Contratos, custodia, liquidación y riesgos de stablecoins

Contrato OTC de stablecoins: arquitectura mínima

Patrón observado. El contrato debe narrar el mismo flujo que operaciones: mandato, cotización, fondos, wallets, entrega y evidencia.

Después se define proceso de orden y cotización, activo y red, precio/spread/fees, aceptación, fondeo, wallet y cuenta autorizadas, confirmaciones, momento de liquidación, propiedad, custodia, errores y devoluciones. Las obligaciones PLD no deben quedar en un párrafo genérico: deben permitir pedir información, suspender y rechazar.

Riesgos que requieren asignación

Volatilidad y depeg, emisor, congelamiento, red, forks, congestión, contraparte, insolvencia, fraude y ciberseguridad. El contrato no elimina estos riesgos, pero define quién decide, quién notifica y qué remedio existe. Un disclaimer no sustituye controles operativos.

También se cubren protección de datos, confidencialidad, propiedad intelectual, registros, auditoría, subcontratación, impuestos, ley, jurisdicción y terminación. Los anexos deben listar activos/redes y parámetros cambiantes sin volver inoperable el contrato.

Base legal

LFPIORPI vigente, LRITF y LFPDPPP.

Cómo llevarlo a operación

Mapa contrato-flujo OTC. Esta pieza debe probar que cada obligación contractual tiene un paso operativo, dueño y evidencia asociados.

• definir capacidad de las partes.
• describir instrucciones.
• mapear fondos y activos.
• incorporar whitelisting.
• asignar KYC y avisos.
• regular liquidación e incidentes.

La revisión debe avanzar desde definir capacidad de las partes, contrastarlo con mapear fondos y activos y terminar en regular liquidación e incidentes sin completar vacíos con supuestos. El resultado vuelve a diseño si describir instrucciones no coincide con incorporar whitelisting o si asignar KYC y avisos carece de soporte verificable.

El expediente debe mostrar primero definir capacidad de las partes; después describir instrucciones; y finalmente asignar KYC y avisos, conservando la relación entre los tres pasos. Si aparece cambio de mandato, cuenta, wallet, proveedor, comisión o liquidación, la conclusión deja de cubrir la versión activa y se revisa antes de la siguiente operación.

Propiedad y título sobre activos virtuales: qué promete el contrato

Patrón observado. La promesa contractual debe precisar cuándo se transmite el título y qué derecho conserva el cliente antes de la liquidación.

En una compraventa, se define momento de transmisión, activo, red y cantidad. En una comisión, se aclara si la empresa adquiere por cuenta del cliente, cómo identifica los activos y qué ocurre mientras están en tránsito. En custodia, se distingue titularidad del cliente de facultades operativas del custodio y se prohíbe usar o gravar sin autorización.

El derecho frente al emisor

Un token estable puede otorgar redención sólo a usuarios elegibles o a través de intermediarios. La empresa no debe prometer un derecho que no tiene ni transferir al cliente una garantía inexistente. Los términos deben indicar que el emisor, red y reservas son riesgos de terceros, sin negar responsabilidades propias.

La evidencia de propiedad combina contrato, orden, ledger, direcciones y conciliación. En wallets omnibus, el subledger es crítico; si falla, la blockchain no asigna unidades a cada cliente.

Base legal

LRITF vigente, LFPIORPI y Circular 4/2019.

Cómo llevarlo a operación

Tabla de título y derechos. Esta pieza debe probar que el contrato precisa quién es titular antes, durante y después de cada paso.

• identificar propietario inicial.
• definir mandato o comisión.
• establecer momento de transmisión.
• separar derecho de redención.
• regular activos en tránsito.
• documentar efectos de incumplimiento.

La revisión debe avanzar desde identificar propietario inicial, contrastarlo con establecer momento de transmisión y terminar en documentar efectos de incumplimiento sin completar vacíos con supuestos. El resultado vuelve a diseño si definir mandato o comisión no coincide con separar derecho de redención o si regular activos en tránsito carece de soporte verificable.

El expediente debe mostrar primero identificar propietario inicial; después definir mandato o comisión; y finalmente regular activos en tránsito, conservando la relación entre los tres pasos. Si aparece cambio en prefunding, custodia, entrega, reserva o redención, la conclusión deja de cubrir la versión activa y se revisa antes de la siguiente operación.

Custodia, control de claves y subcustodia

Patrón observado. Custodia se analiza por capacidad efectiva de ejecutar operaciones, incluidos esquemas multifirma y subcustodia.

El proveedor debe describir estándar de cuidado, segregación, personas autorizadas, límites, recuperación, continuidad, incidentes y subcontratistas. También debe aclarar si los activos se mantienen en direcciones separadas o omnibus y cómo funciona el subledger.

Datos y seguridad

Las direcciones y transacciones pueden enlazarse con identidad, por lo que el tratamiento de información requiere finalidad, minimización, controles y aviso de privacidad. Semillas y claves privadas no forman parte de KYC y nunca deben solicitarse al cliente.

La subcustodia no borra responsabilidad contractual. Se requieren due diligence, localización, auditoría, notificación de incidentes, límites de uso y plan de sustitución. Cualquier facultad de staking, préstamo o rehypothecation necesita consentimiento expreso y análisis separado.

Qué revisar

Anexar un diagrama de control de claves, matriz de firmas, inventario de wallets y reconciliación. Probar recuperación y salida. Revisar periódicamente accesos y asegurar que bajas de personal se reflejen de inmediato.

Base legal

LFPIORPI, LFPDPPP vigente y GAFI VA/VASP 2025.

Cómo llevarlo a operación

Matriz de control de claves. Esta pieza debe probar que la capacidad de mover activos está asignada y auditada en todos los escenarios.

• inventariar claves y autorizaciones.
• documentar esquema multifirma.
• segregar accesos.
• regular subcustodia.
• probar recuperación y continuidad.
• registrar eventos y revisiones.

La revisión debe avanzar desde inventariar claves y autorizaciones, contrastarlo con segregar accesos y terminar en registrar eventos y revisiones sin completar vacíos con supuestos. El resultado vuelve a diseño si documentar esquema multifirma no coincide con regular subcustodia o si probar recuperación y continuidad carece de soporte verificable.

El expediente debe mostrar primero inventariar claves y autorizaciones; después documentar esquema multifirma; y finalmente probar recuperación y continuidad, conservando la relación entre los tres pasos. Si aparece nueva firma, custodio, subcustodio, política de recuperación o acceso, la conclusión deja de cubrir la versión activa y se revisa antes de la siguiente operación.

Cotización, precio, spread y ventana de aceptación

Patrón observado. La cotización necesita fuente, hora, vigencia, activo, red, comisiones y regla para movimientos fuera de ventana.

El contrato define si la cotización es indicativa o vinculante y en qué momento se acepta. También qué ocurre si fondos llegan después, por cantidad distinta o si la red se congestiona. La empresa no debe cambiar retroactivamente el precio sin una regla acordada y evidencia.

Transparencia y contabilidad

Un spread incorporado y una comisión explícita pueden tener documentación fiscal y comercial distinta. El recibo debe permitir al cliente reconstruir el neto. La fuente de precio puede ser externa o bilateral, pero debe estar identificada y conservarse.

Los operadores no deben tener facultad ilimitada para corregir órdenes. Las cancelaciones, requotes y tolerancias requieren permisos y logs. En mercados rápidos, una ventana corta es válida si se comunica con claridad.

Qué revisar

Generar un ticket inmutable con identificador, timestamp, versión y aceptación autenticada. Conciliar ticket con banco, hash, factura y ledger. Monitorear outliers de precio y modificaciones manuales.

Base legal

CFF vigente, Ley del IVA y LRITF.

Cómo llevarlo a operación

Ticket de cotización reproducible. Esta pieza debe probar que un tercero puede recalcular la cotización y explicar cualquier diferencia.

• registrar activo, red y cantidad.
• identificar fuente y hora.
• mostrar precio base.
• separar spread y comisiones.
• definir vigencia.
• conservar aceptación o expiración.

La revisión debe avanzar desde registrar activo, red y cantidad, contrastarlo con mostrar precio base y terminar en conservar aceptación o expiración sin completar vacíos con supuestos. El resultado vuelve a diseño si identificar fuente y hora no coincide con separar spread y comisiones o si definir vigencia carece de soporte verificable.

El expediente debe mostrar primero registrar activo, red y cantidad; después identificar fuente y hora; y finalmente definir vigencia, conservando la relación entre los tres pasos. Si aparece cambio de fuente, spread, fee, red, ventana o mercado, la conclusión deja de cubrir la versión activa y se revisa antes de la siguiente operación.

DvP, prefunding y firmeza de liquidación

Patrón observado. Prefunding y DvP deben asignar riesgo temporal y definir el punto exacto de firmeza o devolución.

Prefunding reduce riesgo de crédito, pero crea riesgo de custodia y devolución. Un esquema secuencial requiere confirmaciones y tiempos. Un escrow añade contraparte y debe analizarse. Llamar “DvP” al proceso no lo vuelve simultáneo: conviene describir exactamente los pasos.

Momento de firmeza

Se define cuándo un abono bancario se considera disponible, cuántas confirmaciones se requieren, qué ocurre ante reorganización de cadena y cuándo la obligación queda cumplida. También se manejan parciales, fees de red, red equivocada y cierres operativos.

La conciliación identifica operaciones abiertas y antigüedad. Si se permite neteo con contrapartes, las obligaciones individuales conservan rastro y el contrato cubre insolvencia.

Qué revisar

Límites por contraparte, exposición intradía, doble liberación, cut-offs y playbook de fallas. Simular caída de banco, nodo, custodio y proveedor de liquidez. El cliente recibe estado claro sin promesas de instantaneidad absoluta.

Base legal

LFPIORPI, Banxico: SPEI y activos virtuales y GAFI VA/VASP 2025.

Cómo llevarlo a operación

Matriz de estados de liquidación. Esta pieza debe probar que cada estado define propiedad, riesgo, reversión y evidencia hasta la firmeza.

• identificar activo prefundeado.
• definir condición de ejecución.
• establecer confirmaciones de red.
• documentar entrega contra pago.
• regular fallas parciales.
• conciliar o devolver saldos.

La revisión debe avanzar desde identificar activo prefundeado, contrastarlo con establecer confirmaciones de red y terminar en conciliar o devolver saldos sin completar vacíos con supuestos. El resultado vuelve a diseño si definir condición de ejecución no coincide con documentar entrega contra pago o si regular fallas parciales carece de soporte verificable.

El expediente debe mostrar primero identificar activo prefundeado; después definir condición de ejecución; y finalmente regular fallas parciales, conservando la relación entre los tres pasos. Si aparece cambio de secuencia, prefunding, confirmaciones, neteo o cuenta, la conclusión deja de cubrir la versión activa y se revisa antes de la siguiente operación.

Wallet errónea, irreversibilidad y protocolo de incidentes

Patrón observado. El protocolo previo de verificación es más útil que una renuncia genérica cuando la transferencia puede ser irreversible.

Antes de enviar se valida activo, red, dirección en whitelist, memo/tag cuando aplique, cantidad y aprobaciones. Para un alta o monto sensible puede usarse prueba pequeña. La interfaz debe evitar copiar direcciones truncadas sin verificación completa.

Cuando ocurre el incidente

Se detienen movimientos relacionados, preservan logs, identifican causa, notifican equipos y evalúan obligaciones contractuales, regulatorias y de datos. No se promete recuperación. Si interviene exchange o custodio, se activa el canal previamente verificado y se evita enviar información sensible a contactos improvisados.

La asignación de responsabilidad considera quién proporcionó la dirección, si se modificó, qué validaciones se omitieron y si la red era soportada. Una cláusula que impone todo riesgo al cliente puede no reflejar un error propio del operador.

Qué revisar

Runbook con severidades, contactos, evidencia, comunicación y aprobación de cualquier reenvío o devolución. Post-mortem sin culpa, plan correctivo y prueba. Los datos del incidente se conservan con acceso limitado.

Base legal

LFPDPPP, LFPIORPI y GAFI VA/VASP 2025.

Cómo llevarlo a operación

Protocolo de dirección y red. Esta pieza debe probar que la verificación previa y la respuesta al incidente están probadas y no descansan en un disclaimer.

• validar formato y red.
• confirmar titularidad o control.
• usar prueba cuando proceda.
• aplicar doble aprobación.
• detener ante inconsistencia.
• preservar evidencia y notificar incidente.

La revisión debe avanzar desde validar formato y red, contrastarlo con usar prueba cuando proceda y terminar en preservar evidencia y notificar incidente sin completar vacíos con supuestos. El resultado vuelve a diseño si confirmar titularidad o control no coincide con aplicar doble aprobación o si detener ante inconsistencia carece de soporte verificable.

El expediente debe mostrar primero validar formato y red; después confirmar titularidad o control; y finalmente detener ante inconsistencia, conservando la relación entre los tres pasos. Si aparece dirección nueva, red incompatible, memo faltante o instrucción ambigua, la conclusión deja de cubrir la versión activa y se revisa antes de la siguiente operación.

Depeg, congelamiento y redención: asignar el riesgo del emisor

Patrón observado. El contrato debe separar riesgo de mercado, facultades del emisor, restricciones de redención y evento de insolvencia.

El contrato debe evitar garantizar paridad o redención si la empresa no es obligada. Debe identificar que existen riesgos de emisor, reservas, mercado, red y medidas de cumplimiento. Si ofrece una cotización propia, distinguir esa obligación bilateral de la promesa del token.

Eventos y decisiones

La política define umbrales internos de suspensión, fuentes de precio, deterioro de liquidez, cambios en reservas, incidentes del emisor y congelamientos. Las acciones pueden ser pausar compras, limitar retiros sólo cuando exista base contractual y legal, cambiar haircut, o retirar el activo de forma ordenada.

La comunicación debe ser oportuna y exacta, sin afirmar protección bancaria inexistente. Los activos alternativos y la conversión requieren consentimiento y precio claro.

Qué revisar

Comité de activos con fichas, monitoreo, límites y plan de salida. Conservar términos del emisor revisados y evidencia de cada decisión. Probar insolvencia o indisponibilidad del proveedor, no sólo movimientos de mercado.

Base legal

LRITF, Circular 4/2019 y GAFI VA/VASP 2025.

Cómo llevarlo a operación

Matriz de riesgo del emisor. Esta pieza debe probar que mercado, emisor, redención y custodia tienen consecuencias y responsables distintos.

• monitorear precio y liquidez.
• revisar términos del emisor.
• documentar reservas disponibles.
• identificar facultades de congelamiento.
• definir umbrales de escalamiento.
• regular salida y comunicaciones.

La revisión debe avanzar desde monitorear precio y liquidez, contrastarlo con documentar reservas disponibles y terminar en regular salida y comunicaciones sin completar vacíos con supuestos. El resultado vuelve a diseño si revisar términos del emisor no coincide con identificar facultades de congelamiento o si definir umbrales de escalamiento carece de soporte verificable.

El expediente debe mostrar primero monitorear precio y liquidez; después revisar términos del emisor; y finalmente definir umbrales de escalamiento, conservando la relación entre los tres pasos. Si aparece cambio de reservas, términos, elegibilidad, sanción, depeg o suspensión, la conclusión deja de cubrir la versión activa y se revisa antes de la siguiente operación.

Contrato transfronterizo: ley, jurisdicción y datos

Patrón observado. Ley y jurisdicción no resuelven por sí solas transferencias de datos, notificaciones ni ejecución en terceros países.

El documento identifica las entidades prestadoras, corredor, monedas, token, custodia y subcontratistas. Define notificaciones, evidencia electrónica, idioma prevaleciente, fuerza mayor tecnológica, sanciones, cooperación y ejecución de resoluciones.

Transferencias de datos

KYC y Travel Rule pueden llevar información a VASPs o proveedores extranjeros. El aviso de privacidad y los contratos deben cubrir finalidad, categorías, receptores, seguridad, retención, incidentes y derechos. No se coloca información personal directamente en una blockchain pública si puede evitarse.

La localización de soporte y hosting se documenta. Si una autoridad solicita datos, existe un protocolo que valida competencia y alcance. La confidencialidad no debe impedir reportes obligatorios.

Qué revisar

Anexo por corredor con roles, ley, licencias, datos, SLA y salida. Due diligence y acuerdos de tratamiento con proveedores. Revisión cuando cambia país, subencargado o protocolo de intercambio de datos.

Base legal

LFPDPPP vigente, LFPIORPI y GAFI: Recomendación 16 revisada.

Cómo llevarlo a operación

Anexo de jurisdicción y datos. Esta pieza debe probar que contrato, aviso y operación identifican qué datos viajan, para qué y bajo qué protección.

• mapear categorías de datos.
• identificar responsable y encargado.
• documentar finalidades.
• revisar transferencias.
• establecer seguridad y notificación.
• definir ley, foro y ejecución.

La revisión debe avanzar desde mapear categorías de datos, contrastarlo con documentar finalidades y terminar en definir ley, foro y ejecución sin completar vacíos con supuestos. El resultado vuelve a diseño si identificar responsable y encargado no coincide con revisar transferencias o si establecer seguridad y notificación carece de soporte verificable.

El expediente debe mostrar primero mapear categorías de datos; después identificar responsable y encargado; y finalmente establecer seguridad y notificación, conservando la relación entre los tres pasos. Si aparece nuevo país, subencargado, categoría de datos o mecanismo de transferencia, la conclusión deja de cubrir la versión activa y se revisa antes de la siguiente operación.

Proveedores y outsourcing: la responsabilidad no desaparece

Patrón observado. La tercerización exige derechos de auditoría, seguridad, continuidad, subcontratación y salida; la responsabilidad residual permanece.

La due diligence revisa entidad, jurisdicción, capacidad, seguridad, continuidad, subcontratación, datos, cumplimiento y solvencia. Los SLA cubren disponibilidad y también calidad: falsos negativos, tiempos de alertas, integridad de logs y soporte de investigaciones.

Derechos indispensables

Auditoría o aseguramiento equivalente, notificación de incidentes y cambios, cooperación regulatoria, portabilidad de datos, límites de uso, confidencialidad, indemnidad y terminación. La empresa necesita acceder a la evidencia aun cuando termine la relación.

Si el proveedor usa subencargados, debe informar y mantener obligaciones equivalentes. La localización y transferencia de datos se reflejan en avisos. Las funciones que legalmente no puedan delegarse permanecen bajo gobierno del sujeto obligado.

Qué revisar

Inventario de terceros por criticidad, dueño, revisión anual, métricas y plan de salida probado. Evitar dependencia de formatos propietarios sin exportación. Los cambios de modelo del proveedor detonan revisión de perímetro.

Base legal

LGOAAC, CNBV: marco legal de transmisores, LFPIORPI y LFPDPPP.

Cómo llevarlo a operación

Ficha de tercerización crítica. Esta pieza debe probar que la entidad conserva supervisión, continuidad y salida aunque delegue la ejecución.

• completar due diligence.
• definir niveles de servicio.
• reservar auditoría y acceso.
• regular seguridad e incidentes.
• controlar subcontratación.
• probar continuidad y reversibilidad.

La revisión debe avanzar desde completar due diligence, contrastarlo con reservar auditoría y acceso y terminar en probar continuidad y reversibilidad sin completar vacíos con supuestos. El resultado vuelve a diseño si definir niveles de servicio no coincide con regular seguridad e incidentes o si controlar subcontratación carece de soporte verificable.

El expediente debe mostrar primero completar due diligence; después definir niveles de servicio; y finalmente controlar subcontratación, conservando la relación entre los tres pasos. Si aparece nuevo proveedor, subcontratista, servicio, incidente o cambio de control, la conclusión deja de cubrir la versión activa y se revisa antes de la siguiente operación.

Terminación, insolvencia y devolución de activos

Patrón observado. Un plan de salida probado identifica saldos, claves, datos, posiciones pendientes, devoluciones y cooperación en insolvencia.

La devolución depende de saber qué pertenece a cada cliente. En wallets o cuentas omnibus se requiere subledger y conciliación. Debe definirse destino autorizado, conversión si el activo no puede transferirse, fees, plazos y tratamiento de cantidades residuales. Ninguna devolución debe romper controles de identidad o listas.

Continuidad y evidencia

La empresa conserva contratos, órdenes, KYC, reportes, banco, hashes y comunicaciones durante los plazos aplicables. La terminación del proveedor no puede destruir el expediente. Los respaldos deben ser accesibles y protegidos.

En insolvencia importan segregación, prohibición de uso, estructura de custodia y derechos frente a subcustodios. Una declaración comercial de “fondos seguros” no sustituye análisis jurídico y operacional.

Qué revisar

Plan de wind-down aprobado, inventario diario de activos y obligaciones, pruebas de devolución y proveedores alternos. Definir quién puede pausar, comunicar y liberar. Simular insolvencia del emisor, custodio y operador por separado.

Base legal

LFPIORPI, LRITF, LFPDPPP y GAFI VA/VASP 2025.

Cómo llevarlo a operación

Simulacro de restitución y migración. Esta pieza debe probar que saldos, claves, datos y operaciones pendientes pueden devolverse o migrarse con evidencia.

• inventariar activos y recursos.
• identificar operaciones pendientes.
• definir devolución y destino.
• asegurar acceso a datos.
• coordinar revocación de claves.
• probar migración y comunicación.

La revisión debe avanzar desde inventariar activos y recursos, contrastarlo con definir devolución y destino y terminar en probar migración y comunicación sin completar vacíos con supuestos. El resultado vuelve a diseño si identificar operaciones pendientes no coincide con asegurar acceso a datos o si coordinar revocación de claves carece de soporte verificable.

El expediente debe mostrar primero inventariar activos y recursos; después identificar operaciones pendientes; y finalmente coordinar revocación de claves, conservando la relación entre los tres pasos. Si aparece deterioro financiero, incumplimiento, terminación, bloqueo o pérdida de acceso, la conclusión deja de cubrir la versión activa y se revisa antes de la siguiente operación.