El peligro real es aplicar KYC

Con la posibilidad de reversión (de transacciones), la necesidad de confianza se extiende. Los comerciantes deben ser cautelosos de sus clientes, molestándolos por más información de la que de otra manera necesitarían. Un cierto porcentaje de fraude es aceptado como inevitable. (…) Lo que se necesita es un sistema de pago electrónico basado en pruebas criptográficas en lugar de confianza, que permita a dos partes interesadas cualesquiera transar directamente entre ellas sin la necesidad de un tercero de confianza. 

Satoshi Nakamoto – Libro Blanco de Bitcoin  

Las políticas de Conoce a tu Cliente (KYC) buscan mitigar el crimen, pero lo que hacen es exacerbarlo. Tal vez fueron útiles en otra época, cuando no existía Internet, hackers, inteligencias artificiales y Bitcoin, pero hoy son una regulación obsoleta y peligrosa.  

Las políticas de KYC comenzaron a tomar forma en los Estados Unidos con la aprobación del Bank Secrecy Act (BSA) en 1970. En aquel entonces, se introdujo el mantenimiento de registros por cinco años y reportes de transacciones superiores a USD10.000 en bancos para combatir el lavado de dinero, con un KYC incipiente: identificación básica de clientes como nombre y dirección, sin estándares formales. 

En 1989, se creó el Grupo de Acción Financiera Internacional (GAFI o FATF), un organismo intergubernamental que estableció estándares globales para combatir el lavado de dinero. Así, las políticas de KYC se formalizaron como un estándar para que los bancos y otras instituciones financieras verificaran la identidad de sus clientes, entendieran la naturaleza de sus actividades y evaluaran riesgos. 

Los ataques terroristas del 11 de septiembre de 2001 en EE. UU. impulsaron un endurecimiento de las regulaciones financieras a nivel global. Esto marcó una expansión de KYC más allá del lavado de dinero, incluyendo la prevención del financiamiento del terrorismo. 

Con los años, los requisitos de KYC y políticas antilavado de dinero se han ido profundizando, solicitando más información; reduciendo los umbrales de dinero (de más de USD 10.000 a apenas más de USD 1.000 para transacciones con criptomonedas según la Regla de Viaje, y eso tras 50 años de inflación); expandiéndose a negocios no financieros como abogados y contadores. En fin, con cada año que pasa, la vigilancia se hace mayor. Su propósito se ha desvirtuado, y ahora cualquier negocio debe volverse un agente del Estado. 

Aparte, estas políticas nacieron en un momento en que el acceso remoto a los datos de los clientes era prácticamente imposible. Con la digitalización, cada institución que cumple con políticas de KYC se convierte en un pote de miel ( honeypot ) demasiado dulce como para que los hackers lo ignoren. Desde 2005 hasta 2024, el número de violaciones de datos en Estados Unidos creció en 1941% con más 1.350 millones de personas afectadas. 

El ritmo de violaciones de datos crece a un ritmo exponencial. Fuente: Statista . 

Las políticas de KYC buscan disuadir y desincentivar cierto tipo de acciones, consideradas criminales, al entorpecer que el dinero procedente de esas acciones pueda ser utilizado. No importa que ese dinero sea usado para comprar vegetales en el mercado local, lo que importa es que la persona considerada criminal sea execrada del sistema financiero para disuadirlo de cometer más crímenes, así estas políticas no hayan evitado el o los crímenes que ya cometió.  

Al estilo de la prohibición del alcohol en los Estados Unidos en los años 20, o como cualquier política de control de precios, buscando un pretendido bien, estas políticas terminan incentivando el mal. 

Monitorear las actividades financieras de los clientes de las instituciones financieras, además de ser una violación al derecho humano de la privacidad, asume de antemano que todos los clientes son potenciales narcotraficantes o terroristas, por lo cual deben ser vigilados.  

Que cada empresa que preste servicios financieros tenga que cumplir con políticas de KYC, no solo impone costos elevadísimos para las empresas, generando oligopolios por lo altos que resultan los costos monetarios para el cumplimiento (en 2023, empresas de Estados Unidos invirtieron USD 61 mil millones en cumplimiento). Sino que genera una multiplicidad de puntos de ataque que, en vez de reducir el crimen, lo hacen proliferar. Para cumplir con el Estado, deben poner en riesgo a sus clientes. 

Toda base de datos se puede hackear. Si revisas tu correo en el servicio Have I Been Pwned? probablemente encuentres algún filtraje en el que se expusieron tus datos. Si repites contraseñas en diversas plataformas, quizás debas preocuparte. Pero en el caso de plataformas financieras, y específicamente de criptomonedas, el riesgo es mayor. 

A diferencia de una red social, en un exchange como Coinbase o una empresa de hardware wallets como Ledger , si en el filtraje no se revela cuántas criptomonedas tienes, al menos se sabría que tienes suficientes para comprar un dispositivo especializado para su custodia. Esto, además de tu dirección física. 

A partir del filtraje de casi 300.000 direcciones físicas de usuarios de Ledger, muchos comenzaron a recibir amenazas para ser extorsionados. Con el hackeo a Coinbase, presuntamente, muchos usuarios están siendo contactados para ser estafados. Según ha sido registrado por el desarrollador Jameson Lopp, la cantidad de ataques físicos a usuarios de criptomonedas ha ido en continuo crecimiento. Y el hecho de que su lugar de residencia pueda ser adquirido en Internet aumenta su vulnerabilidad y peligro. 

¿Para qué necesita una plataforma de criptomonedas saber dónde vive cada uno de sus usuarios? Si hay algún problema legal con alguno, esa información ya la disponen las autoridades, en caso de que haya que resolver alguna disputa. La distribución de la información personal entre múltiples servicios aumenta la vulnerabilidad de forma innecesaria para las personas. 

Tras investigar en la FinCEN, GAFI, y demás organismos que combaten el crimen financiero, no se encontraron informes que detallen cuántos presuntos criminales han logrado ser capturados gracias a políticas de KYC. En cambio, filtraciones como las FinCEN Files revelaron que gigantes bancarios como JPMorgan, Bank of America o Deutsche Bank facilitaron el lavado de USD 2 billones entre 1999 y 2017. Pero lo peor no es eso, sino que reportaron estas operaciones sospechosas a las autoridades, y no se hizo nada por ello. 

Todo esto apunta a que el KYC eleva los costos enormemente para las empresas, dinero que no solo pudiera ser invertido en causas más beneficiosas, sino que mina la libre competencia; pone en riesgo la privacidad y la integridad física y monetaria de las personas; y, para colmo, cuando se denuncian operaciones sospechosas, las autoridades no actúan en consecuencia. 

Bitcoin fue la solución a este grave problema que ha sido impuesto sobre los intermediarios financieros, y gracias a él contamos con una alternativa para utilizar nuestro dinero de forma directa entre iguales, sin necesidad de ceder nuestros datos para nuestros intercambios. Y alrededor de la tecnología Bitcoin también se han creado mercados entre iguales sin necesidad de KYC que han demostrado ser indetenibles . Siendo esta tecnología de código abierto, los esfuerzos en censurarla solo promoverán que surjan nuevas versiones. 

Satoshi Nakamoto, como se citó en el epígrafe, resolvió el problema de la reversibilidad de las transacciones digitales. En Bitcoin las transacciones son finales una vez que se confirman. Esto lo hace como el efectivo. Una vez que un comercio recibe un billete como pago por una bebida, no necesita sus datos pues no tiene necesidad de confiar: ya tiene su pago. Y en transacciones más complejas como la compra de un inmueble, más que KYC, se necesita un contrato. De cualquier manera, en ese escenario, un pago con bitcoin seguiría siendo final. 

En ese contexto, Bitcoin hace innecesario el KYC para las transacciones cotidianas. Ya no tiene justificación que se te pidan todos tus datos hasta para comprar un par de zapatos. 

Históricamente, toda prohibición ha encontrado un mercado alternativo. Los criminales siguen lavando dinero y el terrorismo sigue siendo financiado. El KYC solo redirige el crimen hacia la persona de a pie.  

Lo mejor que se puede hacer para evitar correr riesgos es disminuir lo más posible la exposición a servicios con KYC, pero esto también trae riesgos de comerciar con personas no gratas al Estado. Además, los crímenes por los que existe el KYC siguen siendo un problema social. ¿Qué hacer entonces? Reformar el KYC actual por un sistema que proteja la seguridad y privacidad personal. 

Ya servicios como Chainalysis, que, aunque no nos gusten, son una realidad, analizan el riesgo de las direcciones con las que se pretenda interactuar. Gracias a estas tecnologías, el foco de la prevención del lavado puede ponerse directamente en la dirección (en el dinero mismo), en vez de en los individuos, y así las empresas pueden evaluar y decidir si desean hacer negocios con tales usuarios. 

Sea cual sea la forma, el KYC en la actualidad representa un peligro que no debería ser tolerado. Dada la naturaleza del efectivo y de Bitcoin como la evolución del dinero, es probable que el KYC se reduzca a transacciones de altos montos, como la compra de propiedades, o, en el mejor de los casos, muera lentamente. Hasta entonces, lo mejor que puedes hacer es protegerte a ti y a tus bitcoins aumentando tu privacidad y evaluando bien si realmente necesitas una plataforma con KYC.