Custodiar criptoactivos es gestionar las claves que permiten moverlos: quien controla la clave controla el activo. Por eso la custodia por cuenta de terceros es un servicio regulado en la UE —bajo MiCA exige autorización CASP— y por eso la primera decisión de cualquier empresa que toca criptoactivos es dónde y cómo viven sus claves.
Autocustodia o custodia delegada
En la autocustodia, el titular guarda sus propias claves: control total, responsabilidad total, sin recurso si se pierden. En la custodia delegada, un tercero profesional las gestiona con obligaciones legales frente al cliente. Entre ambas hay un matiz que se olvida a menudo: delegar la interfaz no elimina la custodia, la traslada — si tu producto guarda las claves de tus clientes, el custodio eres tú, con todo lo que implica.
Qué exige MiCA a un custodio
La custodia y administración de criptoactivos por cuenta de clientes es uno de los diez servicios tipificados por MiCA, de modo que el custodio profesional necesita autorización CASP. Las obligaciones centrales: segregación de los criptoactivos de clientes respecto del patrimonio propio, un registro de posiciones por cliente, una política de custodia escrita y responsabilidad frente al cliente por la pérdida de criptoactivos o de los medios de acceso cuando el incidente le sea imputable. El registro nacional anterior del Banco de España ya no habilita: sin autorización o notificación, no hay servicio.
Frío, caliente, multifirma y MPC
La tecnología reparte el riesgo. Las carteras frías mantienen las claves sin conexión (máxima seguridad, menor agilidad); las calientes están conectadas para operar a diario. Los custodios serios combinan ambas con multifirma (varias claves para autorizar un movimiento) o MPC (la clave nunca existe entera en un solo lugar), límites por operación y separación de funciones. Ninguna tecnología sustituye a la operativa: la mayoría de las pérdidas vienen de procesos, no de criptografía.
La custodia en tokenización regulada es otra cosa
Si el token es un valor negociable (un security token), no estamos en MiCA: la custodia corresponde a entidades habilitadas para custodiar instrumentos financieros —entidades de crédito, sociedades y agencias de valores— y la titularidad la fija el registro que administra la ERIR. Es el terreno de nuestro servicio de security tokens: la wallet es solo la ventana; la fuente de verdad es el registro.
Cómo elegir custodio: la lista corta
Autorización verificable (CASP o entidad financiera habilitada, en el registro del supervisor); segregación real y auditada, no prometida; tecnología documentada (frío/caliente, multifirma o MPC, gestión de claves); póliza o capital que responda; plan de contingencia y de sucesión de claves; y transparencia sobre subcustodios. Si el proveedor no puede enseñar estas seis cosas por escrito, la respuesta es no.
Qué hacemos nosotros
Diseñamos e integramos la capa de custodia de plataformas de tokenización de activos y productos de activos digitales: arquitectura de claves, segregación, límites y recuperación, trabajando con custodios regulados cuando el caso lo exige. Si estás decidiendo cómo custodiar los activos de tu producto, agenda una llamada.