Llevo años operando en los mercados y lo que más me pregunta la gente últimamente no es qué altcoin comprar, sino si su protocolo DeFi favorito sigue siendo legal. La respuesta cambió en julio de 2026: el GAFI publicó su primer reporte integral sobre finanzas descentralizadas y eliminó la excusa de la "descentralización" como blindaje regulatorio automático, justo cuando el valor bloqueado en DeFi ya venía cayendo con fuerza. Para cualquiera que mueva capital entre exchanges y protocolos sin intermediario en México, Colombia o Argentina, este cambio no es un tecnicismo legal lejano: redefine qué plataformas van a poder seguir operando sin fricciones el próximo año.
Qué cambió con la prueba COSI del GAFI en la regulación DeFi
- Prueba COSI (Control or Sufficient Influence): desde julio de 2026 el GAFI evalúa si un protocolo opera de forma autónoma o si existe una entidad identificable detrás, sin importar cómo se presente el proyecto en su sitio web. (Territorio Bitcoin, 2026)
- Colombia: la Resolución 000240 de la DIAN obliga a los exchanges a reportar identidad de clientes bajo el estándar de la OCDE desde el año fiscal 2026, con el primer reporte grande programado para mayo de 2027. (CriptoNoticias, 2026)
- Argentina: desde el 26 de mayo de 2025 la Resolución General 1058 de la CNV volvió obligatorio el Registro PSAV para exchanges, wallets y plataformas de trading, ampliado en 2026 con la RG 1108. (Beccar Varela, 2026)
- TVL global de DeFi: cayó 39% en lo que va de 2026, de unos USD 115.000 millones en enero a cerca de USD 70.000 millones a fines de junio, con 121 hackeos que sumaron alrededor de USD 942 millones en pérdidas. (BeInCrypto, 2026)
¿Qué protocolos deja de proteger la etiqueta "descentralizado"?
En mi lectura del reporte, la prueba COSI no le pregunta al protocolo cómo se describe en su documentación, le pregunta quién puede pausar el contrato, quién controla las llaves de administración y quién se queda con las comisiones si algo falla. Si existe una entidad —una fundación, un equipo con multisig, un front-end centralizado que decide qué wallets bloquear— que cumple ese rol, el protocolo pasa a tratarse como Proveedor de Servicios de Activos Virtuales, con las mismas obligaciones de KYC, monitoreo de transacciones y travel rule que ya aplican a un exchange tradicional. (Territorio Bitcoin, 2026)
Por qué esto no salió de la nada: quince años de zona gris regulatoria
Durante casi quince años, el sector DeFi operó en un terreno que muchos abogados describían como ambiguo a propósito. Las Recomendaciones 15 y 16 del GAFI, pensadas originalmente para transferencias bancarias tradicionales, se aplicaron a cripto recién en 2019, y desde entonces cada jurisdicción interpretó a su manera qué contaba como "proveedor de servicios". Europa avanzó primero con MiCA, que ya obliga a protocolos con presencia comercial en la Unión a registrarse y cumplir KYC. Lo que hace distinto al reporte de julio de 2026 es que deja de mirar la estructura legal del proyecto y empieza a mirar quién tiene, en los hechos, la capacidad de intervenir el protocolo.
Cuando empecé a operar cripto, la defensa estándar de cualquier equipo de desarrollo era simple: "no somos una empresa, somos un protocolo, y un protocolo no puede tener obligaciones regulatorias". Esa defensa funcionó mientras los reguladores no tenían una metodología clara para contrastarla contra el código real. Lo que cambia con COSI es justamente eso: ya no basta con decir que no hay empresa detrás, hay que demostrarlo revisando quién firma las transacciones de gobernanza y quién controla el multisig que autoriza las actualizaciones del contrato.
Por qué el mercado ya venía golpeado antes de este cambio
Lo que yo observo desde enero es una corrección que no arrancó por regulación, sino por seguridad. Cuando reviso los reportes on-chain del primer semestre, el patrón se repite: un puente entre blockchains con una validación mal implementada, o un contrato cuyos permisos de administrador terminaron en manos de un atacante después de una migración apresurada. La ola de ataques fue tan constante que terminó pesando más en el TVL que la propia caída de precios del mercado spot.
Los números detrás de la caída
ETH acumula un retroceso de hasta 43% en TVL denominado en su propia red, BNB cae 33% y SOL roza el 43,5%. Para mí esto no es ruido: cuando tres redes con perfiles de uso tan distintos muestran el mismo signo de salida de capital, es la señal de que el apetito por riesgo cambió a nivel estructural, no solo en un protocolo puntual. Y es justamente ese contexto —capital ya nervioso por seguridad— el que hace que la llegada de más regulación caiga sobre un terreno especialmente sensible: cualquier anuncio nuevo sobre KYC obligatorio puede acelerar salidas que ya estaban en marcha.
Qué significa el travel rule si operas cripto desde México, Colombia o Argentina
En México, cualquier empresa que ofrezca compra, venta, custodia o intermediación de activos virtuales necesita licencia de la CNBV y queda sujeta a la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita. En la práctica esto implica registro obligatorio, monitoreo de operaciones y conservar los datos de cada transferencia por hasta diez años, algo que a muchos alumnos mexicanos les sorprende cuando lo revisamos en clase.
En Colombia el foco está en la trazabilidad fiscal más que en la supervisión de mercado: la Resolución 000240 empuja a los exchanges a identificar a cada usuario y reportarlo a la DIAN. Esto es relevante si consideras que cerca de 6 millones de colombianos —aproximadamente uno de cada ocho habitantes— ya usan criptomonedas, con un volumen que superó los USD 44.200 millones entre julio de 2024 y junio de 2025.
En Argentina el Registro PSAV de la CNV directamente no es opcional para exchanges, wallets ni plataformas de trading. Quien no se inscribe queda expuesto a sanciones directas de ese organismo, y desde que la norma entró en vigor observo que las plataformas locales empezaron a exigir verificación de identidad incluso para montos que antes pasaban sin fricción.
Cómo ajusto mi gestión de riesgo ante este nuevo mapa regulatorio
Cuando analizo mi propia exposición, lo primero que reviso ya no es solo el par de trading, sino en qué plataforma está ese capital y si esa plataforma va a seguir operando sin fricciones en los próximos meses. Prefiero repartir posiciones entre exchanges ya registrados ante su regulador local y protocolos DeFi que estén siendo transparentes sobre quién controla sus contratos. Perseguir el rendimiento más alto de la semana en un pool sin gobernanza clara dejó de tener sentido para mí en este entorno. Este es exactamente el tipo de criterio que trabajo a fondo en el curso Crypto Flow, donde reviso caso por caso cómo leer el riesgo de contraparte antes de mover capital hacia un protocolo nuevo.
La otra pieza que no negocio es el tamaño de posición. Un protocolo puede pasar de "exento" a "regulado" —o directamente a "bajo investigación"— en cuestión de semanas. Por eso la fracción de la cuenta que le asigno a cualquier DeFi nuevo suele ser pequeña, sin importar cuánto rendimiento anualizado prometa el dashboard. Tampoco descarto la custodia propia: mantener una parte del capital en una wallet fría que yo controlo directamente me sigue pareciendo la forma más simple de cubrirme si una plataforma queda bloqueada o sancionada de un día para otro.
También reviso la jurisdicción del emisor cuando trabajo con stablecoins dentro de un protocolo DeFi. Si el emisor ya está registrado como VASP en alguna jurisdicción reconocida, la probabilidad de que ese activo específico quede congelado ante un cambio regulatorio abrupto baja bastante frente a un stablecoin algorítmico sin respaldo declarado ni entidad identificable detrás. No es una garantía, pero para mí es una variable más dentro del análisis de riesgo, al mismo nivel que la liquidez del par o la volatilidad implícita.
Cómo veo esto aplicado en México, Colombia, Argentina y Perú
En Ciudad de México me encuentro con alumnos que ya operan bajo el supuesto de que cualquier exchange serio va a pedirles KYC completo, algo que hace un par de años todavía generaba resistencia. En Bogotá la conversación gira más en torno a la resolución de la DIAN y qué implica para quien recibe pagos en cripto por trabajo remoto desde el exterior. En Buenos Aires, con el Registro PSAV ya operativo, noto que los traders locales preguntan primero si la plataforma está inscripta en la CNV antes de preguntar por las comisiones. Y en Lima, donde la adopción todavía es más informal, la duda más frecuente sigue siendo básica: si conviene mover capital a un exchange regulado o quedarse en una wallet propia mientras la normativa peruana termina de definirse.
Si estás pensando en invertir en Argentina en 2026 dentro de cripto o DeFi, lo primero que reviso es si el exchange o la plataforma está inscripta en el Registro PSAV de la CNV, vigente desde mayo de 2025. Esa inscripción no elimina el riesgo de mercado, pero sí reduce el riesgo de que la plataforma quede bloqueada o sancionada por operar fuera de la regulación vigente.
Si quieres ver cómo estructuro un portafolio cripto completo bajo este escenario regulatorio, lo desarrollo con detalle en el curso Portafolio Cripto, donde parto de casos reales de alumnos en México, Colombia y Argentina para armar una asignación que resiste tanto la volatilidad de precio como los cambios normativos.
Qué espero para los próximos meses: más KYC, no necesariamente menos DeFi
Mi lectura no es que el reporte del GAFI vaya a "matar" a las finanzas descentralizadas, como leí en más de un titular alarmista esta semana. Lo que espero es una separación más clara entre protocolos que de verdad no tienen un punto único de control —donde probablemente cambie poco en el día a día del usuario— y aquellos que se vendían como descentralizados sin serlo, que van a tener que registrarse, implementar KYC o directamente cerrar el front-end que usaban millones de personas. Para quien recién empieza a operar cripto en la región, la lección práctica es simple: antes de depositar en cualquier protocolo nuevo, vale la pena revisar quién puede pausarlo, no solo cuánto rinde.
También espero que los reguladores de la región —CNBV, DIAN, CNV y sus equivalentes en Perú y República Dominicana— sigan de cerca cómo implementa el GAFI esta prueba en la práctica antes de copiar el marco completo. Ya pasó con el travel rule original: primero se adoptó en las economías más grandes y recién después bajó, con ajustes locales, a los mercados más chicos de la región. No me sorprendería que algo similar ocurra con COSI durante 2027.
Mi síntesis después de revisar el reporte del GAFI: la etiqueta "descentralizado" ya no es un escudo automático, y el capital que sigue de cerca la regulación suele anticiparse mejor a los movimientos bruscos del mercado. En Life Academy trabajamos este tipo de análisis en vivo cada semana dentro de la membresía Plus y Pro, si quieres revisar conmigo casos concretos de tu propio portafolio.
Este artículo tiene fines exclusivamente educativos y no constituye asesoramiento financiero ni recomendación personalizada de inversión. Antes de tomar decisiones financieras, evalúa tu situación personal y consulta con un asesor certificado si es necesario.
