Tu propio exchange de cripto: cómo guardar los fondos de los clientes en billeteras calientes y frías, revisar los retiros y cumplir las normas de la UE

Decide cómo se guardarán los fondos de los clientes antes de diseñar la pantalla de trading. Mantén la mayor parte de las criptomonedas de tus clientes en billeteras frías, cuyas claves nunca pasan por un ordenador conectado a internet, y exige que varias personas aprueben cada transferencia que salga de ellas. Una pequeña billetera caliente paga los retiros del día a día y se repone desde el almacenamiento en frío con transferencias planificadas que tienen un límite máximo. Cada retiro pasa controles antes de que nadie lo firme. En la UE, el exchange además necesita una autorización según MiCA y tiene que transmitir los datos del remitente y del destinatario junto con las transferencias.

¿Qué necesita un exchange de cripto además del matching engine?

El matching engine empareja las órdenes de compra y de venta. A su alrededor, un exchange tiene en marcha varios sistemas más:

• Un registro interno que guarda cuánto tiene de cada moneda cada cliente y que cambia con cada operación, depósito y retiro
• La gestión de depósitos: una dirección para cada cliente y un software que vigila cada blockchain y abona un depósito cuando tiene suficientes confirmaciones
• Las billeteras que guardan las propias monedas: calientes, templadas y frías, que se explican más abajo
• La gestión de retiros: los controles, la firma y el envío de cada transferencia a la red
• Los controles de identidad y contra el blanqueo de capitales, sobre los clientes y sobre las direcciones a las que envían y de las que reciben

Una operación entre dos clientes cambia solo el registro interno. Las monedas se mueven en una blockchain solo cuando un cliente deposita o retira. Por eso las monedas que hay en las direcciones del exchange tienen que cubrir lo que, según el registro, poseen los clientes. Pregunta a quien lo construya cómo se hace esta comparación cada día y qué pasa cuando las cifras no coinciden.

¿Cuánto conviene tener en billeteras calientes y cuánto en frías?

Una billetera caliente guarda sus claves en un servidor conectado a internet, así que puede firmar retiros sin intervención de una persona. Esa rapidez es también su riesgo: cualquiera que tome el control del servidor también puede firmar. Una billetera fría guarda sus claves sin conexión, y una transferencia suele necesitar la aprobación de varias personas. Una billetera templada queda entre las dos: en una configuración habitual está conectada, pero una persona aprueba cada transferencia.

Mantén en la billetera caliente solo lo que necesita un día normal de retiros y repónla desde el almacenamiento en frío con transferencias planificadas que tengan un límite máximo fijo. No hay una proporción que sirva para todos los exchanges. Depende de cuánto retiran los clientes y de lo rápido que esperan recibir sus monedas, así que pide a quien lo construya que la calcule a partir de los volúmenes que tú esperas.

MiCA es el reglamento de la UE sobre criptoactivos: el Reglamento (UE) 2023/1114, consultado el 27 de octubre de 2026, como las demás fuentes de este artículo. Describe el objetivo y deja el método a cada empresa. Su artículo 75 pide a la empresa que guarda criptoactivos de clientes que tenga una política de custodia. Esa política tiene que «minimizar el riesgo de pérdida de los criptoactivos de los clientes, de los derechos relacionados con esos criptoactivos o de los medios de acceso a los criptoactivos por fraude, ciberamenazas o negligencia». El mismo artículo exige que, «en el registro distribuido, los criptoactivos de sus clientes se mantengan separados de sus propios criptoactivos». Así que las monedas propias del exchange y las de sus clientes están en direcciones distintas.

¿Qué mostró el robo a Bybit sobre las billeteras frías?

El 21 de febrero de 2025, el exchange de cripto Bybit hizo lo que llamó «una transferencia rutinaria desde una de nuestras billeteras frías multifirma de Ethereum a una billetera templada». Una billetera multifirma necesita varias claves para aprobar una transferencia. Los aprobadores firmaron lo que parecía una transferencia normal, pero la transacción cambió la lógica de la propia billetera y dio su control a los atacantes. Bybit cifró la pérdida en 1,46 mil millones de dólares. El FBI la situó en unos 1,5 mil millones de dólares y atribuyó el robo a Corea del Norte.

La cronología del incidente que publicó Bybit cita informes preliminares de Sygnia Labs y Verichains. Esos informes señalaron «código JavaScript malicioso en la plataforma de Safe{Wallet}», el servicio externo que usaban sus firmantes, y no encontraron ninguna vulnerabilidad en la infraestructura propia de Bybit. Las aprobaciones no detuvieron el robo, porque lo que se mostraba a los firmantes no era lo que firmaban.

Para un exchange nuevo, la lección tiene que ver con cómo funcionan las aprobaciones, no solo con cuántas hay:

• Cada aprobador comprueba los detalles de una transferencia en un dispositivo que la interfaz web no controla, como la pantalla de un dispositivo de firma por hardware
• Una transferencia desde el almacenamiento en frío tiene un límite máximo, de modo que una sola transacción aprobada no puede vaciar una billetera entera
• Alguien vigila las billeteras frías las 24 horas y puede pausar los retiros

¿Cómo se debe revisar un retiro antes de firmarlo?

Una solicitud de retiro debe pasar controles automáticos antes de que cualquier clave la firme:

• El saldo del cliente en el registro interno cubre el importe y la comisión de la red
• El importe cabe en el límite diario del cliente y en el límite por transferencia
• La dirección está en la lista de direcciones guardadas del cliente, o se aplica un periodo de espera a una dirección nueva
• La dirección se contrasta con listas de direcciones sancionadas y de alto riesgo
• Los datos que exigen las normas sobre transferencias se recogen y se envían con la transferencia

Los retiros pequeños que pasan todos los controles los puede firmar automáticamente la billetera caliente. Los más grandes pasan a personas que los aprueban desde la billetera templada o la fría. Una vez enviada la transferencia, el sistema espera las confirmaciones en la red y solo entonces marca el retiro como completado en el registro interno.

¿Qué exige la Travel Rule de la UE a un exchange?

El Reglamento (UE) 2023/1113, al que a menudo se llama Travel Rule, se aplica «a partir del 30 de diciembre de 2024». Exige que el exchange del cliente que envía cripto transmita los datos de ambas partes. Del remitente, incluyen «el nombre del ordenante» y su dirección en la blockchain y número de cuenta. También incluyen «la dirección del ordenante, incluido el nombre del país, el número del documento personal oficial y el número de identificación del cliente o, alternativamente, la fecha y el lugar de nacimiento del ordenante». Del destinatario, incluyen el nombre, la dirección en la blockchain y el número de cuenta.

Los datos tienen que enviarse «antes de la transferencia de criptoactivos, o de manera simultánea o concurrente con ella», pero no hace falta incluirlos en la propia transacción de la blockchain. Los exchanges se los pasan entre sí mediante servicios de mensajería aparte, así que quien construya el tuyo tiene que conectarlo a ellos.

Los retiros a una billetera que el cliente controla personalmente, a la que el reglamento llama dirección autoalojada, tienen una regla más. Se aplica a «una transferencia de un importe superior a 1 000 EUR a una dirección autoalojada». En ese caso, el exchange debe «adoptar medidas adecuadas para evaluar si esa dirección es propiedad del ordenante o está bajo su control». Una forma habitual es pedir al cliente que demuestre que controla la dirección, por ejemplo firmando con ella un mensaje corto.

¿Qué licencia necesita un exchange de cripto en la UE?

Según MiCA, gestionar una plataforma de negociación de criptoactivos es un servicio de criptoactivos, y la empresa necesita autorización como proveedor de servicios de criptoactivos. Ese servicio entra en la más alta de las tres clases de capital del anexo IV del reglamento, con un requisito de capital mínimo de 150 000 EUR.

Las empresas que ya prestaban esos servicios según el derecho nacional antes del 30 de diciembre de 2024 podían seguir haciéndolo con un régimen transitorio. Duraba «hasta el 1 de julio de 2026 o hasta que se les conceda o deniegue una autorización», lo que ocurriera antes. Esa fecha ya pasó. Un exchange que quiera clientes en la UE debe planificar la autorización desde el principio.

MiCA también influye en el software. El artículo 75 exige:

• Un acuerdo de custodia con cada cliente
• Un registro de las posiciones de cada cliente
• Un estado de posiciones «al menos una vez cada tres meses»
• Procedimientos para devolver a los clientes sus criptoactivos «lo antes posible»

La empresa responde de las pérdidas causadas por incidentes que le sean imputables, con una responsabilidad «limitada al valor de mercado del criptoactivo perdido en el momento en que se produjo la pérdida». El artículo 70 añade una regla sobre el dinero de los clientes en euros u otras monedas. Salvo que la empresa sea ella misma un banco, una entidad de pago o una entidad de dinero electrónico, ese dinero debe depositarse «en una entidad de crédito o en un banco central» antes del final del siguiente día hábil.

Fuera de la UE, las normas dependen de cada país, y este artículo no es asesoramiento jurídico. Consulta a un abogado en cada mercado en el que pienses operar antes de decidir dónde registrarte.

¿Billeteras propias o un proveedor de custodia?

Hay tres configuraciones habituales:

• Billeteras propias: controlas cada paso y cada coste, y cargas con todo el riesgo, las auditorías y las personas que custodian las claves
• Un proveedor de custodia: guardar las claves y firmar es su trabajo, pero cada retiro depende de sus sistemas y de sus comisiones
• Ambas: billeteras calientes propias para ganar rapidez y almacenamiento en frío con un proveedor para la mayor parte de los fondos de los clientes

Según MiCA, el proveedor que guarda los criptoactivos de los clientes por cuenta de un exchange debe estar autorizado. El artículo 75 permite a la empresa recurrir solo a proveedores «autorizados de conformidad con el artículo 59», y la empresa tiene que informar a sus clientes de que usa uno.

Con un exchange de marca blanca, pregunta qué configuración usa el proveedor y quién tiene las claves. Si las tiene el proveedor, las monedas de tus clientes dependen de una empresa que no controlas.

¿Qué preguntar a la empresa que construye las billeteras del exchange?

• ¿Dónde se crean y se guardan las claves, y cuántas personas aprueban una transferencia desde cada billetera?
• ¿Cómo comprueba cada aprobador lo que firma sin depender de la interfaz web?
• ¿Cómo se compara el registro interno con los saldos de cada blockchain, y con qué frecuencia?
• ¿Qué pasa con los saldos de los clientes cuando una blockchain se divide o un token se sustituye por una versión nueva?
• ¿Cómo llegan los datos de la Travel Rule a otros exchanges y qué pasa cuando faltan?
• ¿Puedes mostrar el flujo de retiro en un sistema que funcione hoy?

La pregunta sobre las divisiones de una blockchain importa por MiCA. Los clientes tienen derecho a cualquier criptoactivo nuevo creado por un cambio así, en proporción a sus posiciones, salvo que su acuerdo con el exchange diga otra cosa.

¿Dónde encaja amBrain?

amBrain, que publica este blog, describe esta parte de su trabajo en una línea: «amBrain construye exchanges de cripto: motor de matching, wallets, depósitos y retiros». Desarrolla software desde 2019 y trabaja en tres formatos: entrega completa, un equipo dedicado o ingenieros integrados en tu equipo. Sobre la propiedad, su frase es: «El cliente conserva la propiedad completa del producto y del código, salvo nuestros componentes reutilizables».

Este artículo no es un caso de estudio y no describe ningún trabajo para clientes. No dice qué exchanges ha construido amBrain, para quién ni cómo están organizadas sus billeteras, y no da precios ni plazos. Tampoco es asesoramiento jurídico. Si amBrain está en tu lista corta, hazle las mismas preguntas que a cualquier otra empresa.