BaFin advierte sobre el uso indebido de identidad por parte de la plataforma de criptomonedas tresorbit.com

La autoridad financiera alemana BaFin emitió una advertencia el 24 de agosto de 2026 sobre ofertas en el sitio web tresorbit(.)com. Lo nuevo en este aviso es la adición: según los hallazgos del regulador, el caso implica el uso indebido de identidad en perjuicio de una empresa alemana real. La respuesta breve para usted es, por lo tanto, la siguiente: un nombre de empresa alemana, una dirección alemana y una forma legal limpia en un sitio web de cripto no prueban nada en absoluto. Un proveedor solo se verifica una vez que usted lo encuentre por sí mismo en la base de datos de empresas de BaFin.

Según BaFin, los servicios de activos criptográficos se ofrecen a través del sitio web sin autorización, específicamente el comercio de activos criptográficos. El regulador también nombra a quién se utilizó para esto: Gesellschaft für Kryptoregisterführung mbH, con sede en Willich. BaFin indica que esta empresa no tiene ninguna conexión con los operadores del sitio web. Cualquiera que busque el nombre de la empresa en Google y encuentre una entrada genuina en el registro mercantil alemán ha encontrado una confirmación errónea.

El aviso en sí es breve y consta de tres declaraciones, y cada una de ellas es relevante para su propia verificación. Primero: los servicios de activos criptográficos se ofrecen a través del sitio web sin la autorización requerida. Segundo: lo que se ofrece es específicamente el comercio de activos criptográficos. Tercero: hay uso indebido de identidad en perjuicio de la empresa Willich mencionada, que no tiene nada que ver con los operadores.

BaFin fundamenta la publicación en el artículo 10, apartado 7 de la Ley Alemana de Supervisión de Mercados de Criptomonedas. Esta es la disposición que permite al regulador informar al público sobre ofertas de criptomonedas no autorizadas y nombrar nombres y direcciones al hacerlo. Tal aviso no es una decisión judicial ni una condena penal. Es información oficial sobre lo que el regulador ha establecido. Para usted como inversor, es la fuente más confiable disponible sobre un proveedor desconocido.

Lo que no contiene el aviso es tan parte de la imagen: ninguna cifra de pérdidas, ningún número de clientes afectados, ninguna indicación de cuánto tiempo ha estado funcionando el sitio web. Cualquiera que le proporcione esos números en este caso no los obtuvo de BaFin.

El uso indebido de identidad en este contexto significa que operadores desconocidos utilizan el nombre, la dirección o los datos de registro de una empresa genuinamente existente para dar a su propia oferta una apariencia respetable, sin que esa empresa lo sepa o participe en ello. En estos casos, la empresa afectada es ella misma una parte perjudicada.

La diferencia entre una empresa ficticia inventada y una real importa en la práctica. Una empresa inventada se delata en cuanto buscas el nombre y no encuentras nada. Un nombre mal utilizado supera esa primera búsqueda: la empresa realmente existe, hay una entrada en el registro mercantil, hay una dirección en Alemania, y si hay dudas, incluso hay un sitio web con un aviso legal correcto. Todo eso pertenece a una empresa diferente a la que desea recibir tu dinero.

Por qué las ofertas de criptomonedas están particularmente expuestas

La regulación europea MiCA ha estado plenamente aplicada desde el 30 de diciembre de 2024, y cualquier persona que ofrezca servicios de activos criptográficos en Alemania necesita una autorización para hacerlo. Los inversores alemanes se han acostumbrado a buscar licencias, y es exactamente ese hábito el que está siendo explotado. Una oferta que enumera una empresa alemana en su imprint parece más creíble hoy que una con una dirección en el extranjero. Por lo tanto, el uso indebido de un nombre real es la respuesta a una regulación que funciona en principio.

El registro mercantil es un directorio de comerciantes y empresas registradas en Alemania y establece que una empresa existe legalmente. No dice nada sobre si esa empresa posee una autorización de la BaFin, y menos aún sobre si el sitio web que utiliza el nombre realmente le pertenece.

El sello funciona de manera similar. Un sello es una autodeclaración del operador del sitio web. Nadie verifica antes de la publicación si la empresa mencionada pertenece al operador. Lo mismo ocurre con los números de licencia o registro impresos en una página: un número es una cadena de caracteres mientras no lo verifiques en el registro mismo.

La ruta confiable, por lo tanto, siempre funciona en la dirección opuesta. No buscas en el sitio web evidencia de su propia credibilidad. Buscas al proveedor en el registro y luego verificas si los detalles allí registrados coinciden con lo que tienes frente a ti. Cualquiera que use un exchange de criptomonedas regulado con autorización de la UE verificable evita en gran medida este problema, porque la autorización allí está documentada públicamente y es fácil de encontrar.

Un servicio de activos criptográficos es un servicio comercial relacionado con activos criptográficos proporcionado a un cliente, como operar una plataforma de intercambio, intercambiar activos criptográficos por euros, ejecutar órdenes o mantener activos criptográficos en custodia para terceros. Cualquier persona que ofrezca este servicio en Alemania necesita una autorización de la BaFin.

Lo que haces por ti mismo no entra dentro de ello. Si mantienes Bitcoin en tu propio monedero cuyas claves solo tú conoces, nadie te está prestando un servicio y nadie necesita un permiso para ello. Esa distinción es también la razón por la que algunos proveedores de monederos operan correctamente sin licencia y otros no; cubrimos la línea divisoria en detalle en un artículo separado sobre cuándo las aplicaciones de monedero requieren autorización.

La base de datos de empresas de la BaFin es el directorio público de todas las instituciones y proveedores a los cuales el regulador ha otorgado una licencia o autorización. El acceso es gratuito y no requiere registro, y es el único lugar donde puede verificar genuinamente una licencia alemana.

La búsqueda no es espectacular y tarda algunos minutos. Usted abre la base de datos de empresas de BaFin y busca el nombre exacto de la empresa indicado en la información legal. Si no encuentra coincidencia, el asunto ya está resuelto. Si encuentra una coincidencia, compara la dirección y la forma jurídica con los detalles del sitio web, carácter por carácter: una forma jurídica diferente o una ciudad distinta no es un detalle, sino el hallazgo real.

Para proveedores de otros países de la UE, el registro MiCA del regulador europeo de valores ESMA desempeña el mismo papel. Enumera a los proveedores autorizados de activos criptográficos de todos los estados miembros, cada uno con la autoridad que otorgó la autorización. Un proveedor que afirma tener una licencia europea y que no aparece en ese registro no la tiene.

Tres detalles que deben coincidir

Un registro por sí solo no es suficiente. El nombre de la empresa en el aviso legal, la inscripción en el registro y el dominio en el que se encuentra actualmente deben coincidir. El caso que BaFin advirtió el 24 de agosto explota precisamente esa brecha: el nombre existe, la empresa existe, pero el sitio web no le pertenece. Por lo tanto, los proveedores confiables indican su dominio en documentos oficiales y señalan activamente a los imitadores.

cryptoticker.io compiló este análisis por sí mismo el 25 de agosto de 2026. Método: recuperamos la página de resumen “Noticias y Advertencias” de BaFin, cargamos individualmente cada aviso al consumidor listado allí en 2026, y evaluamos para cada aviso si el texto en sí se refiere a una oferta de cripto y si menciona un uso indebido de identidad. El bloque explicativo general al final de cada aviso, que enumera los plazos como cuestión rutinaria, fue eliminado para este propósito.

Objetos examinados: 24 avisos al consumidor, todos recuperados con estado HTTP 200. Resultado: cinco de ellos se refieren a ofertas de cripto, fechados el 18 de agosto, 19 de agosto (dos avisos), 24 y 25 de agosto de 2026, y por lo tanto todos dentro de un período de ocho días. Exactamente uno de estos avisos, el de tresorbit(.)com, nombra expresamente un uso indebido de identidad.

Lo que no pudimos verificar también pertenece aquí. La página de vista general muestra solo una sección del año. La entrada más antigua listada allí data del 4 de mayo de 2026; los avisos de los meses anteriores no eran accesibles a través de esta página. Los 24 representan el estado de esa página en el día de la encuesta y no el total anual. La clasificación por texto de aviso también tiene una particularidad: el aviso del 19 de agosto sobre la aplicación “NC Wallet” se refiere a una aplicación de monedero, pero su título de aviso solo menciona servicios financieros y por lo tanto no cae dentro del grupo de cripto según nuestra regla.

En los mismos dos días, BaFin publicó cuatro avisos adicionales para consumidores, y la comparación muestra qué tan diferentes son los patrones. En auvelion(.)com, el regulador afirma que allí se ofrecen servicios financieros y de valores, así como servicios de activos criptográficos sin permiso; el operador simplemente aparece bajo la denominación Auvelion, sin forma jurídica, sin domicilio legal establecido y sin información legal. Ese es el caso obvio: simplemente falta todo.

En rivolifinances(.)com, los operadores utilizan las denominaciones Rivoli S.A. y Rivoli Finances Sàrl según BaFin y declaran un supuesto lugar de negocio en Francia; la sospecha del regulador aquí se refiere a actividad bancaria no autorizada mediante la concesión de préstamos. En navigatorpf(.)com, el aviso indica que los operadores ofrecen servicios bancarios y financieros sin permiso y no están supervisados por BaFin. El cuarto aviso, del 25 de agosto, concierne a helvetickeystone(.)com junto con correos electrónicos de una dirección de remitente similarmente escrita y gira en torno a ofertas de depósitos a plazo fijo y overnight.

Entre el caso obvio y el nombre mal utilizado se encuentra un tercer nivel, que BaFin describió el 19 de agosto en relación con la aplicación “Crendel”. Según la propia declaración de la aplicación, una empresa estadounidense se menciona como desarrolladora, y según su propio informe, el regulador no tiene hallazgos sobre si esa empresa registrada tiene realmente alguna conexión con la aplicación. El regulador expresa esto con más cautela que en el caso Willich, donde establece el uso indebido.

No hay un indicador confiable que se pueda extraer del texto del sitio web en sí, porque los detalles son correctos precisamente por la razón de que provienen de otra persona. Lo que se puede verificar son los intervalos entre los detalles.

• El nombre de la empresa en el aviso legal no tiene relación con la presentación de la plataforma en sustancia, por ejemplo, una empresa de registro o administración detrás de una interfaz de operaciones.
• El dominio no aparece en ningún lugar del sitio web de la empresa mencionada, y viceversa, la plataforma nunca redirige a la dirección original de esa empresa.
• Las direcciones de correo electrónico pasan por un dominio que se asemeja al oficial sin ser idéntico a él. BaFin describió exactamente esta constelación el 25 de agosto en el caso de helvetickeystone(.)com, donde la dirección del remitente estaba en un dominio diferente.
• La empresa está inscrita en el registro mercantil, pero no aparece en la base de datos de empresas de BaFin como proveedora de servicios de activos criptográficos.
• Los retiros están vinculados a un pago adicional, por ejemplo, a un supuesto impuesto, tarifa o cargo de desbloqueo. Conoces este patrón de nuestro análisis de faked withdrawal demands.

El último punto es el más importante, porque funciona independientemente de cualquier verificación de registro. Una plataforma autorizada nunca exige un pago anticipado para liberar tu saldo propio.

Si realizaste un depósito con un proveedor que ahora BaFin advierte, el orden de los pasos es decisivo. Primero, asegura las pruebas: extractos bancarios, recibos de transferencia, hashes de transacción, capturas de pantalla de la plataforma y toda la correspondencia. Estos documentos serán más adelante la base de cada denuncia penal y cada intento de reembolso, y desaparecerán tan pronto como se desactive el acceso a la plataforma.

Luego viene la ruta hacia tu banco. Con una transferencia SEPA realizada hace solo unos días, a veces aún es posible una reversión; con pagos con tarjeta, es posible una devolución. Ambas dependen de plazos, y ambos plazos comienzan desde el día del pago, no desde el día en que te vuelves sospechoso. Paralelamente, presentas una denuncia penal ante la policía, lo cual también es posible en línea.

Lo que regularmente no logra nada: un mensaje al soporte de la plataforma, una exigencia para que se devuelva el dinero, y sobre todo toda oferta que prometa la recuperación contra un pago anticipado. Estas ofertas son un modelo de negocio propio, y BaFin ya advirtió sobre un sitio web de este tipo en 2026. Si los activos cripto se movieron en tu propio monedero, se aplica una cosa más: tan pronto como seas sospechoso de haber revelado tus detalles de acceso, transfiere cualquier saldo restante a un monedero recién generado cuyas claves nunca han estado en un dispositivo de terceros. Qué dispositivos son adecuados para ello se muestra en nuestra comparación de monederos hardware.

Lo que puedes informar a BaFin

BaFin no es una autoridad que recupere su dinero, ni representa a inversores individuales. Sin embargo, el regulador acepta denuncias sobre actividades no autorizadas, y dichas denuncias son la base exacta de los avisos al consumidor en cuestión. Por lo tanto, reportar es útil incluso si usted no ha sufrido pérdidas.

En el phishing, el atacante busca tus detalles de acceso o tu frase de recuperación, es decir, un secreto que ya posees. Esto aplica tanto a correos falsificados como a las cartas con un código QR que se advirtieron en agosto y que describimos en nuestro artículo sobre wallet phishing by post. En cambio, el mal uso de la identidad se trata de confianza antes del primer depósito: se espera que realices la transferencia voluntariamente porque el proveedor parece ordenado.

El caso también difiere de la así llamada serie de plataformas. Allí, muchos sitios web casi idénticos se operan bajo nombres cambiantes y se pueden reconocer por su redacción y estructura; contamos esa estructura en un análisis separado de las advertencias de la BaFin sobre series de plataformas de cripto. Usar indebidamente el nombre de una empresa real es la vía más laboriosa, porque funciona solo una vez por empresa víctima, pero a cambio supera una verificación superficial. Una tercera variante es la aplicación claramente sin licencia, como en el caso de la advertencia de la BaFin sobre NC Wallet.

La consecuencia práctica es incómoda pero manejable: la verificación debe realizarse antes del primer depósito, porque después no impide nada. Dos minutos en la base de datos de la empresa cuestan menos que cualquier intento de reembolso.

Quien no desea comenzar desde cero con cada nuevo nombre reduce el problema mediante la elección de su proveedor. Un puñado de plataformas de operación autorizadas en la UE cubren con creces la mayor parte de lo que necesitan los inversores privados; nuestra comparación de los intercambios de criptomonedas más grandes clasifica a los proveedores comunes según comisiones y gama de funciones. Y quien documente sus movimientos de manera limpia, por ejemplo, con alguna de las herramientas de nuestra visión general de herramientas de impuestos y cartera de criptomonedas, ya tiene los registros organizados en caso de pérdida, evitando tener que recopilarlos laboriosamente.

Un punto final se refiere a la dirección opuesta. Las ofertas de empleo también se utilizan para negocios de cripto no autorizados, cuando se pide a los solicitantes que transfieran pagos a través de su propia cuenta y los intercambien por activos criptográficos; BaFin advirtió sobre esto el 18 de agosto, y describimos el patrón bajo el título del money mule trap. Cualquiera que caiga en esto pierde dinero y, además, queda bajo la mira de las autoridades encargadas de la persecución penal.

1. Verifique al proveedor en el registro antes de realizar el depósito. Busque el nombre exacto de la empresa en el impreso en la base de datos de empresas de BaFin y compare la forma jurídica y la dirección carácter por carácter. Si desea ahorrarse la búsqueda, elija desde el principio un exchange de criptomonedas regulado con autorización documentada de la UE.
2. Trate un nombre de empresa alemán como una afirmación, no como prueba. El caso del 24 de agosto muestra que un registro mercantil y una impresión pueden ser auténticos y aún así pertenecer a una empresa diferente. Compare proveedores mediante términos verificables, por ejemplo, a través de nuestra comparación de exchanges de criptomonedas.
3. Mantén las tenencias que no estás negociando bajo tu propia custodia. Lo que se encuentra en un monedero cuyas claves solo tú conoces no puede ser retirado por ningún proveedor no autorizado. Los dispositivos adecuados y sus costos se detallan en nuestra comparación de monederos de hardware.

(Al 25 de agosto de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las estructuras de tarifas pueden variar; verifique los términos con el proveedor antes de comprar.)