¿Pagas a un contratista en cripto? Revisa la wallet

Once gobiernos publicaron la misma advertencia el mismo día. El 31 de julio de 2026, Estados Unidos, Japón, Corea del Sur, Reino Unido, Australia, Canadá, Francia, Alemania, Italia, Países Bajos y Nueva Zelanda emitieron una alerta conjunta sobre los trabajadores informáticos norcoreanos: gente que se postula a empleos remotos normales con identidades prestadas, hace el trabajo de verdad y envía el sueldo de vuelta a Pyongyang.

Lo que llegó a los titulares fueron las entrevistas. La alerta dice que estos candidatos ya usan vídeo deepfake generado con IA en tiempo real para aguantar una videollamada haciéndose pasar por otra persona. Eso es un problema de contratación, y los reclutadores ya le están dando vueltas.

Lo que casi nadie cubrió es lo que pasa después de contratarlos. Piden cobrar en cripto.

Por qué el problema legal está en el pago

Contratar a alguien con un nombre falso es un bochorno. Pagar a una wallet que está en una lista de sanciones es una infracción.

El Tesoro de Estados Unidos lo dejó bien concreto el 12 de marzo de 2026, cuando la OFAC designó a seis personas y dos entidades por el fraude de trabajadores informáticos de la RPDC. La designación vino con 21 direcciones de criptomonedas incorporadas a la lista SDN, repartidas entre Ethereum, Tron y Bitcoin. Amnokgang Technology Development Company, que gestiona delegaciones de trabajadores informáticos en el extranjero, aportó siete: tres de Ethereum y cuatro de Tron. Yun Song Guk sumó dos direcciones de Ethereum. Hoang Minh Quang, una de Bitcoin. Una designación ya existente de Sim Hyon Sop recogió otras once.

Y luego está Nguyen Quang Viet, un directivo vietnamita que según el Tesoro convirtió unos 2,5 millones de dólares en cripto para estos trabajadores entre mediados de 2023 y mediados de 2025. Él era la fontanería. Los sueldos entraban como pagos corrientes y la cripto salía por el otro extremo.

El Tesoro calcula que solo en 2024 el esquema movió cerca de 800 millones de dólares.

Responsabilidad objetiva significa exactamente eso

Aquí está la parte que pilla desprevenidas a las empresas pequeñas. La vía civil de la OFAC funciona por responsabilidad objetiva. Nadie tiene que demostrar que lo sabías, ni que fuiste descuidado, ni que tenías el más mínimo motivo para sospechar. Solo tienen que demostrar que la transacción ocurrió.

En 2026 el techo de una infracción civil bajo la IEEPA es de 377.700 dólares, o el doble del valor de la transacción, lo que sea mayor. Paga doce veces una factura mensual de 6.000 dólares a una dirección listada y tienes doce infracciones, no una.

No te van a avisar antes. No existe ninguna notificación cuando una wallet que llevas pagando desde la primavera acaba designada en otoño. La lista SDN cambia; la dirección guardada en tu software de contabilidad, no. Y en ese software no hay nada vigilando.

Cómo son de verdad las señales de alarma

Las guías oficiales sobre esto llevan un par de años siendo consistentes, y las pistas del lado del pago son poco glamurosas:

• El contratista esquiva la transferencia bancaria y empuja hacia cripto o un servicio de envío de dinero.
• Pide que el pago vaya a una cuenta a nombre de otra persona, con un «amigo» o una «agencia» que se lleva una comisión por usarla.
• La dirección de cobro cambia a menudo, o te piden partir una factura entre dos direcciones.
• USDT sobre Tron aparece constantemente. Es barato, rápido y líquido.

Ninguna de estas cosas prueba nada por sí sola. Muchos freelancers honestos en países con la banca rota prefieren stablecoins, e interrogar a alguien por eso no es un programa de cumplimiento. Pero una contratación remota a la que nunca has visto en persona, un onboarding a toda prisa y una dirección de cobro que no para de moverse forman una combinación que merece diez minutos de tu atención.

Diez minutos antes del primer pago

Analizar una dirección de cobro es el control más barato que tienes, y ocurre antes de que salga el dinero. Pegas la dirección y averiguas si aparece en una lista de sanciones, si ha recibido fondos de un mezclador y con qué tipo de contrapartes ha tratado ya. Pasar la dirección por una comprobación lleva segundos y te deja algo que puedes archivar.

Guarda el resultado. No es un detalle menor. Si algún día un banco o un regulador pregunta cómo verificaste a un beneficiario, «analizamos la dirección el día que lo dimos de alta, aquí está el informe» es una conversación muy distinta de «nunca se nos ocurrió».

Repítelo cada cierto tiempo. Con un contratista recurrente, una vez al mes va bien. La lista se mueve.

Lo que un resultado limpio no significa

Sé honesto con los límites, porque la mayoría de proveedores de este sector no lo son.

Una wallet recién creada sin historial sale limpia. Tiene que salir: no hay nada que puntuar. Quien genere una dirección nueva para cada factura pasará siempre, y también lo harán muchísimas personas perfectamente legítimas. El análisis de direcciones detecta direcciones malas conocidas y la exposición rastreable a ellas. No te dice nada sobre quién tiene las claves.

Así que convive con lo aburrido: comprobar documentos de identidad contra una persona real, confirmar que quien está en la videollamada es quien aparece en el pasaporte, negarse a redirigir pagos a terceros y guardar registro de todo ello. La alerta del 31 de julio existe precisamente porque la capa de identidad está siendo vencida por los deepfakes. La capa del dinero es el único sitio donde la evidencia es pública y permanente.

La cifra que debería preocuparte

Chainalysis situó el robo de cripto vinculado a Corea del Norte en 2.020 millones de dólares en 2025, cerca del 60% de todo lo robado en cripto ese año, y en unos 6.750 millones acumulados. El esquema de los trabajadores informáticos es la mitad silenciosa de eso. Sin exploit, sin hackeo de un puente, sin titular. Solo facturas.

El Departamento de Justicia lleva tiempo tirando del hilo: una demanda civil de decomiso por más de 7,7 millones de dólares en cripto, NFT y otros activos digitales vinculados a la red de blanqueo que hay detrás de estos trabajadores. La alerta del Departamento de Estado es directa sobre en qué posición deja eso a los empleadores: contratar a estos trabajadores y pagarles por servicios prestados puede vulnerar la legislación nacional de varios países, entre ellos Japón, Estados Unidos y Corea del Sur.

Si contratas ingenieros en remoto y pagas a alguno en cripto, estás en algún punto de la cadena que describen esos casos. No como objetivo. Como pagador.

Ya no puedes verificar una cara de forma fiable en una videollamada. Una dirección sí. Hazlo antes de que salga el primer pago, guarda lo que te devuelva y vuelve a mirar el mes que viene. Cuesta menos que una hora de trabajo del contratista.