Pasarelas cripto custodiales y no custodiales: guía

Las pasarelas de pagos cripto custodiales y no custodiales responden a una sola pregunta operativa: ¿quién puede autorizar la siguiente transferencia después de que el cliente paga? Un servicio no custodial enruta los fondos a una billetera que controla el comercio. Un servicio custodial registra el pago en un saldo del comercio y firma después un retiro bajo sus propios controles.

Esa diferencia cambia el trabajo de tesorería, la responsabilidad de seguridad, las devoluciones, la conciliación y la recuperación. No hace que un modelo sea automáticamente mejor. La elección útil es el modelo cuyas responsabilidades encajan con los controles que tu negocio sabe llevar bien. Empieza por el ciclo de vida de un pago en cripto y asigna después cada tarea de custodia al proveedor o al comercio.

¿Qué significa la custodia en una pasarela de pagos?

La custodia describe el control sobre las transacciones salientes, no la propiedad de los ingresos del comercio. En un modelo custodial, el procesador opera el sistema de firma capaz de mover los saldos liquidados. El comercio autoriza un retiro desde el panel o la API, y el procesador aplica sus controles de firma, de destino y de riesgo antes de difundirlo a la red.

Un procesador no custodial nunca recibe esa potestad de firma. Puede crear una factura, vigilar una dirección en cadena y comunicar el estado de confirmación, pero cualquier transferencia posterior la firma la billetera del comercio. Esta distinción pesa más que la etiqueta de una página de marketing. Pregunta quién puede producir una firma válida, dónde aterriza el pago y qué parte tiene que recuperar el sistema tras un fallo de claves o de infraestructura.

¿Cómo funciona un flujo de pago con custodia?

Un flujo de pago custodial separa la aceptación del cliente del retiro del comercio. El procesador asigna los datos de pago a una factura, observa la transferencia, aplica su política de confirmación y abona el importe recibido al saldo del comercio. Más tarde, el comercio elige una ruta disponible de activo y red hacia una dirección de la lista blanca. El modelo de producto de Paymos sigue este flujo gestionado.

Esa separación hace posible la consolidación gestionada. Los pagos del mismo activo pueden sumar a un único saldo de ese activo aunque los clientes hayan usado redes admitidas distintas. El comercio no necesita barrer cada dirección de factura, mantener activos nativos para gas en cada cadena ni construir un libro que case depósitos con pagos posteriores. La contrapartida es clara: el procesador pasa a formar parte del camino de control de los fondos y tiene que demostrar que sus controles de firma y de retiro están a la altura del criterio de riesgo del comercio.

¿Cómo cambia la operativa el enrutamiento no custodial?

El enrutamiento no custodial termina en la billetera del comercio. En cuanto un pago llega ahí, el comercio controla la clave de firma y puede mover los fondos sin pedirle nada a la pasarela. Eso vale mucho cuando la política interna exige custodia directa o cuando un equipo de tesorería consolidado ya opera infraestructura en cadena.

El modelo también traslada el trabajo duro. El comercio tiene que proteger las claves, cargar gas, vigilar cada red activa, identificar los depósitos, consolidar saldos, mantener la política de direcciones y recuperarse de fallos del firmante o del nodo. Una pasarela puede seguir aportando facturas y webhooks, pero no puede resolver un retiro atascado ni una clave comprometida del comercio. El control directo elimina una dependencia del proveedor; no elimina el riesgo de custodia. Lo reubica en los sistemas y procedimientos del propio comercio.

¿Cómo se ve la diferencia de custodia en la práctica?

Piensa en un comercio que acepta USDT en Tron y en Ethereum. Con enrutamiento no custodial, el equipo de tesorería tiene que vigilar los dos destinos, proteger las claves de firma, mantener disponibles los activos nativos de comisión, conciliar los depósitos y decidir cómo consolidar las dos posiciones de red. La pasarela puede informar de los pagos, pero cada transferencia posterior es del comercio.

Con el modelo gestionado de Paymos, los pagos confirmados en USDT desde las redes admitidas suman a un único saldo en USDT. El comercio elige después una ruta de retiro disponible en USDT hacia una dirección de la lista blanca que controla él. Paymos opera la firma y la consolidación; el comercio controla la decisión de retirar y la política de destinos.

Convierte este ejemplo en una tabla de responsabilidades de cuatro filas: detección del pago, confirmación, firma de la transacción y recuperación. Marca un único responsable por fila. Si alguna fila tiene dos responsables supuestos o ninguno, el diseño de custodia está incompleto.

¿Cómo controla Paymos los retiros bajo custodia?

Paymos firma las transacciones salientes en infraestructura aislada. Esto es custodia gestionada: el comercio autoriza el retiro y Paymos opera la ruta de firma y de difusión.

Cada destino tiene que estar antes en la lista blanca de retiros del comercio, y una lista vacía desactiva los retiros. Cambiar esa lista es una acción propia y queda registrada; cuando el usuario que la cambia tiene un segundo factor activado, el cambio pide además una verificación reforzada en ese instante. Esa verificación se apoya en un factor que ya existe y no puede interrogar a una cuenta que no lo tiene: la lista siempre actúa, la verificación la enciende el comercio. El equipo de operaciones también puede detener todas las transferencias salientes o congelar un par concreto de activo y red mientras se investiga un incidente.

Estos controles son independientes de la conciliación del libro mayor. Paymos registra por separado la obligación con el comercio y la transacción en cadena, de modo que un resultado operativo de firma no pueda redefinir en silencio el saldo que se le debe al comercio.

¿En qué se diferencian la liquidación y las devoluciones?

La liquidación custodial puede crear un solo saldo por activo. Así el comercio no acaba con una colección de billeteras específicas por red. En Paymos, los pagos recibidos en el mismo activo suman al mismo saldo de ese activo. El token aceptado sigue siendo el token de liquidación; no hay conversión forzada a fiat, BTC ni ETH. En el retiro solo aparecen las rutas habilitadas para ese activo.

Las devoluciones son transacciones nuevas en cadena en los dos modelos de custodia. Un pago confirmado no se puede revertir con un contracargo de tarjeta. Un proveedor custodial puede ofrecer rutas de salida distintas, así que conviene comprobar el contrato exacto en lugar de dar por hecho que un saldo puede pagarle directamente a un cliente.

Los retiros de Paymos van únicamente a una dirección de la lista blanca que controla el comercio. Quién entra en esa lista lo decide el comercio: si añade la dirección verificada del cliente, la devolución sale del saldo de Paymos como un único retiro. Si su política prefiere dos pasos, retira primero a su propia dirección de tesorería y envía la devolución desde ahí. El negocio sigue necesitando una política de devoluciones, un registro de aprobación y la referencia de la transacción saliente. Lee la guía de contracargos y devoluciones en cripto antes de diseñar ese flujo.

¿Qué preguntas de seguridad revelan el modelo real?

Las etiquetas del proveedor son demasiado amplias para una diligencia seria. Un comercio debería trazar todo el camino de firma y de recuperación:

1. ¿Quién puede autorizar una transacción saliente?
2. ¿Cuántas aprobaciones o participantes de firma independientes hacen falta?
3. ¿Puede un solo servidor, operador o credencial mover fondos por su cuenta?
4. ¿Qué destinos se permiten y cómo se cambian?
5. ¿Qué pasa cuando un firmante o un proveedor de red no está disponible?
6. ¿Cómo se concilian los saldos con los registros de facturas y de retiros?
7. ¿Se pueden reenviar las entregas de webhook fallidas?

Estas preguntas convierten «custodial» y «no custodial» en controles comprobables. Además separan la arquitectura de claves de los permisos de la cuenta. Un proceso de doble aprobación en el panel es útil, pero no es lo mismo que repartir la potestad criptográfica de firma.

¿Qué carga operativa debería valorar el comercio?

La comisión anunciada más barata puede ser el modelo operativo más caro. Para el enrutamiento no custodial, incluye la infraestructura de firma, las copias de seguridad protegidas, la carga de gas, la vigilancia, la contabilidad, la respuesta a incidentes y la dedicación de ingeniería para cada red admitida. Para la custodia, incluye la comisión del proveedor, el coste de red del retiro, la dependencia del servicio y los controles internos necesarios para autorizar los pagos salientes.

Paymos cobra por factura liquidada. El precio estándar es del 1,0 % y el de Enterprise, del 0,3 % bajo solicitud. No hay comisión de alta, ni cuota mensual de plataforma, ni reserva. Paymos no cobra comisión de procesamiento en el retiro, aunque la ruta elegida puede incluir una comisión de red declarada, que se cobra por debajo de lo que cuesta operar ese envío. Estos datos describen la parte comercial; la decisión de custodia sigue dependiendo de quién opera la firma y las operaciones de red.

¿Qué modelo de custodia encaja con tu negocio?

Elige el enrutamiento no custodial cuando la firma propia sea obligatoria. El modelo encaja con equipos que ya operan una tesorería en producción y pueden hacerse cargo de claves, gas, vigilancia de cadenas, conciliación y recuperación en cada red activa.

Elige la custodia gestionada cuando pese más la operativa que la firma propia. Un saldo por activo, retiros controlados y operaciones de red a cargo del proveedor pueden reducir más riesgo que el control directo de las claves. Paymos combina ese modelo con infraestructura de firma aislada, direcciones de retiro en lista blanca, autenticación reforzada al cambiar esa lista en las cuentas con segundo factor activado, y congelaciones de salida globales o por par de activo y red.

La decisión final debería quedar documentada como un mapa de responsabilidades. Anota quién detecta el pago, quién decide la finalidad, quién custodia las claves, quién aprueba los retiros, quién paga cada coste de red y quién restablece el servicio tras un fallo. Ese mapa es más útil que cualquiera de las dos etiquetas de custodia por separado.

Usa el marco de comparación de pasarelas de pagos cripto para llevar las mismas preguntas de responsabilidad y de coste total a todos los proveedores de tu lista.