Después de un “hack”, la frase “Te compensaremos” ahora es ley en Europa… No en los Estados Unidos.

En febrero de 2025, los cibercriminosos vaciaron…Aproximadamente 1.5 mil millones de ethers desde la plataforma Bybit.Y Bybit les dijo a los clientes que, en realidad, todo estaba bien: los activos de los clientes seguían estando respaldados en la proporción 1:1, y el exchange reponía sus reservas.Préstamos de emergencia de Galaxy Digital, FalconX y WintermuteEn julio de 2024, los ciberdelincuentes robaron 230 millones de dólares del exchange indio WazirX. Los clientes de ese exchange se vieron en una situación difícil.Reestructuración aprobada por el tribunalesoPagaron aproximadamente el 85% de sus reclamaciones aprobadas.Valorado a partir de una fecha específica… Un corte de cabello que se presenta como un “token de recuperación”. En 2014, los clientes de Mt. Gox…Se declaró en quiebra.Y se alinearon detrás de un administrador.

Si se observan esos tres resultados uno junto al otro, la columna de “compensación” parece una especie de azar, determinada caso por caso, por quienquiera que tenga las llaves para decidirlo. Este es el estado en el que todavía operan la mayoría de los inversores estadounidenses: después de un ataque cibernético, lo que se obtiene como compensación es solo una promesa, y esa promesa vale todo lo que la plataforma decida.

Eso ya no es cierto en Europa. El cambio es pequeño, específico y verificable; por eso es realmente importante.

La promesa pasó de las condiciones estipuladas en el contrato a la ley.

El mismo mecanismo de intercambio se gestiona de manera diferente, dependiendo de la jurisdicción que administre su billetera. La regulación de los mercados de criptoactivos en Europa, MiCA.Regulación (UE) 2023/1114Aplicó su régimen de licencias para los proveedores de servicios de criptoactivos.Desde el 30 de diciembre de 2024Y las ventanas de exención nacional que permiten que las empresas existentes continúen operando bajo sus licencias antiguas.En gran medida cerrado a mediados de 2026..

En el centro de ese régimen se encuentra el artículo 75(8). Para un proveedor autorizado para retener los activos criptográficos de los clientes bajo custodia, este artículo representa una obligación legal directa: la empresa está…Responsables ante sus clientes por la pérdida de cualquier activo criptográfico o por la imposibilidad de acceder a dichos activos, como resultado de un incidente atribuible a ellos.Con esa responsabilidad, “se limita al valor de mercado del activo criptográfico que se perdió, en el momento en que ocurrió la pérdida”.

Es el cambio de identidad. Antes de la nueva regla, “te compensaremos” era una estrategia de marketing que el proveedor podía utilizar después de una semana tranquila. Después de la regla, se trata de un elemento que forma parte del balance financiero autorizado: los problemas causados por el proveedor son pérdidas para la empresa, no suerte personal. La única forma de evitarlo es que el proveedor demuestre que las pérdidas ocurrieron independientemente de la prestación del servicio relevante, o independientemente de las operaciones del proveedor de servicios de criptoactivos. Por ejemplo, si las claves estaban bajo el control del proveedor y el ataque ocurrió a través de sus sistemas, entonces esa excepción no se aplica.

¿Qué es la promesa… y qué no es?

Tres precauciones son necesarias para que el titular sea fiel a la realidad; y esas son las partes que la mayoría de los resúmenes omiten.

En primer lugar, la responsabilidad recae sobre el servicio de custodia y administración autorizado, y no automáticamente sobre cada saldo que se encuentre en un lugar de negociación general. El MiCA establece claramente los límites: el Artículo 75 es la norma para los servicios de custodia autorizados, mientras que…El marco de seguridad establecido en el Artículo 70 se aplica a todos los proveedores que poseen activos de clientes. Sin embargo, no existe un mecanismo legal similar para la reparación de pérdidas.El lugar en el que se encuentran tus monedas dentro de la plataforma, y bajo qué autorización se encuentran, determina si la promesa llegará a ti.

En segundo lugar, la compensación se calcula en el momento de la pérdida, no en el momento en que se te paga. Si tu ether es robado a un precio determinado y el mercado se duplica antes de la liquidación, la ley te garantiza una compensación en euros, correspondiente al valor anterior del ether, mientras que tú te quedas sin las monedas en sí. La compensación es un mínimo, no una sustitución completa.

En tercer lugar, se trata de una responsabilidad directa que corresponde al balance general de una empresa. No existe ningún fondo o mecanismo de seguridad que pueda protegerla. La analogía que se puede hacer es la de la seguridad de depósitos o el SIPC… Pero esta analogía no sirve de nada cuando se plantea la segunda pregunta: ¿quién pagará si el custodio de los fondos es atacado y también es insolvente? La seguridad de depósitos está respaldada por un fondo común y préstamo; en cambio, MiCA no ofrece ninguna garantía contra reclamaciones contra la empresa que ha perdido tu dinero. La garantía solo puede ser pagada si el balance general de la empresa sigue estando intacto.

Lo que significa para un portafolio en Estados Unidos

Nada en los reguladores MiCA protege a un cliente estadounidense que posee activos en territorio estadounidense. La FDIC no ofrece seguros para los criptoactivos que se mantienen en exchanges. En cambio, el SIPC protege los valores que se manejan a través de brokers, pero no los criptoactivos en sí. Para un inversor minorista estadounidense, la compensación por un ataque informático sigue siendo la misma que en el caso de Mt. Gox: una negociación sobre los activos restantes de esa empresa.

Esa divergencia en sí misma es un factor importante para la toma de decisiones relacionadas con las inversiones. Cambia la pregunta “¿dónde guardo mis monedas?” de una cuestión de conveniencia a una cuestión de jurisdicción legal. Un custodio autorizado por la UE que pierda tus monedas tiene la obligación legal de compensarte hasta el valor que había en ese momento. La promesa similar de los custodios estadounidenses se basa en la buena fe contractual, pero la gestión puede revisar esa promesa en situaciones de crisis. Para aquellos que buscan mayor protección, el lugar más adecuado es un lugar autorizado por MiCA y con licencia para gestionar activos. Pero hay que tener en cuenta que esa protección se basa en el balance general de esa empresa; por lo tanto, la adecuación de su capital y la separación real de los activos de los clientes son los verdaderos indicadores de si se cumple esa promesa.

En cuanto a las propias plataformas, la regla es una línea de costos que antes no existía. Un proveedor que debe asumir las pérdidas hasta el valor de mercado en el momento de la pérdida, tiene un riesgo financiero muy alto. Esto favorece a aquellos proveedores con suficiente capital, mientras que penaliza a aquellos con poco capital. Además, esto proporciona una razón para considerar los datos relacionados con las reservas y la solvencia como elementos de riesgo de contraparte, en lugar de considerarlos simplemente como elementos de marketing.

Condición de pausa

La objeción más importante en relación con todo esto es el “pasaje de escape”. El texto de la normativa que se considera “atribuible a ellos” tiene una larga vida útil en los litigios. Algunos proveedores podrían perder sus ingresos debido a un ataque sofisticado, y argumentarán que el ataque fue independiente de sus operaciones. El día en que un tribunal alemán o una empresa supervisada por BaFin logre hacer valer ese derecho de custodia, la promesa legal se reducirá a la promesa discrecional que reemplazó antes. La revalorización de la custodia regulada por la UE en comparación con todo lo demás será reafirmada, no abandonada.

Hasta esa decisión, la situación era sencilla. Europa convirtió la compensación obtenida mediante el sorteo de monedas en una responsabilidad regulada y limitada. Los Estados Unidos, por su parte, siguen basándose en ese sistema de sorteo.