Registros de cumplimiento normativo filtrados vincularon los nombres reales de 291 usuarios de criptomonedas con su actividad de billeteras digitales, según informó CryptoSlate el 2 de septiembre de 2025. La brecha destruye la expectativa de anonimato que distingue al ecosistema cripto y expone un fallo estructural en la cadena de custodia de datos KYC.
La información comprometida proviene, según se informó, de registros de cumplimiento interno —el tipo de documentación que exchanges y proveedores de servicios de activos virtuales (VASPs) recopilan para cumplir con requisitos de identificación de clientes (KYC) y prevención de lavado de dinero (AML). Al cruzar esos registros con la actividad on-chain, la identidad real de cada titular quedó vinculada de forma directa a su historial de transacciones en la cadena. El número de afectados confirmados es 291, aunque la magnitud real del conjunto de datos comprometido no ha sido divulgada públicamente.
Qué reveló la filtración: 291 identidades, 0 pseudonimato
El impacto específico de este incidente radica en la naturaleza del dato expuesto: no se trata de correos electrónicos o contraseñas restablecibles, sino de la asociación permanente entre una persona física identificada y su historial financiero inmutable en blockchain. Una vez publicado ese vínculo, no existe mecanismo de remediación para el afectado. Los registros KYC típicamente incluyen nombre completo, documento de identidad, domicilio y, en muchos casos, selfies con documento —datos que en América Latina están protegidos bajo distintos marcos normativos según el país.
En Argentina, este tipo de exposición encuadra en la Ley 25.326 de Protección de Datos Personales, que obliga al responsable del archivo a notificar a la Agencia de Acceso a la Información Pública (AAIP) ante incidentes de seguridad que afecten datos sensibles o financieros. En Brasil, la Lei Geral de Proteção de Dados (LGPD, Lei nº 13.709/2018) establece un plazo de notificación a la ANPD y a los titulares afectados en “tempo razoável”. En México, la LFPDPPP y sus lineamientos de seguridad exigen al responsable del tratamiento documentar el incidente e informar al INAI cuando el riesgo patrimonial para los titulares sea significativo —y la vinculación nombre-wallet cumple ese umbral sin margen de duda.
Qué se sabe y qué falta confirmar
Lo confirmado es que los registros filtrados eran documentos de compliance, que afectaron a 291 personas identificadas, y que el mecanismo de la brecha fue el cruce de esos registros con actividad de billeteras. Lo que no ha sido confirmado públicamente incluye: el nombre del exchange o VASP que originó los registros, el vector de acceso (exfiltración externa, insider, o mala configuración de almacenamiento), el país de operación del proveedor comprometido, y si ya existe notificación formal ante alguna autoridad de protección de datos. Tampoco se ha informado si los afectados fueron notificados de forma individual.
El próximo hito crítico es la notificación regulatoria: si el VASP involucrado opera bajo jurisdicción de la LGPD o la Ley 25.326, los plazos para reportar el incidente a la autoridad de control ya están corriendo.
