Lo que Dubái publicó el 24 de julio

El aviso de la VARA nombra a la entidad, los nombres comerciales que utilizaba y tres incumplimientos, y no publica ninguna cifra para la sanción. La Virtual Assets Regulatory Authority emitió el 24 de julio de 2026 un aviso de multas contra Shelbit General Trading L.L.C, que operaba comercialmente como Shelbit y Shelbit Exchange. El supervisor expuso que se había constatado que la entidad seguía prestando servicios de criptoactivos a clientes en Dubái y desde Dubái sin disponer de una licencia válida, que daba de alta a usuarios sin las comprobaciones de conocimiento del cliente que exige la legislación emiratí, y que promocionaba sus servicios en Dubái sin autorización. En consecuencia, la VARA declaró haber adoptado medidas de ejecución, impuesto sanciones económicas y ordenado el cese inmediato de toda actividad de criptoactivos sin licencia en Dubái o desde Dubái.

La palabra que sostiene ese aviso es "seguía". No es así como un supervisor escribe sobre algo que acaba de descubrir. Es así como escribe sobre algo cuyo cese ya había ordenado y que después no cesó. El propio aviso lo dice en su primera línea: la medida sigue a la orden de cese del 2 de enero de 2025. Todo lo aprovechable de esta historia está en la distancia entre esas dos fechas.

La primera orden llevaba dieciocho meses siendo pública

Entre la orden de cesar y la multa publicada median 568 días. El 2 de enero de 2025 se dictó una orden de cese. El aviso de multas llegó el 24 de julio de 2026. Entremedias queda año y medio en el que la entidad, según el relato del propio supervisor, seguía dando de alta usuarios y anunciándose en Dubái. Reuters informó de que en los meses posteriores a aquella primera orden se procesaron cientos de millones de dólares adicionales.

Conviene precisar qué fue y qué no fue el primer aviso. Fue una declaración pública, en una dirección pública, que nombraba a una persona jurídica concreta y sus nombres comerciales. Quien comprobara el nombre Shelbit el 3 de enero de 2025 lo habría encontrado. No fue, a la vista de lo que ocurrió después, un mecanismo que retirara a la entidad del circuito de pagos. Un supervisor puede publicar; desconectar no puede.

Esa distinción es poco vistosa y es toda la lección práctica. El registro recoge lo que ha dicho el supervisor. Nunca recoge lo que ha hecho la contraparte desde entonces. Las empresas tratan ambas cosas como equivalentes de forma rutinaria, porque un nombre está en una lista o no lo está, y porque ese sí o no se automatiza con facilidad. El sí o no es real. Lo que no es real es el significado que le atribuyen la mayoría de los procesos de alta.

El registro fecha su propio retraso

La página pública de avisos de la VARA lleva las marcas temporales que demuestran el patrón, y se leen sin esfuerzo. El 5 de marzo de 2026 la autoridad publicó advertencias que en un aviso señalaban a MEXC Estonia OU y MEXC Global LTD, y en otro a Phoenixfin Pte Ltd, MEK Global Limited, Peken Global Limited y KuCoin Exchange EU GmbH. Las multas llegaron el 22 de junio de 2026 contra MX Global LTD, que opera como MEXC, y el 24 de junio de 2026 contra Peken Global Limited, que opera como KuCoin. Son 109 y 111 días desde la advertencia hasta la sanción. CoinMENA FZE fue multada el mismo día de junio que MEXC.

Tres meses es rápido según los baremos de la supervisión financiera, y nada de esto sugiere una autoridad ociosa. El argumento es más estrecho y sobrevive al elogio: incluso cuando un supervisor actúa con diligencia, existe una ventana medible en la que una entidad señalada está señalada y no le ha ocurrido nada más. En el caso de Shelbit esa ventana llegó a dieciocho meses. En los casos de junio, a un trimestre aproximado.

Por eso la pregunta que un empresario europeo debe hacerse sobre su propio proceso no es si contrasta con registros sancionadores. Lo hace casi todo el mundo. Es con qué frecuencia y contra qué. Una revisión trimestral y un ciclo sancionador de 109 días son el mismo intervalo, lo que significa que un ritmo trimestral puede perderse una escalada completa entre dos pasadas.

Lo que Reuters rastreó a través de ella

La investigación publicada el 31 de julio de 2026 describe una plataforma que funcionaba como nudo y no como destino. Reuters informó de que Shelbit, dirigida por un expatriado iraní llamado Siavash Kayvanpour, se situaba en el centro de flujos de al menos 4.000 millones de dólares movidos desde mayo de 2024, y conectaba una red ilegal de juego con más de dos mil plataformas, el banco central de Irán y otras entidades iraníes sancionadas con los mercados mundiales de criptoactivos. El banco central de Irán está bajo sanciones estadounidenses desde 2019. Una investigación anterior de Reuters precedió a las sanciones estadounidenses contra la plataforma iraní Nobitex.

La atribución es delicada aquí, y la información la trata con cuidado. Los investigadores citados valoran la operación como dirigida por la Guardia Revolucionaria, pero Reuters afirmó con claridad que no pudo determinar si la Guardia controlaba directamente Shelbit o la red de juego. Es una cuestión abierta, no una conclusión, y quien resuma esto internamente debe trasladar la reserva en lugar de redondearla al alza.

El detalle más instructivo para un empresario es la respuesta de Binance. La plataforma declaró que Shelbit nunca había tenido una cuenta con ella y que las transacciones asociadas no se marcaron como de alto riesgo, y afirmó a la vez haber investigado usuarios, congelado cuentas y comunicado sus hallazgos a las autoridades. Conviene leerlo despacio. La exposición entró por los usuarios, no por una relación comercial identificada. Una comprobación que solo pregunta si existe contrato con una entidad listada habría respondido limpiamente en cada paso.

Un nombre en una lista no es un estado del mundo

La instrucción práctica es fechar las comprobaciones y repetirlas, porque el registro que se consulta es en sí mismo un documento rezagado. Anote cuándo comprobó a una contraparte y qué fecha llevaba el aviso más reciente que vio. Si esas dos fechas distan meses, no ha verificado a una contraparte: ha verificado lo que un supervisor había publicado cuando usted miró por última vez. Para las empresas europeas la misma disciplina rige en el propio lado, donde la autorización conforme al Reglamento sobre los mercados de criptoactivos la llevan las autoridades nacionales competentes, en España la CNMV, y donde el registro responde a la misma pregunta estrecha: qué se ha decidido, no qué está ocurriendo ahora.

La segunda instrucción se desprende de la respuesta de Binance. Pregunte quiénes son las contrapartes de sus contrapartes, porque hacia allí viajó esta exposición. Una empresa puede no tener relación alguna con una entidad señalada y aun así procesar sus flujos a través de cuentas de clientes. Comprobar el nombre que figura en el contrato es el control más superficial disponible, y en este caso fue el que no devolvió nada.

Nada de esto exige herramientas nuevas ni un presupuesto de cumplimiento mayor. Exige tratar una entrada de registro como una prueba con una marca temporal, que es lo que siempre ha sido. La orden de enero de 2025 estuvo 568 días en público haciendo exactamente aquello para lo que se creó, que era informar a quien mirase. Lo que nunca hizo, ni pudo hacer, fue detener el dinero.

Leer a continuación: La stablecoin del dólar ya es un banco de EE.UU.  |  Cloudflare cobra la web a las máquinas