Lista de advertencia de la UE sobre proveedores cripto: 167 entradas, 165 de Italia y ninguna de la BaFin

Quien quiera comprobar si una plataforma cripto está siquiera autorizada en la Unión Europea acaba topando antes o después con un registro oficial pensado justo para eso. La autoridad europea de valores, la ESMA, mantiene desde febrero de 2025 un registro de entidades no conformes. Ahí deberían acabar, en toda Europa, los proveedores que prestan servicios de criptoactivos sin la autorización necesaria.

Descargamos el archivo del registro el 16 de agosto de 2026, lo contamos línea a línea y consultamos una por una todas las direcciones web recogidas en él. El resultado encaja mal con la ambición europea de este registro. De 167 entradas, 165 proceden de un solo Estado miembro. La BaFin alemana no ha aportado ni una, pese a que a lo largo del año advierte sin descanso sobre plataformas cripto. Y de 242 direcciones web recogidas, 153 ya no respondían el día del recuento.

Este análisis lo ha realizado cryptoticker.io el 16 de agosto de 2026.

El registro de la ESMA de proveedores no conformes: qué exige el artículo 110 de MiCA

La base jurídica está en el Reglamento (UE) 2023/1114, más conocido como MiCA. El artículo 110 se titula «Registro de entidades no conformes que prestan servicios de criptoactivos» y arranca con una frase que conviene retener: «La AEVM elaborará un registro no exhaustivo de las entidades que presten servicios de criptoactivos infringiendo los artículos 59 o 61».

El artículo 59 es la norma central de autorización. Quien ofrezca profesionalmente servicios de criptoactivos en la UE necesita una autorización como proveedor de servicios de criptoactivos, o debe pertenecer a uno de los pocos grupos que ya cuentan con una licencia bancaria o de valores. El artículo 61 regula el caso especial de un proveedor de un tercer país que se dirige por iniciativa propia a clientes de la UE.

El apartado 2 fija hasta qué punto puede ser escueta una entrada: debe contener al menos el nombre comercial o el sitio web de la entidad, además del nombre de la autoridad que ha transmitido la información. El reglamento no exige más. El apartado 3 dispone que el registro sea de acceso público en formato legible por máquina y se actualice con regularidad.

De ahí surge precisamente el reparto de tareas que marca este registro. La ESMA opera el repertorio, pero no lo llena. El suministro corre a cargo de las autoridades competentes de los Estados miembros. Que un país aporte algo lo decide ese país.

167 entradas y 162 nombres comerciales: el resultado del recuento del 16 de agosto de 2026

El archivo en el que se basa este análisis se llama NCASP.csv y está en el servidor de la ESMA. El archivo se modificó por última vez el 12 de agosto de 2026. El repertorio se vuelve a publicar cada semana, así que la versión analizada tenía cuatro días en el momento de la descarga.

El archivo contiene 167 entradas. Si se agrupan las variantes de escritura, detrás hay 162 nombres comerciales distintos; algunos nombres aparecen varias veces porque una autoridad ha adoptado varias resoluciones sobre la misma oferta. Ninguna entrada lleva un identificador con el que pudiera determinarse sin ambigüedad la persona jurídica que hay detrás: el campo del identificador de entidad jurídica está vacío en las 167 filas.

Se recogen 247 menciones de direcciones web, repartidas en 242 direcciones diferentes. 131 entradas se conforman con una sola dirección; la más extensa enumera 15. Entre las terminaciones domina el indicativo nacional italiano con 106 direcciones, seguido de 64 direcciones en .com. Después vienen 17 direcciones en .top, doce en .co y nueve en .net y otras nueve en .pro.

Las resoluciones en las que se basan las entradas van del 10 de febrero de 2025 al 22 de julio de 2026. A 2025 corresponden 102 resoluciones y a los siete primeros meses de 2026 otras 65. Dos meses llaman la atención en esta serie porque en ellos no hay ninguna resolución fechada: agosto de 2025 y febrero de 2026. La entrada tramitada en último lugar lleva el 31 de julio de 2026 como fecha de actualización.

CONSOB, AFM y Národná banka Slovenska: tres supervisores aportan y el resto no

El campo que designa a la autoridad competente es la parte más reveladora del archivo. 165 de las 167 entradas proceden del supervisor italiano de valores, la CONSOB. Una entrada la ha aportado el supervisor neerlandés AFM y otra el banco nacional de Eslovaquia. Con eso, exactamente tres autoridades de supervisión han llenado alguna vez el registro europeo común.

Para comparar: MiCA rige en los 27 Estados miembros de la UE y, por el Acuerdo del EEE, además en Islandia, Liechtenstein y Noruega. En cada uno de esos países hay al menos una autoridad competente. Así pues, 27 de 30 ámbitos de competencia están representados en el registro con cero entradas.

Un detalle técnico al margen que estorba en cualquier análisis de este archivo: el nombre de la autoridad italiana está recogido en dos grafías que solo se diferencian por un espacio adicional. Quien agrupe por nombre de autoridad llegará por eso a cuatro autoridades en lugar de tres. Nosotros hemos unificado ambas grafías.

El desequilibrio admite dos lecturas, y las dos siguen siendo conjeturas mientras ninguna autoridad explique su práctica. Cabe que en otros sitios sencillamente se detecten menos ofertas no autorizadas. Cabe igualmente que las detecciones se produzcan pero no se comuniquen a la ESMA, porque el artículo 110 no fija ni plazo ni procedimiento de transmisión. Cuál de las dos explicaciones se aplica no puede deducirse del archivo.

Por qué falta la BaFin en el registro de la UE aunque advierte sin parar sobre plataformas cripto

Para ti como inversor en Alemania, la segunda cifra es la más importante: cero. Ninguna entrada del registro europeo procede de la autoridad federal alemana de supervisión financiera.

Eso expresamente no significa que la BaFin esté inactiva. Publica comunicaciones al consumidor sobre proveedores que prestan servicios financieros y de criptoactivos sin autorización, y lo hace en 2026 con alta frecuencia. Nuestro análisis de las advertencias de la BaFin sobre series de plataformas cripto mostró lo amplio que es ese acervo nacional. Solo que nada de eso llega al repertorio europeo.

En la práctica significa esto: si buscas un proveedor dudoso en el registro de la ESMA y no lo encuentras allí, no has averiguado nada sobre el mercado alemán. La búsqueda en el registro europeo no sustituye a la consulta de los fondos de la BaFin. En el mejor de los casos la complementa con casos procedentes de Italia.

«Registro no exhaustivo»: por qué una entrada ausente no es un sello de calidad

Esas dos palabras del artículo 110, apartado 1, son el núcleo jurídico de todo el asunto. El legislador concibió el registro expresamente como «no exhaustivo». No pretende, por tanto, recoger a todos los proveedores no autorizados.

Esa formulación no es un descuido ni una debilidad de la aplicación, sino una decisión consciente en el texto del reglamento. Para la práctica tiene una consecuencia incómoda: una entrada en el registro es una señal de alarma sólida, mientras que su ausencia no es señal alguna. De «no figura ahí» no se sigue ni que un proveedor esté autorizado ni que alguna autoridad lo haya examinado.

Quien busque una afirmación sobre la autorización de un proveedor tiene que recorrer el camino inverso y consultar una lista positiva. Qué proveedores tienen realmente una autorización en la UE consta en otro repertorio, y la cuestión de en qué más deberías fijarte en una plataforma regulada la tratamos en el repaso de los mejores exchanges cripto regulados.

Campo de motivación vacío: 166 de 167 entradas no indican ningún motivo

El archivo del registro parece a primera vista generoso en información y tiene doce columnas, entre ellas una para el tipo de infracción y otra para su motivación. Al contarlo se ve que esas dos columnas quedan casi siempre sin contenido.

En la columna sobre el tipo de infracción, las 167 filas llevan el mismo valor, a saber, «No». Qué debe significar ese valor en su contexto no se desprende del archivo; no lo acompaña ninguna leyenda. En la columna de motivación, 166 filas llevan el marcador «None». Exactamente una entrada contiene una frase redactada, y es la de la AFM neerlandesa, que allí señala una infracción del artículo 59 de MiCA.

Aquí no citamos deliberadamente ninguna empresa. Lo que consta en un registro oficial es una constatación de la autoridad supervisora correspondiente; el punto de vista de la empresa afectada no está recogido ahí, y nosotros no podemos recabarlo. Quien quiera ver el nombre lo encontrará en el propio registro, accesible desde la página de MiCA de la ESMA.

Para la utilidad del registro esto tiene consecuencias. Por regla general, de una entrada no puede deducirse en qué consistió la infracción, si continúa o si el proveedor ha reaccionado entretanto. También falta un historial: si las entradas se retiran, y cuándo, no se aprecia en el archivo.

242 direcciones web consultadas: 153 ya no responden en absoluto

Como la dirección web es, junto al nombre comercial, el único rasgo identificativo sólido, consultamos una por una las 242 direcciones distintas el 16 de agosto de 2026. Medimos únicamente si un servidor responde y con qué código de estado, con un límite de diez segundos por dirección.

47 direcciones dieron una respuesta regular con el código de estado 200, es decir, el 19,4 %. 153 direcciones no respondieron nada dentro del límite. Los casos restantes se reparten en 27 errores de servidor, 19 de ellos con el código 502, y 13 rechazos, doce de ellos con el código 403. Dos direcciones se quedaron atrapadas en una redirección.

Esta medición dice algo sobre el estado del registro y poco sobre proveedores concretos. Alrededor de dos tercios de las direcciones registradas oficialmente no llevan a ninguna parte. Para un repertorio cuya finalidad práctica es que un consumidor reencuentre allí una dirección sospechosa, es una proporción alta de fichas muertas.

Comprobamos la medición, porque una falta de respuesta también puede deberse a la propia conexión. Cuatro direcciones conocidas y con seguridad accesibles respondieron con el código 200 en la misma tanda y con la misma orden. Cinco direcciones tomadas al azar del grupo sin respuesta siguieron mudas también en un segundo intento, esta vez con identificador de navegador y almacén de cookies.

La lista positiva es la mejor prueba: 329 proveedores autorizados en el registro CASP

Junto a la lista de advertencia, la ESMA publica un segundo repertorio, y ese sí responde a la pregunta que probablemente te importa: ¿quién tiene autorización? También contamos ese archivo el 16 de agosto de 2026 y encontramos en él 329 proveedores de servicios de criptoactivos autorizados de 26 Estados de establecimiento.

Alemania forma allí el grupo más numeroso: 73 entradas mencionan a la República Federal como Estado de establecimiento, seguida de Francia con 35 y los Países Bajos con 29. Para saber quién puede atenderte como cliente en Alemania cuenta otra cifra, porque una autorización puede usarse en toda Europa: 168 de las 329 entradas mencionan a Alemania como país en el que se presta el servicio.

Cómo se desglosa ese repertorio por tipos de servicio y por qué el número de plataformas de negociación puras resulta bastante menor lo expusimos en el análisis del registro MiCA del 6 de agosto. Las cifras de allí se refieren a un tipo de servicio determinado y no son directamente comparables con las 329 entradas totales.

Base de datos de la BaFin, registro de la ESMA y avisos: así compruebas a tu proveedor

De estos hallazgos se deriva un orden que puede recorrerse en pocos minutos y que empieza por la fuente más elocuente.

Primero la lista positiva, después las listas de advertencia

Empieza por la base de datos de empresas de la BaFin. Es accesible a través del portal MVP de la autoridad y responde, para el mercado alemán, a la pregunta de si una empresa tiene autorización. Comprueba allí la razón social completa, no la marca con la que se presenta una plataforma. Ambas divergen con frecuencia.

Después toma el registro CASP de la ESMA. Muestra además proveedores que han obtenido su autorización en otro Estado miembro y que pueden operar también en Alemania mediante el pasaporte europeo. Solo como tercer paso merece la pena mirar las listas de advertencia: las comunicaciones al consumidor de la BaFin para Alemania y el registro de entidades no conformes para el resto de la UE.

Un proveedor al que no encuentres en ninguna de las dos listas positivas es el verdadero caso de alarma. Ese hallazgo pesa más que cualquier ausencia de una lista de advertencia, porque la autorización tiene que registrarse y su falta resulta por eso elocuente.

Los límites de este análisis: a qué no responde el registro

Cuatro puntos quedan abiertos, y conviene leerlos junto con el resto.

Primero, que una dirección web no responda no dice que la oferta que hay detrás haya terminado. La medición se hizo desde un único lugar y en un único momento. Un bloqueo para determinados países de origen, un traslado a una dirección nueva o una avería breve tienen el mismo aspecto en esta medición.

Segundo, del registro no puede determinarse qué persona jurídica hay detrás de un nombre comercial, porque el campo del identificador está vacío de principio a fin. Si dos entradas de nombre parecido afectan a la misma empresa queda, por tanto, abierto.

Tercero, no hemos pedido una toma de posición sobre su práctica de comunicación ni a las tres autoridades que aportan entradas ni a la BaFin. Por qué el registro está llenado de forma tan desigual queda, así pues, sin respuesta. El texto no formula ninguna afirmación al respecto.

Cuarto, la versión analizada es una instantánea del 12 de agosto de 2026. El repertorio crece cada semana; quien lo consulte más tarde verá otras cifras. El método se mantiene y puede rehacerse en cualquier momento con el archivo del registro.

Leer bien la lista de advertencia de la UE: qué te llevas de aquí

1. Trata el registro de la ESMA como un complemento, no como una instancia de comprobación. Según el artículo 110 de MiCA es expresamente no exhaustivo, y para Alemania contiene cero entradas. Quien busque una plataforma con la autorización documentada irá mejor con una lista positiva y encontrará un punto de partida ordenado en el repaso de los mejores exchanges cripto regulados.
2. Comprueba la razón social, no la marca. El registro recoge nombres comerciales y direcciones web, pero ningún identificador de empresa. Introduce en la base de datos de la BaFin el nombre completo del operador, que encontrarás en el aviso legal, y contrástalo después con las condiciones de la comparativa de los mejores exchanges de criptomonedas.
3. Mantén tus tenencias al margen de la cuestión de la plataforma. Que un proveedor esté autorizado no decide si tus monedas tienen que estar con él. Quien quiera custodiar por sí mismo tenencias mayores encontrará los dispositivos adecuados en la comparativa de carteras hardware.

(16 de agosto de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)