Sección 3 · Lección 3.1
Sanciones: OFAC, UE, Reino Unido y por qué son el riesgo más peligroso
El riesgo de sanciones se distingue de cualquier otra fuente de riesgo en una comprobación AML. Es la única categoría en la que no existe un nivel "moderado": aquí la regla es todo o nada. Veamos quién mantiene las listas de sanciones, qué es un SDN, por qué las sanciones estadounidenses te alcanzan en cualquier parte del mundo y por qué incluso un 1 % de exposición a sanciones anula cualquier transacción.
Quién mantiene las listas de sanciones y por qué
Las sanciones son un instrumento estatal que prohíbe cualquier relación económica con determinadas personas, organizaciones y —en nuestro caso— direcciones de criptomonedas. A diferencia del riesgo "reputacional", que evalúas tú mismo, las sanciones tienen fuerza de ley. Una infracción no es una "mala práctica", sino un delito legal directo que acarrea responsabilidad penal y financiera.
- OFAC (EE. UU.)La Oficina de Control de Activos Extranjeros del Tesoro estadounidense. Mantiene la lista SDN (Specially Designated Nationals). Es el regulador más influyente en el mundo cripto: OFAC fue el primero en empezar a añadir direcciones concretas de blockchain a las listas de sanciones.
- Lista consolidada de la UELa lista única de sanciones de la Unión Europea. Obligatoria para toda empresa que opere dentro de la jurisdicción de la UE.
- OFSI del Reino UnidoLa Oficina de Implementación de Sanciones Financieras del Tesoro británico. Desde el Brexit mantiene su propia lista consolidada.
- Listas localesRosfinmonitoring, sanciones de la ONU, registros nacionales. En las comprobaciones cripto el núcleo es casi siempre OFAC: su cobertura de direcciones es la más completa.
Qué es la SDN y las direcciones cripto que contiene
La lista SDN es un registro de partes con las que los ciudadanos y empresas estadounidenses tienen prohibido hacer negocios. Históricamente contenía nombres de personas, nombres de empresas y números de pasaporte. A partir de 2018, OFAC empezó a añadir un identificador de Dirección de Moneda Digital (Digital Currency Address): una dirección pública concreta en una blockchain. Las primeras que aparecieron en la lista fueron direcciones vinculadas a operadores iraníes de ransomware.
Técnicamente, una entrada tiene este aspecto: el nombre del sujeto, su país y luego líneas del tipo Digital Currency Address - ETH 0x8589427373D6D84E98730D7795D8f6f8731FDA16. Desde ese momento, cualquier transacción con esta dirección es una violación del régimen de sanciones. Y aquí la blockchain trabaja en contra del infractor: la dirección es pública, cada transferencia queda visible para siempre y nada puede "deshacerse".
Dirección SDN
en la lista de OFAC
→
1 transferencia
→
Tu monedero queda "contaminado"
Extraterritorialidad: por qué esto afecta a todos
La característica clave de las sanciones de OFAC es su naturaleza extraterritorial. Mucha gente piensa erróneamente: "No soy ciudadano estadounidense, no estoy en EE. UU., así que esto no me aplica". Es una idea peligrosamente equivocada.
Por qué importa. El dólar estadounidense y su infraestructura impregnan el mundo entero. En el momento en que en una cadena aparece USDT/USDC (los emisores son las empresas estadounidenses Tether y Circle), o interviene una exchange estadounidense, un banco corresponsal estadounidense o incluso un servidor en jurisdicción de EE. UU., quedas sujeto a la ley estadounidense. Circle y Tether pueden, técnicamente,
congelar stablecoins en cualquier dirección a petición de OFAC, y lo hacen con regularidad. Tu USDT "congelado" simplemente dejará de moverse.
Precisamente por eso el cumplimiento de sanciones no es un "capricho estadounidense", sino una higiene imprescindible para cualquiera que trabaje con criptomonedas de forma profesional: exchanges, servicios de intercambio, proveedores de pago, custodios.
Tres ejemplos elocuentes
- Tornado Cash (agosto de 2022). OFAC añadió a la SDN no a una persona, sino al propio contrato inteligente del mezclador: un conjunto de direcciones de Ethereum. Fue un precedente: código autónomo quedó sometido a sanciones. Cualquier transferencia hacia o desde estos contratos pasó a ser una infracción. Muchos usuarios corrientes que "limpiaban" fondos legítimos por privacidad se encontraron de pronto con dinero "sucio".En 2024–2025 hubo disputas legales sobre si sancionar código es lícito, pero para el profesional la conclusión es la misma: las direcciones de Tornado Cash son tóxicas.
- Lazarus Group (Corea del Norte). Un grupo de hackers al servicio del Estado norcoreano. OFAC añade sistemáticamente sus direcciones tras cada gran hackeo (Ronin Bridge — 625 millones de dólares, Harmony Bridge y otros). Los fondos de Lazarus se destinan a financiar el programa de misiles de Corea del Norte, por lo que los reguladores reaccionan con la máxima dureza.La exposición a Lazarus no es solo un riesgo AML: es el riesgo de ser acusado de financiar armas de destrucción masiva.
- Garantex. Una exchange rusa de criptomonedas añadida a la SDN de OFAC en abril de 2022 y finalmente destruida a nivel de infraestructura en 2025 (USDT congelado, servidores incautados). Un enorme volumen de fondos que pasó por Garantex arrastra ahora una marca de sanciones. Los monederos que recibieron retiradas de Garantex adquieren automáticamente una puntuación de sanciones elevada.Un ejemplo clásico de usuarios "corrientes" de una exchange que heredan un rastro problemático a posteriori.
Por qué incluso un 1 % de exposición a sanciones = stop
En la lógica AML habitual, el riesgo se acumula gradualmente: un poco de darknet, un poco de una exchange de alto riesgo, y la puntuación general sube. Las sanciones funcionan de otra manera: aquí no hay "un poco".
Precaución. El derecho de sanciones se construye sobre el principio de
responsabilidad objetiva (strict liability). Esto significa que no importa si sabías o no que los fondos eran de origen sancionado, ni si hubo o no intención. El mero hecho de una transacción con una dirección sancionada ya es una infracción. Las multas de OFAC ascienden a millones de dólares por episodios individuales, y para las personas jurídicas puede significar además quedar excluidas del sistema del dólar: la muerte corporativa.
Por eso la exposición a sanciones se trata con una regla especial en el scoring. Si aunque sea el 1 % de los fondos de un monedero se remonta a una dirección SDN, el veredicto final es stop, sin importar lo "limpio" que parezca el 99 % restante. El riesgo de sanciones no puede "promediarse" con algo bueno. Una sola gota de fondos sancionados hace que todo el monedero sea inadecuado para un trabajo conforme.
Una analogía para la intuición. Imagina una piscina de agua limpia en la que ha caído una gota de veneno. Aunque el veneno sea el 1 %, no beberías esa agua ni la llamarías "99 % limpia". Los fondos sancionados funcionan igual: "envenenan" toda la piscina en la que se mezclan.
Cómo comprobar una dirección contra las listas de sanciones
Hay dos niveles de comprobación, y entender la diferencia es crítico.
- Coincidencia directa. La dirección comprobada aparece literalmente en la lista SDN/UE/Reino Unido. Es el caso más sencillo: tomas la dirección y la buscas en la base de datos consolidada. Aquí el veredicto es inequívoco: sujeto sancionado.OFAC publica la lista SDN en formatos legibles por máquina; existen agregadores actualizados con regularidad de direcciones cripto extraídas de las listas de sanciones.
- Exposición indirecta (indirect / taint). La dirección en sí está limpia, pero al rastrear la cadena de transacciones, parte de los fondos proviene de —o va hacia— una dirección sancionada. Aquí se necesita análisis de flujos: cuántos "saltos" hay hasta la SDN, qué proporción de los fondos está contaminada, si es una transferencia directa o a través de monederos intermedios.La exposición indirecta es el 95 % de los casos reales. Direcciones SDN directas en la entrada casi nunca se ven; el peligro está en el rastro.
Por qué importa. Una buena comprobación AML no se limita a buscar una dirección en una lista. Construye un grafo de transacciones y calcula qué proporción del saldo se remonta a fuentes sancionadas. Esto es exactamente lo que distingue una superficial "comprobación de lista negra" del auténtico análisis de contaminación (taint), al que se dedica una lección aparte.
Conclusiones prácticas
- Las sanciones están fuera de escalaNo las trates como "un riesgo más". Es una bandera binaria: presente → stop, ausente → adelante.
- OFAC es el núcleo de la comprobaciónIncluso fuera de la jurisdicción de EE. UU. estás atado al dólar y a las stablecoins, así que OFAC es relevante para todos.
- Las listas se actualizan constantementeUna dirección que ayer estaba limpia puede aparecer hoy en la SDN. Una comprobación debe usar una base de datos reciente, no una caché de hace una semana.
- La intención no importaLa responsabilidad objetiva significa que "no lo sabía" no es excusa. Comprueba antes de la operación, no después.
En la próxima lección examinaremos una de las fuentes más comunes de exposición a sanciones y de alto riesgo: los mezcladores y tumblers de criptomonedas, cómo funcionan por dentro y cómo reconocer su rastro en la blockchain.
Este material tiene únicamente fines educativos y no constituye asesoramiento legal.