La CNMV ha advertido de cuatro firmas que ofrecen servicios con criptomonedas en España sin licencia MiCA: GDLP, Exchsec, ZSYSC y CMC Group Markets. El aviso, publicado el viernes 16 de octubre, pide a los inversores comprobar la autorización de cada entidad antes de abrir una cuenta o enviar dinero. Ninguna de las cuatro aparece inscrita para prestar los servicios que supervisa el organismo.
Quién está en la lista y qué significa exactamente el aviso
Los nombres señalados vienen acompañados de sus dominios operativos, que es el dato que de verdad sirve para identificar a la firma con la que se está tratando:
- GDLP, con actividad en m.gdlpltd.com.
- Exchsec, en exchsec.com.
- ZSYSC, en zsysc.com.
- CMC Group Markets, en app.c-groupmltd.com y cgroupmltd.com.
Aparecer en la lista de advertencias significa una cosa muy concreta: el supervisor no reconoce que esa entidad tenga autorización para prestar servicios de inversión. No es una sentencia judicial ni una acusación formal de fraude. Es una señal de tráfico que indica que la firma queda fuera del paraguas de MiCA, el reglamento europeo de mercados de criptoactivos que exige registro, requisitos de capital, normas de custodia y obligaciones de información al cliente.
De ahí la recomendación del organismo: consultar sus advertencias públicas y comparar el nombre legal y el dominio con los datos del registro de la CNMV y del resto de supervisores europeos. Una web bien maquetada no demuestra nada. Tampoco un supuesto asesor que llama por teléfono con prisa.
Hay un detalle que conviene no perder de vista. La advertencia no bloquea las webs señaladas, que siguen accesibles. La CNMV no tiene poder para cerrar un dominio extranjero ni para congelar depósitos. Su herramienta es la información pública, y funciona solo si el inversor la consulta antes de transferir.
Una advertencia no devuelve el dinero: suele publicarse cuando el dominio ya está operativo y el depósito, en muchos casos, ya viajó.
Qué arriesga quien deposita en una firma sin autorización
El primer riesgo es la ausencia de red legal. Fuera del perímetro supervisado no hay control de solvencia, ni reglas de segregación de los fondos de clientes, ni obligación de informar de conflictos de interés. Si la entidad quiebra, el ahorrador está solo.
Recuperar el dinero es el segundo riesgo. Reclamar a una sociedad cuya sede real no está clara es un laberinto: sin domicilio identificable, sin representante en España y, muchas veces, sin un contrato en condiciones. Por eso la CNMV insiste en conservar contratos, justificantes de depósito y correos. Son la única prueba si hay que acudir a un abogado o a una autoridad de otro país.
El tercero es la opacidad. Cuando una firma opera al margen de los controles, no se sabe quién está detrás ni dónde están custodiados los activos. En un sector que repite la consigna not your keys, not your coins (si no controlas las claves, no controlas las monedas), entregar los fondos a un intermediario desconocido es lo contrario de lo que predica el propio ecosistema.
MiCA ya no admite atajos: el periodo transitorio expiró el 1 de julio de 2026
Este aviso no llega en el vacío. MiCA preveía un régimen transitorio para que las empresas que ya operaban antes de la norma pudieran adaptarse. Ese plazo se agotó como muy tarde el 1 de julio de 2026. Desde entonces, cualquier proveedor de servicios de criptoactivos que quiera operar legalmente en la Unión Europea necesita autorización expresa de su supervisor nacional; en España, la CNMV.
El precedente ayuda a dimensionar el problema. Las listas de chiringuitos financieros existen desde hace años en la CNMV y en el resto de reguladores europeos, y el sector cripto ha sido una de sus principales fuentes de nombres. Cada ciclo de euforia —el de 2017 con las ofertas iniciales de monedas, el de 2021 con los protocolos de finanzas descentralizadas— trajo su propia remesa de webs nuevas. A veces son la misma estructura con el dominio cambiado.
Ahí está la contradicción de fondo. Europa ha construido el marco regulatorio más completo del mundo para los criptoactivos, pero ese marco solo protege a quien opera dentro. Fuera de él, la única barrera es la información del inversor. Y esa barrera falla justo cuando el inversor tiene prisa, que es exactamente el momento en el que le empujan a depositar.
Cómo comprobar en dos minutos si una firma tiene licencia
La verificación es mecánica y no exige conocimientos técnicos:
- Buscar el nombre exacto en el registro de la CNMV y en el registro europeo de proveedores autorizados que mantiene la ESMA.
- Comparar el dominio letra a letra con el que figura en el registro. Los clones suelen cambiar una vocal o añadir una palabra.
- Desconfiar de tres señales que se repiten en casi todas las denuncias: rentabilidades garantizadas, presión para depositar rápido y pagos exigidos para ‘desbloquear’ supuestas ganancias.
- Guardar contratos, correos y justificantes de cada transferencia, aunque la operación parezca rutinaria.
El aviso no acusa a estas cuatro firmas de fraude; señala que no tienen autorización. La distinción importa jurídicamente, pero para la cartera del inversor el resultado práctico es el mismo si la entidad desaparece: no hay a quién reclamar en España. El registro es público, se actualiza con regularidad y consultarlo es gratis. Frente a una promesa de rentabilidad, dos minutos de búsqueda siguen siendo la mejor inversión.
