. Las condiciones indican que los servicios para la UE los presta Tidewell Digital Services SIA, una sociedad letona. En el paso 3 no hay ninguna ficha para ella, solo Tidewell Capital Ltd, otra empresa autorizada únicamente para el asesoramiento. La marca es común, pero las entidades no: la empresa que te presta el servicio no muestra ninguna autorización. El siguiente paso consiste en pedir por escrito la referencia ante el regulador y el LEI de la entidad que custodia los activos de los clientes, y no depositar nada hasta que la respuesta coincida con una ficha del registro. (Tidewell es un nombre inventado a modo de ilustración.)

¿Puede operar una plataforma mientras su solicitud de autorización MiCA está pendiente?

No. La posición de ESMA es que, después del 1 de julio de 2026, quien ofrezca servicios con criptoactivos a clientes de la UE sin autorización MiCA debe cesar, y esperaba que los proveedores no autorizados hubieran completado entonces una salida ordenada. Una solicitud «en trámite» no es una autorización. El caso de un banco que se acoge a la vía de notificación del artículo 60 es distinto, y una empresa de fuera de la UE solo puede atender a un cliente que se haya dirigido a ella por propia iniciativa. Pide ver la ficha del registro y, mientras no exista, considera al proveedor como no autorizado a efectos de cualquier nuevo depósito.

¿Garantiza la autorización MiCA que los fondos no puedan perderse?

No. La autorización demuestra que una entidad concreta está sujeta a los requisitos de MiCA en materia de organización, custodia y conducta y a supervisión. No asegura contra las caídas de precio, las estafas que aprovechan tus propias credenciales, las interrupciones del servicio ni la quiebra de una empresa. La advertencia de ESMA está formulada a la inversa: los clientes de proveedores no autorizados carecen de las garantías de MiCA, incluida la protección de los activos de los clientes. No dice que los clientes de proveedores autorizados no corran ningún riesgo. Trata la autorización como un filtro mínimo y juzga después la plataforma por sus comisiones, sus mecanismos de custodia y la gestión de reclamaciones. Para más detalle, consulta qué protege MiCA y qué no.

Lista de verificación

Copia esta lista y complétala antes de depositar fondos.

• Denominación social exacta de la empresa que me presta el servicio: ______
• Domicilio social y número de registro mercantil: ______
• Regulador que figura en el contrato: ______
• LEI, confirmado en una búsqueda pública de LEI: ______
• Ficha encontrada en el archivo de proveedores de servicios de criptoactivos de ESMA o en la lista del regulador
• Fecha de autorización consignada, fecha de retirada vacía, mis servicios y mi país incluidos
• El sitio web del registro coincide con la dirección que utilizo
• Ninguna coincidencia en el archivo de entidades incumplidoras ni en las advertencias del regulador

Aplicar la lista de verificación a Quppy

El sitio web de Quppy indica que la aplicación la explota QUPPY EUROPE OÜ y que los servicios con criptoactivos en Europa los presta Payhound Limited, un PSCA con sede en Malta autorizado por la MFSA. Esa es la separación entre marca y entidad regulada que el paso 1 te pide localizar, y la lista pública de PSCA autorizados de la AMF también incluye una ficha de Payhound Limited. Aplica tú mismo los pasos 3 a 5 a ese nombre, usando la página de MiCA y proveedores de Quppy como documento de contraste. Para saber qué comunica después un proveedor autorizado a las autoridades fiscales, consulta las normas de comunicación de la DAC8.

Preguntas frecuentes

¿Es el registro de ESMA el único sitio donde comprobarlo?

No. ESMA elabora su registro con la información que le comunican las autoridades nacionales competentes y lo actualiza cada semana, por lo que la lista propia de un regulador nacional puede estar más al día. Usa ambos: ESMA para la visión transfronteriza y el regulador del Estado miembro de origen del proveedor para conocer el estado más reciente, las retiradas y las advertencias.

¿Qué es un LEI y para qué sirve?

El identificador de entidad jurídica (Legal Entity Identifier, LEI) es un código de 20 caracteres que identifica a una empresa en todo el mundo. El registro MiCA lo anota para cada proveedor, de modo que puedes cotejar un contrato o un sitio web con una ficha aunque los nombres de marca o su ortografía difieran. Una búsqueda pública de LEI muestra el nombre y el domicilio registrados vinculados a ese código.

Mi proveedor es un banco. ¿Aparecerá en el registro?

Depende. Un banco puede aparecer, pero no como un PSCA convencional: las entidades de crédito y algunas otras empresas supervisadas pueden ofrecer servicios equivalentes con criptoactivos tras notificarlo a su regulador conforme al artículo 60. Sus fichas del registro pueden tener un aspecto distinto, por ejemplo sin fecha de autorización, así que consulta el campo de comentarios y la página del propio regulador.

¿Qué debo hacer si mi proveedor no está autorizado?

ESMA aconseja actuar con rapidez: trasladar tus criptoactivos a un proveedor autorizado o a un monedero autoalojado, o plantearte cerrar posiciones, porque seguir con un proveedor no autorizado puede suponer una menor protección jurídica y un mayor riesgo de perder el acceso a tus activos. Comprueba el proveedor de destino siguiendo los mismos pasos antes de mover nada. Si estás eligiendo un nuevo proveedor para comprar, consulta cómo comprar criptoactivos legalmente en Europa tras MiCA.

Información general sobre las normas de la UE; no constituye asesoramiento jurídico ni respaldo de ningún proveedor.

Fuentes y lecturas complementarias

• ESMA, Statement on the end of transitional periods under MiCA (declaración sobre el fin de los periodos transitorios en virtud de MiCA, 17 de abril de 2026)
• ESMA, página sobre el Reglamento relativo a los mercados de criptoactivos (MiCA) y registro provisional MiCA, con la descripción de los campos del registro
• Banco Central de Irlanda, resumen de la declaración pública de ESMA de 23 de junio de 2026 sobre los PSCA no autorizados
• EUR-Lex, Reglamento (UE) 2023/1114 (MiCA)
• ESMA, Guidelines on reverse solicitation under MiCA (directrices sobre la solicitud por iniciativa exclusiva del cliente en virtud de MiCA)
• Finansinspektionen (Suecia), autorización y notificación para servicios con criptoactivos
• AMF (Francia), ficha de la lista correspondiente a Payhound Limited