Europa ha decidido que la transparencia fiscal sobre los criptoactivos exige recopilar cada vez más información sobre quienes los poseen y utilizan. Desde el 1 de enero de 2026, la directiva DAC8 ampliará el intercambio automático de información fiscal dentro de la Unión Europea al ámbito de los criptoactivos, obligando a los proveedores a recopilar datos de usuarios y operaciones para las administraciones tributarias.
La finalidad declarada es combatir el fraude y la evasión fiscal. Pero existe una consecuencia que apenas ha formado parte del debate regulatorio europeo: crear grandes repositorios que relacionan personas reales con actividad en criptoactivos puede generar un riesgo de seguridad para esas mismas personas. El caso de Francia debería hacer que Europa se replantee este modelo de vigilancia masiva.
De la transparencia fiscal a la seguridad física
Francia lleva más de un año enfrentándose a una sucesión extraordinariamente violenta de delitos relacionados con las criptomonedas, donde el objetivo ya no es un protocolo digital, sino una persona física.
Cronología de la violencia en Francia
Enero 2025: David Balland, cofundador de Ledger, y su pareja son secuestrados. Los autores exigen un rescate en criptomonedas y Balland sufre mutilaciones.
Meses después: El padre de un empresario del sector es secuestrado en París y aparece con graves lesiones.
Mayo 2025: Intento de secuestro en plena calle contra la hija de Pierre Noizat, fundador de Paymium.
El fenómeno ha alcanzado tal dimensión que el propio Ministerio del Interior francés reconoce que la amenaza ha evolucionado y que los particulares son ahora objetivos directos. Esto introduce un tercer actor en el debate sobre la privacidad financiera, más allá del ciudadano y el Estado: el delincuente que quiere saber quién tiene criptomonedas.
El dato más peligroso no es una clave privada
Para robar bitcoin no siempre es necesario romper su criptografía; puede ser mucho más sencillo averiguar quién lo posee. La combinación de identidad, domicilio y la posesión de un patrimonio significativo en activos digitales es información extraordinariamente sensible. Ninguna criptografía protege al propietario cuando un delincuente conoce su identidad y puede obligarle físicamente a realizar una transferencia. Es la versión extrema del conocido ‘$5 wrench attack’: en lugar de atacar la tecnología, se ataca a la persona.
Un mapa de objetivos
Una base de datos que relaciona identidad y patrimonio en criptoactivos no es un simple registro fiscal. Se convierte en una herramienta de alto valor para organizaciones criminales, proveyendo una lista detallada de potenciales víctimas para extorsión, secuestro y robo con violencia.
Y las bases de datos terminan filtrándose
Francia ofrece además otro motivo para cuestionar la acumulación de información financiera. En un corto periodo de tiempo, se produjeron dos brechas de seguridad masivas que demuestran la vulnerabilidad de estos sistemas, tanto en el sector privado como en el público.
Usuarios afectados en Waltio
120.000
Enero 2026
Cuentas afectadas en FICOBA
1.2 Millones
Febrero 2026
La brecha en FICOBA, el fichero nacional de cuentas bancarias gestionado por la propia Administración francesa, es especialmente preocupante. Un atacante utilizó las credenciales de un funcionario y accedió a datos de identidad, dirección y detalles bancarios. Aunque no esté directamente relacionado con DAC8, demuestra que ni siquiera las bases de datos públicas especialmente sensibles son inexpugnables.
Empresas en el Ecosistema
Ledger
Paymium
DAC8 multiplica el problema
La Directiva (UE) 2023/2226 (DAC8) crea una infraestructura paneuropea para asociar identidades reales con actividad patrimonial en criptoactivos. El problema fundamental es que estos activos pueden transferirse de manera inmediata e irreversible bajo coacción. Un secuestrador no puede obligar a su víctima a transferirle una vivienda en 30 segundos desde un móvil, pero con bitcoin sí puede intentarlo. Esa diferencia es crucial y parece haber sido ignorada.
La paradoja del RGPD
Resulta paradójico que la misma Unión Europea que defiende el principio de minimización de datos en el artículo 5 del RGPD esté construyendo, en paralelo, una arquitectura regulatoria financiera basada en la acumulación masiva de información. En el ámbito cripto, esta contradicción es peligrosa: no hablamos solo de privacidad, sino de seguridad personal.
DAC8 debería ser derogada o profundamente rediseñada
Cuestionar DAC8 no es defender la evasión fiscal. Es cuestionar la proporcionalidad del mecanismo. La lucha contra el fraude no justifica cualquier nivel de vigilancia. El problema no es la seguridad de las bases de datos, sino la propia creación de esos conjuntos de información.
La regulación debería partir del principio contrario: ninguna entidad debería acumular información que relacione innecesariamente identidad, localización y patrimonio en cripto. La alternativa pasa por la minimización de datos y el uso de tecnologías como las zero-knowledge proofs, que permiten acreditar cumplimiento sin revelar información sensible.
Francia es una advertencia para Europa
No se puede afirmar que los secuestros en Francia fueran causados directamente por DAC8, pero el caso francés demuestra tres realidades innegables:
- Los propietarios de criptomonedas son objetivos de violencia física.
- Las bases de datos financieras, incluso las públicas, son vulnerables.
- La información que conecta identidad, domicilio y patrimonio tiene un enorme valor criminal.
Los datos financieros pueden convertirse en un riesgo físico para la persona a la que identifican. El Estado tiene derecho a recaudar impuestos, pero también la obligación de no poner en peligro a sus ciudadanos en el proceso. A veces, la solución más segura no es construir una base de datos más protegida. A veces consiste en no construirla.
Ignacio Ferrer-Bonsoms, abogado digital, https://bacsociety.com/ especialista en tokenizaciones y criptoactivos.
