Los hackeos cripto históricos (Mt. Gox, Coincheck, Poly Network) no solo drenaron fondos: dejaron miles de víctimas con obligaciones fiscales en España que casi nadie entiende. En 2024 la AEAT vigila más que nunca el origen de los fondos, pero no existe un criterio claro sobre cómo declarar cripto recuperada tras un hackeo. Si te afectó algo así, conserva documentación y asume que la trazabilidad es lo que te salvará.
Lo que los números cuentan (y lo que no)
Mt. Gox. Coincheck. Poly Network. Bitfinex. Son nombres que suenan a historia antigua pero cuyas ondas fiscales todavía llegan a las declaraciones de la renta de 2024. Y aquí va mi primera opinión incómoda: el sector cripto sigue hablando de estos ataques como si fueran anécdotas técnicas, cuando en realidad son lecciones fiscales que casi nadie ha digerido.
Según Chainalysis, en sus informes anuales de criptocrimen, los fondos robados en ataques a protocolos DeFi y exchanges concentran una parte significativa del total sustraído cada año, aunque las cifras fluctúan mucho entre ejercicios. ¿Significa eso que el problema empeora? No exactamente. Significa que el dinero robado sigue moviéndose, y cuando se mueve, alguien tiene que declararlo en algún sitio.
Piensa en esto un momento. Si mañana recuperas parcialmente fondos robados en un exchange hace años, ¿tributas por ello? ¿Cuándo? ¿Cómo lo justificas ante Hacienda? Respuesta corta: la normativa española no tiene una respuesta específica para ese escenario. Y esa laguna me parece uno de los agujeros más fascinantes (y preocupantes) del sistema fiscal actual.
La regla que casi nadie aplica bien: mover cripto no tributa
Vamos a lo básico, porque sigo viendo confusión brutal sobre esto.
El hecho imponible en criptomonedas es la permuta o la venta. Es decir, cambiar cripto por euros, o cambiar una cripto por otra. Punto. Mover monedas entre wallets que tú controlas no genera ningún evento fiscal. No estás vendiendo nada. Estás moviendo tus cosas de un cajón a otro.
¿Por qué insisto con esto? Porque tras los grandes hackeos, muchos usuarios trasladaron fondos de un exchange comprometido a una wallet fría y se quedaron tranquilos. Y está bien que se quedaran tranquilos a nivel fiscal, porque efectivamente no había nada que declarar. El problema llegó después: cuando quisieron vender esos fondos años más tarde, sin registros claros del origen ni del periplo. Ahí empezaron los problemas.
Mover cripto entre tus propias wallets no genera tributo. Lo que sí tributa es vender o permutar. Pero la trazabilidad de esos movimientos es lo que después te permite justificar el valor de adquisición y calcular bien la ganancia.
El Modelo 721 y el verdadero problema del reporting
Aquí llega uno de los puntos más prácticos. El Modelo 721 es obligatorio si a 31 de diciembre tienes más de 50.000 euros en criptomonedas custodiadas en exchanges extranjeros. No es un impuesto. Es una declaración informativa. Y su incumplimiento puede acarrear sanciones que, según la experiencia del sector, resultan notablemente más caras que el tiempo que te habría costado cumplimentarlo.
¿Y qué tiene que ver esto con los hackeos? Mucho. Tras cualquier ataque relevante, los exchanges afectados suelen congelar retiradas, mover fondos, exigir verificaciones adicionales. Y en ese caos, las posiciones del 31 de diciembre se vuelven un rompecabezas. Si operaste con plataformas extranjeras afectadas por incidentes de seguridad, conviene revisar con calma si estabas obligado a presentar el 721 y si los saldos que declaraste reflejan la realidad.
Esta es mi opinión: la mayoría de los pequeños inversores no presenta el 721 no por rebeldía, sino porque ni sabe que existe. El problema es que la AEAT no lo ve así.
Cómo los exchanges han cambiado sus reglas tras los sustos
Después de casos como Poly Network, donde se sustrajeron cantidades enormes de activos, muchas plataformas europeas endurecieron los protocolos de prueba de origen de fondos (SoF) para depósitos elevados. Es decir: si llegas con una cantidad importante de cripto, te van a preguntar de dónde viene. Y si la respuesta no está documentada, te pueden bloquear la cuenta.
¿Es esto excesivo? Para mí, no. Es la consecuencia lógica de años de ataques sin trazabilidad suficiente. Los exchanges se han convertido en la primera línea de defensa antifraude, y eso, aunque incomode al usuario medio, tiene sentido.
En España, además, la Ley de Prevención del Blanqueo de Capitales ya obliga a los proveedores de servicios de activos virtuales a identificarte y monitorizar operaciones sospechosas. Esa capa de compliance es la que muchas víctimas de hackeos descubren de golpe cuando intentan mover fondos recuperados años después.
El papel del peritaje cuando el hackeo ya pasó
Cuando los fondos ya se han ido, el trabajo técnico de trazabilidad on-chain es lo único que puede respaldar tu posición ante Hacienda o ante un juzgado. Es un campo muy especializado y, sinceramente, poco conocido por el gran público. Se trata de reconstruir el recorrido de unas monedas por la cadena de bloques para documentar qué pasó, cuándo y qué se puede demostrar.
Aquí encaja de forma natural el trabajo de peritajes forenses y asesoría fiscal especializada. Firmas como Solcrip, centradas en trazabilidad, peritajes por estafas y compliance cripto, cubren ese hueco que ni los exchanges ni los asesores tradicionales suelen tocar. No es una solución mágica, pero tener un informe pericial serio puede marcar la diferencia cuando tienes que justificar una pérdida patrimonial.
Las pérdidas patrimoniales se compensan con ganancias del mismo ejercicio y de los cuatro siguientes. Sin documentación sólida, esa compensación es papel mojado.
Las pérdidas por hackeo: lo que sí se puede hacer
Una de las preguntas más repetidas en despachos: "¿Puedo desgravar lo que me robaron?". Respuesta honesta: depende, y probablemente no como te imaginas.
La normativa permite compensar pérdidas patrimoniales con ganancias del mismo ejercicio y de los cuatro siguientes. Pero para que esa pérdida sea reconocible, tienes que documentarla: fecha del evento, importe, valoración en el momento del siniestro, comunicaciones con el exchange o plataforma, denuncias si corresponde, y peritaje técnico si es posible. Sin ese paquete, Hacienda puede no admitirla. Y ojo: no hay un criterio fiscal único publicado para todos los supuestos. Cada caso es distinto, y la prudencia aconseja consultar con un asesor fiscal especializado antes de meter nada raro en la declaración.
Predicciones para 2025-2027 (y me mojo)
Aquí es donde reconozco abiertamente que puedo equivocarme. Mucho. Pero si algo he aprendido siguiendo la intersección de cripto, fiscalidad y regulación en España, es que la dirección general es clara aunque los tiempos sorprendan.
Primera predicción, arriesgada: veremos más presión informativa cruzada entre exchanges y AEAT. No hablo de un impuesto nuevo, sino de más mecanismos de reporte automático sobre operaciones. España ya transpuso la directiva europea conocida como DAC8, que amplía el intercambio de información entre Estados miembros en materia de criptoactivos. Mi apuesta es que en los próximos ejercicios aparecerán requerimientos más frecuentes a usuarios con operativa internacional. Consecuencia práctica: quien no haya ordenado su historial va a pasarlo mal.
Segunda predicción: la fiscalidad de las criptos recuperadas seguirá siendo un enigma. Me cuesta creer que la AEAT publique un criterio claro y detallado en los próximos dos años sobre cómo tributar fondos devueltos tras un hackeo. Lo más probable es que se resuelva caso por caso, lo cual frustra pero también abre espacio al asesoramiento personalizado. Aquí no puedo darte una regla fija. Sería irresponsable por mi parte.
Tercera predicción, más conservadora: el peritaje técnico se profesionalizará. La trazabilidad on-chain dejará de ser un servicio de nicho para convertirse en algo que cualquier víctima de fraude o hackeo necesitará si quiere defender su situación fiscal. Parece lógico, aunque nadie sabe a qué ritmo ocurrirá.
Y una predicción que lanzo sin red: la fiscalidad de DeFi seguirá en zona gris durante años. No hay criterio fiscal claro de la AEAT para operaciones DeFi complejas, y no espero que lo haya a corto plazo. Si operas en protocolos de lending, staking o yield farming con estructuras enrevesadas, la única recomendación sensata es consultar la trazabilidad caso por caso. Lo dice la propia lógica del sistema: es demasiado nuevo, demasiado cambiante, demasiado transfronterizo.
Un usuario con staking en una plataforma descentralizada recibe recompensas periódicas. Esos rewards tributan como ganancia patrimonial en el momento de recibirlos, valorados a precio de mercado. Pero si además los reinvierte en otro protocolo, ¿cómo se calcula la base? Depende del caso. Y ahí no hay respuestas cerradas.
Lo que los hacks enseñan de verdad
Hay una lección que se repite en todos los grandes incidentes y que no siempre se extrae: la seguridad técnica y la claridad fiscal son dos caras de la misma moneda. Cuando Mt. Gox colapsó, el problema inmediato fue el dinero desaparecido. El problema a largo plazo fue la imposibilidad de reconstruir qué era de quién y a qué precio.
Eso sigue pasando hoy. Cada hackeo genera una estela de obligaciones fiscales mal entendidas, plazos perdidos y posiciones que no se pueden justificar. Y muchos afectados ni siquiera lo saben hasta que Hacienda les pregunta.
¿Qué puedes hacer tú, sin ser experto? Tres cosas simples. Guarda todo: capturas, movimientos, correos del exchange, mensajes del equipo del protocolo. Documenta las fechas con obsesión. Y si algo te ha pasado, no esperes a la declaración para buscar ayuda profesional.
Porque el siguiente gran hackeo no será el último. Y cuando ocurra, la pregunta ya no será cuánto se perdió, sino cuánto de eso se pudo justificar fiscalmente. ¿Tienes tú esa respuesta?
