Coinbase paga 3,25 M€ al Banco Central de Irlanda por fallos en la custodia del dinero de clientes

Su entidad de dinero electrónico en Irlanda, que da servicios en euros a los clientes de la UE, acepta la multa por cómo calculaba y guardaba los fondos en sus cuentas de salvaguarda. Coinbase enumera cinco problemas históricos, entre ellos depósitos mezclados con cuentas de otras filiales (durante la crisis de Silvergate y tras el Brexit) y un error de código que dejó la cuenta con un 0,54 % menos de lo debido de media entre 2023 y el primer semestre de 2024. Dice que lo comunicó ella misma en enero de 2024 y que ningún cliente perdió dinero ni acceso. Como corrección, añadió una garantía de 25 M€ y nombró un responsable de salvaguarda. También confirma que su sede europea está ahora en Luxemburgo.

Coinbase Ireland Limited (CBIE) ha cooperado con el Banco Central de Irlanda (CBI) para llegar a un acuerdo sobre sus prácticas históricas de protección de datos, incluyendo la externalización de ciertas operaciones de protección. Hemos abordado por completo las preocupaciones que motivaron este acuerdo y no hubo ningún impacto en los clientes: ningún cliente sufrió pérdidas financieras ni se vio impedido de acceder a sus fondos como consecuencia de estas prácticas. En virtud del acuerdo, CBIE pagará una multa de 3,25 millones de euros.

El Banco Central de Irlanda (CBI) anunció un acuerdo con CBIE, nuestra entidad irlandesa de dinero electrónico (e-money), que presta servicios en moneda fiduciaria a clientes europeos. Este acuerdo resuelve una investigación sobre cómo CBIE calculaba y gestionaba los fondos en sus cuentas de salvaguarda. CBIE informó voluntariamente al CBI sobre muchos de los puntos descritos en el acuerdo en enero de 2024 y desde entonces los ha subsanado por completo. 

La protección de datos es una responsabilidad fundamental de nuestra empresa. Si bien estos incidentes no ocasionaron pérdidas a nuestros clientes ni limitaron su acceso a los fondos, desde entonces hemos reforzado nuestros procesos de protección, añadido controles técnicos adicionales y contratado expertos más para garantizar el cumplimiento de nuestras obligaciones regulatorias.

Programa de protección de Coinbase

Como institución de dinero electrónico autorizada, CBIE debe mantener los fondos de los clientes en cuentas de salvaguarda designadas, separadas de los fondos que se mantienen para los clientes de Coinbase en otras jurisdicciones o de los fondos corporativos de Coinbase.  

La investigación de la CBI se centró en problemas históricos relacionados con los procesos de salvaguardia de CBIE, incluyendo discrepancias en los datos técnicos que afectaron nuestro cálculo de salvaguardia, el uso de cuentas bancarias ajenas a CBIE para recibir depósitos de clientes antes de transferir esos fondos a las cuentas de salvaguardia de CBIE, y la forma en que se subcontrataron ciertos procesos de salvaguardia. Estos problemas históricos se dividieron en cinco áreas, todas las cuales han sido resueltas por completo:

• Acuerdos de depósito durante la crisis bancaria estadounidense de 2023. Antes de la crisis, los clientes de CBIE realizaban depósitos en dólares estadounidenses en la cuenta de CBIE en Silvergate Bank. Cuando Silvergate estuvo en riesgo de quiebra, CBIE ordenó a 30 clientes que depositaran sus fondos en una cuenta FBO de Coinbase, Inc. en otro banco estadounidense para mantener el acceso a los servicios bancarios y proteger sus depósitos ante una posible quiebra bancaria. Esto implicó que los fondos de los clientes de CBIE se mantuvieran junto con los fondos de clientes de otra entidad de Coinbase, en contra de los requisitos de salvaguarda. Si bien nuestro proceso diario de reequilibrio de tesorería transfería esos fondos a una cuenta de salvaguarda de CBIE diariamente, esto no impidió la mezcla inicial de fondos.
• Depósitos tras la migración posterior al Brexit. Cuando el Brexit nos obligó a migrar a los clientes del EEE que anteriormente eran atendidos por la filial británica de Coinbase a CBIE, les proporcionamos nuevos datos bancarios y les indicamos que utilizaran la cuenta de CBIE para futuros depósitos. En lugar de enviar los fondos a esta nueva cuenta, algunos de estos clientes continuaron utilizando sus cuentas de depósito anteriores en el Reino Unido. Posteriormente, Coinbase implementó bloqueos a nivel de sistema para rechazar más depósitos mal dirigidos. Si bien nuestro proceso diario de reequilibrio de tesorería transfirió esos fondos a una cuenta de salvaguarda de CBIE diariamente, esto no impidió la mezcla inicial de fondos con los depósitos de clientes del Reino Unido. 
• Retiros de clientes que no son de CBIE. Por motivos de liquidez, algunos retiros en euros de clientes de otras entidades de Coinbase con sede en EE. UU. o el Reino Unido se pagaron con la cuenta de salvaguarda de CBIE. Si bien nuestro proceso de reequilibrio de tesorería transfería fondos diariamente a la cuenta de salvaguarda de CBIE para cubrir completamente el monto que debía mantener para sus clientes, esta práctica no se ajustaba a los requisitos regulatorios.  
• Errores técnicos en los cálculos diarios de protección. CBIE utilizaba un panel de control técnico para calcular cuánto debía mantener diariamente en sus cuentas de protección. Debido a errores de codificación involuntarios en dicho panel, la cuenta de protección de CBIE presentaba un déficit promedio de aproximadamente el 0,54 % de su obligación total de protección en 2023 y el primer semestre de 2024. Este error se corrigió a los pocos días de su detección en 2024, y desde entonces CBIE ha mejorado sus controles técnicos.  
• Mantenemos a CBI informada sobre los cambios en nuestras prácticas de protección. Las prácticas de protección de CBIE evolucionaron tras solicitar su licencia EMI, pero no notificó a CBI sobre todos los cambios. Desde entonces, hemos reforzado nuestros procesos de notificación para garantizar que los cambios en estas prácticas se comuniquen puntualmente a CBI.

Compromiso de Coinbase con el cumplimiento normativo

Ningún cliente sufrió pérdidas económicas a raíz de estos incidentes, ni tampoco se vio impedido de acceder a sus fondos.   CBIE se toma muy en serio sus responsabilidades de protección y ha aceptado este acuerdo. En los últimos cinco años, CBIE ha implementado una serie de mejoras en sus prácticas de subcontratación y protección. CBIE identificó varios de estos problemas y los comunicó a la CBI en enero de 2024. La gran mayoría de los problemas subyacentes de control se resolvieron ese mismo año. Hemos resuelto por completo estos problemas históricos reforzando nuestros controles técnicos de protección y rediseñando la forma en que calculamos nuestras obligaciones de protección para facilitar la detección de errores en los datos. 

Desde enero de 2025, el nuevo proceso de protección de CBIE ha sido examinado en dos validaciones independientes, sin que se hayan detectado problemas pendientes. CBIE también ha introducido una fianza de garantía de 25 millones de euros como mecanismo de protección adicional y ha nombrado a un responsable de protección antes de que la CBI introdujera un cargo equivalente en todo el sector a principios de este año. 

Desde entonces, Coinbase ha trasladado su sede europea a Luxemburgo. Todos los clientes de Coinbase del EEE seguirán recibiendo los servicios sin interrupción.

CBIE reconoce la importancia de la protección y se compromete a mantener sólidos controles de seguridad y a prevenir que se repitan problemas técnicos similares. Agradecemos la colaboración de CBI durante todo este proceso y mantenemos nuestro compromiso de trabajar de forma constructiva con los organismos reguladores en todas las jurisdicciones en las que operamos.