En un supermercado de California, el kiosco que vende bitcoin ocupa menos espacio que una máquina expendedora. Acepta billetes, confirma la operación en pantalla y entrega la criptomoneda en minutos. Nadie puede deshacerla. Esa combinación de rapidez, identificación mínima y una transacción irreversible es la razón por la que el Departamento de Protección Financiera e Innovación de California (DFPI) colocó a uno de los mayores operadores de esos kioscos en el centro de su expediente más caro hasta ahora.
El 4 de noviembre de 2026, el DFPI ordenó a CoinFlip pagar más de 4,8 millones de dólares a las víctimas californianas de fraude que utilizaron sus cajeros, según el comunicado de la agencia. La misma orden exige a la empresa devolver al regulador más de 350.000 dólares en comisiones excesivas cobradas ilegalmente a consumidores del estado y cesar de inmediato cualquier acto o práctica ilegal, injusto, engañoso o abusivo.
El tono del anuncio no fue técnico. «California está enfocada en asegurar que la tecnología realmente ayude a las personas, en lugar de elevar los precios o abrir las puertas al fraude. Sin protección federal del consumidor, California está dando un paso al frente para responsabilizar a las empresas que usan la tecnología para dañar a familias trabajadoras», dijo Rohit Chopra, secretario de la Agencia de Servicios Empresariales y de Consumidores del estado.
KC Mohseni, comisionado del DFPI, fue más directo sobre el precedente que la orden crea para el sector. «La orden de hoy es una victoria para los californianos y un aviso para la industria cripto de que proteger a los consumidores no es opcional. Las empresas cripto deben rendir cuentas por permitir —y lucrar con— estafas y fraudes», afirmó. Y añadió que las prácticas robustas antifraude «son un requisito para hacer negocios en California, no una sugerencia».
La dimensión del caso se entiende mejor con el tamaño de la red. CoinFlip se describe a sí misma como «la mayor red de cajeros automáticos de criptomonedas del mundo por volumen de transacciones», una definición que el propio DFPI cita en su comunicado, y opera alrededor de 500 kioscos en California. Están, según la agencia, en supermercados, gasolineras y tiendas de conveniencia: lugares de paso, con poca luz, donde alguien con prisa y un teléfono en la mano puede convertir 900 dólares en bitcoin sin que nadie le pregunte demasiado.
Qué encontró una investigación abierta en 2021
El expediente no nació de una queja aislada. El DFPI sostiene que, desde 2021, CoinFlip no identificó adecuadamente a quién usaba sus productos y servicios y tampoco detectó, previno, reportó ni mitigó actividad sospechosa en sus sistemas. El resultado, según la agencia, fue que los estafadores pudieron explotar a los usuarios de los kioscos y vaciar sus activos mientras el operador seguía procesando las operaciones.
La orden enumera cuatro incumplimientos concretos. Aceptar más de 1.000 dólares en un solo día de un cliente de kiosco. Cobrar comisiones excesivas. No entregar las divulgaciones escritas previas a la transacción que la ley exige. Y emitir recibos sin la información legalmente requerida. Para el DFPI, esas prácticas violan la Ley de Activos Financieros Digitales (DFAL), la Ley de Protección Financiera del Consumidor de California (CCFPL) y las normas federales contra el lavado de dinero.
Hay una diferencia relevante entre lo que la agencia afirma y lo que la orden prueba por sí sola. Un documento administrativo no equivale a una admisión de culpabilidad, y el comunicado no indica que CoinFlip haya reconocido los hechos. Tampoco detalla cuántas personas recibirán el reembolso ni cómo se calculó la cifra por víctima. Lo que sí queda establecido es la obligación de pagar: más de 4,8 millones para los afectados y más de 350.000 dólares al regulador.
El límite de 1.000 dólares al día y la comisión del 15%
Las reglas que la agencia aplica no son nuevas. La DFAL fue firmada por el gobernador Gavin Newsom el 13 de octubre de 2023 y creó un marco de licencias y supervisión para buena parte de la actividad cripto en el estado. Para los operadores de kioscos, el calendario fue escalonado: desde el 1 de enero de 2024 deben entregar al DFPI la lista de ubicaciones, no pueden dispensar ni aceptar más de 1.000 dólares en un día por cliente y deben emitir un recibo con información específica.
Desde el 1 de enero de 2025 se sumaron dos obligaciones que tocan directamente el modelo de negocio de un cajero cripto. La primera es entregar divulgaciones previas a la transacción. La segunda es un tope a lo que el operador puede cobrar: la mayor cantidad entre 5 dólares o el 15% del equivalente en dólares de los activos digitales involucrados en la operación. La guía oficial del DFPI sobre la DFAL lo redacta así: «los operadores de kioscos deben proporcionar divulgaciones previas a la transacción a los clientes y tienen prohibido cobrar a los clientes en cualquier transacción individual la mayor cantidad entre 5 dólares o el 15% del equivalente en dólares de los activos financieros digitales involucrados».
Ese techo del 15% explica por qué el cobro de comisiones aparece como un capítulo propio en la orden. Comprar 1.000 dólares en bitcoin en un kiosco podía costar legalmente hasta 150 dólares en cargos, un margen que ningún exchange con libro de órdenes cobra y que convierte al cajero en un producto financiero de conveniencia, no de precio. Según el DFPI, CoinFlip cobró por encima de ese límite y deberá devolver más de 350.000 dólares. Puesto en relación con los 4,8 millones de restitución, las comisiones ilegales representan cerca del 7,3% del monto total de la sanción, de acuerdo con el cálculo de este medio a partir de las cifras del comunicado.
El calendario de licencias también importa. Con la aprobación de la ley AB 1934, los operadores debían cumplir los requisitos de licencia de la DFAL a más tardar el 1 de julio de 2026. Es decir, cuando el DFPI anunció la orden, el régimen completo ya estaba en vigor y no podía describirse como una norma en discusión.
Por qué el cajero de la tienda es la puerta de entrada del fraude
Un cajero cripto tiene tres propiedades que lo hacen atractivo para un estafador: la operación es inmediata, no se puede revertir y es difícil de rastrear para quien no maneja un explorador de bloques. No existe un contracargo equivalente al de una tarjeta de crédito. Cuando la víctima entiende lo que pasó, el bitcoin ya salió del kiosco y viajó por una cadena de direcciones.
El DFPI señala además un patrón demográfico: los adultos mayores son un objetivo recurrente. La combinación de una llamada que suplanta a un banco, una instrucción para retirar efectivo y un kiosco abierto hasta tarde permite convertir una estafa telefónica en una pérdida permanente en menos de una hora. Ese mecanismo no es exclusivo de California. A principios de octubre de 2026, la OFAC sancionó a una red vinculada al Tren de Aragua que blanqueaba fondos robados mediante ataques a cajeros automáticos, un caso que muestra cómo el efectivo y los criptoactivos se conectan en la misma cadena de lavado, como se detalló en la cobertura de BlockchainReporter sobre esas sanciones.
Conviene separar lo que el expediente prueba de lo que solo sugiere. La orden documenta fallas de identificación y de monitoreo, y afirma que esas fallas permitieron que los estafadores explotaran a usuarios. No establece que cada dólar perdido por una víctima haya pasado por CoinFlip, ni cuantifica cuántas de las operaciones sospechosas llegaron a la empresa. La distinción es la misma que la agencia aplica en otros expedientes: una falla de cumplimiento es un hecho verificable; la dimensión total del daño evitable requiere datos que el comunicado no publica.
Coinme, RockItCoin, Coinhub: el patrón que California venía armando
CoinFlip no es el primer operador de kioscos que el DFPI sanciona, y el comunicado lo dice de forma explícita. La agencia recuerda que ya cerró a Hermes Bitcoin y multó a RockItCoin, Coinme y Coinhub por incumplimientos similares. El caso de Coinme es el más reciente y el más comparable: en octubre de 2026 la compañía aceptó cerrar sus kioscos cripto dentro de un acuerdo multiestatal de 2,5 millones de dólares, un episodio que este medio cubrió cuando se anunció.
Con esas cifras se pueden hacer dos comparaciones que la agencia no incluyó en su texto. La primera: los 5,15 millones de dólares que suman la restitución y las comisiones de CoinFlip equivalen a poco más del doble del acuerdo de Coinme, un 2,06 veces, según el cálculo de este medio. La segunda: repartidos entre los cerca de 500 kioscos que la empresa opera en California, los 4,8 millones de restitución implican alrededor de 9.600 dólares por punto de venta, una proporción que da una idea de la densidad del problema en una red de ese tamaño, aunque no debe leerse como una cifra de pérdida por máquina.
El contexto regulatorio más amplio también ayuda a entender el momento. En octubre, California presentó una carta de comentarios contra la propuesta de la SEC para regular criptoactivos, argumentando que el esquema federal debilitaría la supervisión estatal del fraude de inversión, un movimiento que ya fue analizado en BlockchainReporter. La orden contra CoinFlip es la misma doctrina aplicada a un caso concreto: si el estado considera que la protección federal se retira, utiliza su propia ley de activos digitales para actuar.
Lo que la orden no resuelve
Quedan preguntas abiertas que el comunicado no responde. No se sabe cuántas víctimas recibirán dinero ni en qué plazo se harán los pagos. No se indica si CoinFlip apelará la orden, si negocia una reducción o si emitirá una declaración propia; el texto del DFPI no incluye comentarios de la empresa. Tampoco se detalla el estado de su licencia bajo la DFAL ni si otros estados abrirán expedientes paralelos con las mismas conclusiones.
El siguiente punto de verificación es el registro público de acciones y órdenes del DFPI, donde debería aparecer el documento completo con el desglose de la sanción y las obligaciones específicas de cumplimiento. Ahí se podrá comprobar si la orden incluye un plan de supervisión, plazos de reporte o requisitos de auditoría que el comunicado resume pero no desarrolla. Para los usuarios de kioscos, la consecuencia práctica es más inmediata: el DFPI mantiene abierta su herramienta de seguimiento de estafas cripto y recibe denuncias de víctimas, y cualquier operación en un cajero sigue siendo, por diseño, irreversible.
Sobre el autor
Samuel es un redactor profesional especializado en criptomonedas, tecnología blockchain y análisis de mercado. Ofrece análisis detallados sobre las tendencias emergentes y los últimos avances del sector, creando contenido riguroso y atractivo que facilita la comprensión de temas complejos tanto a principiantes como a profesionales experimentados.
