¿Es seguro Kraken? Lo que muestra realmente su historial

El historial: operando desde 2013, sin brechas de fondos de clientes

Kraken fue fundado en 2011 por Jesse Powell, Thanh Luu y Michael Gronager, y su origen es una historia sobre seguridad. Powell había viajado a Tokio para ayudar a Mt. Gox a recuperarse de un hackeo, vio lo mal gestionada que estaba la plataforma y decidió que el sector necesitaba un exchange construido correctamente. Los dos primeros años fueron de desarrollo, no de negocio: el exchange abrió para operar en septiembre de 2013, con pares de Bitcoin, Litecoin y euro. Ha funcionado desde entonces, atravesando el colapso de Mt. Gox y las quiebras de 2022 que arrastraron a Celsius, Voyager, BlockFi y FTX.

La afirmación de que Kraken nunca ha sido hackeado está cerca de ser cierta, pero no lo es tal como se formula, así que conviene precisarla. Ninguna brecha documentada en los sistemas de Kraken ha resultado en el robo de fondos de los saldos de clientes. Los sistemas de Kraken han sido explotados una vez, en junio de 2024, cuando salieron de la empresa unos $3 millones, un caso que se trata más abajo. En cuanto a los retiros, Kraken nunca los ha suspendido por no poder cubrir las solicitudes de reembolso, que es el fallo que realmente arruina a la gente. Sí ha tenido cortes e interrupciones por mantenimiento durante las cuales los retiros no estaban disponibles, en particular una actualización de la plataforma en enero de 2018 prevista para dos horas que se extendió a casi 48.

La matriz es Payward, Inc., de capital privado y con sede en San Francisco, dirigida por los co-CEO Arjun Sethi y Dave Ripley, con Powell como presidente desde que dejó el cargo de CEO en 2023. Payward presentó de forma confidencial una solicitud para cotizar en Estados Unidos en noviembre de 2025 y puso esos planes en pausa en marzo de 2026. Hasta que salga a bolsa no publica estados financieros auditados, una carencia a la que se vuelve más abajo.

Quién regula Kraken, jurisdicción por jurisdicción

Kraken no es una sola empresa con una sola licencia, sino un grupo de entidades, cada una autorizada para algo concreto, y esas diferencias determinan frente a qué está usted protegido. La tabla procede de la propia información de licencias de Kraken, de agosto de 2026.

Para los usuarios de la UE y el EEE, la primera fila es la más relevante. Payward Europe Solutions Limited fue autorizada como proveedor de servicios de criptoactivos bajo MiCA por el Banco Central de Irlanda el 25 de junio de 2025, la primera autorización MiCA que concedió Irlanda. La licencia tiene pasaporte en todo el EEE y conlleva obligaciones de capital, custodia, gobernanza y segregación de activos de clientes. No conlleva un sistema de compensación.

En el Reino Unido, conviene leer con cuidado el texto del registro. El registro de Payward Limited ante la FCA se realiza bajo la normativa de blanqueo de capitales, de modo que la FCA supervisa los controles antiblanqueo de Kraken. Eso no convierte al negocio de criptomonedas en una entidad autorizada por la FCA como lo sería una firma de inversión, ni pone sus criptomonedas bajo el Financial Services Compensation Scheme (FSCS). El propio Kraken lo reconoce: el dinero fiduciario mantenido como dinero electrónico se salvaguarda en cuentas de clientes separadas, pero no está cubierto por el FSCS.

En Estados Unidos las actividades se reparten entre una empresa de servicios monetarios registrada ante FinCEN para el mercado al contado, un futures commission merchant registrado ante la CFTC para derivados, un broker-dealer para valores, y una special purpose depository institution de Wyoming. La condición de miembro de la SIPC en el lado del broker-dealer no se extiende a las criptomonedas al contado.

La prueba de reservas: qué demuestra y qué no

Una firma contable independiente toma una fotografía de todos los saldos de clientes en los activos objeto de revisión, de forma anonimizada, y los combina mediante hash en un árbol de Merkle, uniendo todos los saldos en una única huella criptográfica, la raíz de Merkle, sin exponer las posiciones individuales. Por su parte, Kraken demuestra el control de las direcciones on-chain que contienen los activos correspondientes firmando mensajes con las claves privadas. Si el total on-chain iguala o supera el total de clientes, las reservas estaban totalmente respaldadas en ese instante.

La parte que le importa a usted es la autoverificación. Kraken le da un ID de registro y un nonce para que compruebe que su propio saldo estaba en el árbol contabilizado. Conviene ser preciso sobre lo que eso le garantiza realmente. La autoverificación mediante árbol de Merkle no es rara, Binance y otros grandes exchanges ofrecen una versión similar, y una cuenta omitida solo puede detectarla el titular de esa cuenta, y solo si realmente hace la comprobación, algo que casi nadie hace. Por tanto, disuade de excluir cuentas grandes en silencio, pero no demuestra que la lista de pasivos esté completa. La verdadera diferencia de Kraken está en quién realiza la revisión: una firma contable independiente bajo normas de procedimientos acordados, mientras que Binance pasó a la autocertificación.

Ahora las limitaciones, la mayoría reconocidas por el propio Kraken. Es una fotografía puntual, no una garantía continua. Cubre una lista definida de activos, y en la revisión del 30 de junio de 2026 esa lista era Bitcoin, Ether, Solana, XRP, Cardano, USDC, Tether y USDG, en las modalidades spot, staking, margen y garantías de futuros, no todo lo que hay en la plataforma. Kraken declara que el procedimiento no puede demostrar la posesión exclusiva de las claves privadas, ni puede identificar cargas ocultas ni probar que no se pidieron fondos prestados para pasar la revisión. La última fotografía disponible en agosto de 2026 estaba fechada el 30 de junio de 2026.

Por encima de todo, una prueba de reservas no es una auditoría. Una auditoría examina toda la posición de una empresa: pasivos, préstamos, operaciones con partes vinculadas, si puede hacer frente a sus obligaciones. Una prueba de reservas compara los pasivos de clientes incluidos en el alcance frente a los activos on-chain en un único momento. No demuestra que la lista de pasivos de clientes de la que partió estuviera completa, y no cubre ninguna de las demás obligaciones de Kraken, como préstamos corporativos o activos ya pignorados en otro sitio.

Dónde están sus monedas, y la cuestión del seguro

Kraken mantiene las criptomonedas de sus clientes en una combinación de almacenamiento en frío, es decir, claves generadas y guardadas sin conexión, y carteras calientes para los retiros del día a día. Describe una infraestructura con jaulas seguras bajo vigilancia 24 horas en ubicaciones no reveladas, en las que ningún empleado puede acceder solo a los sistemas físicos, y un programa de seguridad certificado según ISO/IEC 27001 que ha pasado un examen SOC 2. Kraken no publica la proporción exacta entre almacenamiento frío y caliente, y la cifra de alrededor del 95% que circula en webs de reseñas procede de terceros.

Después está el seguro, un punto muy mal entendido. Los propios documentos legales de Kraken declaran que los activos digitales y las cuentas de Kraken no están cubiertos por ningún seguro contra pérdidas, y no están sujetos a la protección de la Federal Deposit Insurance Corporation ni de la Securities Investor Protection Corporation en Estados Unidos, ni a la de ningún organismo comparable en ningún otro sitio. Su centro de ayuda es más directo: los exchanges no reúnen los requisitos para programas de seguro de depósitos porque no son entidades de ahorro.

Hay una excepción limitada: el dinero fiduciario mantenido a través de las entidades de dinero electrónico de Kraken se salvaguarda en cuentas de clientes segregadas, separadas de los fondos propios de la empresa en caso de quiebra. La salvaguarda es una protección real, pero no un sistema de compensación, y Kraken declara que el dinero electrónico en el Reino Unido no está cubierto por el FSCS. Así que aquí no hay una garantía de tipo bancario, ni la hay en ningún otro lugar del mundo cripto. Lo que se obtiene es un custodio con licencia, obligaciones de segregación y un historial limpio y largo, que es mejor que una plataforma offshore sin licencia, pero no es lo mismo que dinero asegurado.

Los ajustes que importan más que la propia seguridad de Kraken

Casi todas las pérdidas de criptomonedas de particulares ocurren a nivel de cuenta, no a nivel del exchange: páginas de phishing, SIM swapping, malware, contraseñas reutilizadas, un falso soporte técnico convincente en Telegram. Los controles de Kraken son tan buenos como los que usted active, y por defecto casi no usa ninguno.

Si solo activa dos medidas, que sean una passkey para iniciar sesión y una lista blanca de direcciones protegida por el Global Settings Lock.

• 2FA de inicio de sesión con passkey o llave de seguridad física. Ambas resisten el phishing de una forma que los códigos de aplicaciones autenticadoras no logran, y el propio Kraken recomienda sustituir el 2FA por SMS, que es justo lo que burla un SIM swap.
• Capas de 2FA separadas para retiros, operativa y acceso por API, de modo que una sesión secuestrada no pueda mover fondos sin una segunda verificación.
• Una Master Key, una credencial de respaldo que protege frente a restablecimientos de contraseña. Kraken recomienda configurarla antes de activar el Global Settings Lock.
• El Global Settings Lock, que bloquea la configuración y las direcciones de retiro durante un tiempo determinado, de modo que un atacante con su contraseña no pueda añadir una dirección nueva. El soporte de Kraken no puede acelerar su desactivación, y esa es precisamente la idea.
• Lista blanca de direcciones de retiro, para que los fondos solo se envíen a direcciones aprobadas de antemano, con confirmación por correo electrónico para las nuevas.
• Claves de API limitadas a los permisos mínimos que necesita la herramienta, con los permisos de retiro desactivados salvo que los necesite.

Los incidentes y las sanciones, en su justa medida

Una plataforma que opera desde 2013 en un entorno regulatorio cambiante tiene un historial. Fingir lo contrario es lo que hace que las páginas de afiliados pierdan credibilidad, así que aquí está la lista completa y real. Dos de las entradas siguientes requieren una lectura atenta, y conviene situarlas antes.

El caso de junio de 2024 que aparece más abajo puede leerse de dos formas. Kraken afirma que los saldos de clientes nunca estuvieron en riesgo y que el almacenamiento en frío nunca se tocó, y según su versión el dinero salió de su propia tesorería y volvió a ella. Detectar un fallo crítico en minutos y corregirlo en menos de una hora es lo que se espera de una operación de seguridad madura. Al mismo tiempo, un error que permitió inflar un saldo llegó a producción, y la parte tranquilizadora de ese relato es la propia descripción que hace Kraken de su propio incidente, que ninguna parte externa ha verificado.

Lo que no aparece en la lista es la categoría que realmente arruina a la gente: una insolvencia, una suspensión de retiros por falta de fondos, o un robo de los activos de clientes. Kraken no ha tenido ninguno de estos casos. Los demás asuntos regulatorios son fallos de cumplimiento y de registro, un problema de otro orden. La entrada australiana del final es la excepción y merece leerse como tal, porque a clientes particulares reales se les vendió un producto de crédito que un tribunal consideró distribuido de forma ilegal, y perdieron dinero real utilizándolo.

• Septiembre de 2021, CFTC: una sanción de $1.25 millones por ofrecer operaciones apalancadas de materias primas a clientes minoristas de EE. UU. que no eran participantes de contrato elegibles, sin estar registrada como futures commission merchant.
• Noviembre de 2022, OFAC: un acuerdo de $362,158.70 más $100,000 destinados a reforzar los controles de cumplimiento en materia de sanciones, que resolvió 826 presuntas infracciones de las Iranian Transactions and Sanctions Regulations. Se trataba de operaciones por valor de unos $1.68 millones procesadas para usuarios que parecían estar en Irán, porque Kraken no había implementado a tiempo el bloqueo por geolocalización e IP. Kraken lo comunicó de forma voluntaria y la OFAC calificó las infracciones como no graves.
• Febrero de 2023, SEC: Kraken pagó $30 millones y cerró su programa de staking como servicio en Estados Unidos, que según la SEC era una oferta de valores no registrada. Se resolvió sin admitir ni negar los hechos. El caso afectaba únicamente a clientes estadounidenses, y el staking europeo nunca formó parte de él, así que si hace staking en Kraken en la UE esta actuación no afectó a su producto. Los clientes estadounidenses perdieron el acceso a un producto, no a sus activos, y Kraken relanzó el staking on-chain para clientes de EE. UU. en enero de 2025 en la mayoría de los estados.
• Noviembre de 2023, SEC: una demanda que alegaba que Kraken operaba como exchange, bróker, dealer y agencia de compensación sin registrar, desestimada con prejuicio en marzo de 2025, sin sanción ni admisión de hechos. La SEC señaló que el archivo reflejaba su cambio general de enfoque hacia las criptomonedas y no una valoración del fondo del asunto, algo que conviene leer con honestidad y no como una vindicación.
• Junio de 2024, el incidente de CertiK: un fallo en el sistema de depósitos de Kraken permitía acreditar un saldo antes de que un depósito se liquidara por completo. Kraken afirma que identificó el fallo a los pocos minutos de un informe de bug bounty recibido el 9 de junio y lo corrigió en aproximadamente una hora, pero quien lo reportó lo había compartido con otras dos personas que retiraron cerca de $3 millones. Kraken calificó la posterior exigencia de dinero como extorsión, y los fondos se devolvieron ese mismo mes.
• Agosto y diciembre de 2024, ASIC: el único caso aquí en el que los clientes perdieron dinero. El 23 de agosto de 2024 el Tribunal Federal de Australia determinó que Bit Trade Pty Ltd, el operador australiano de Kraken, había incumplido sus obligaciones de diseño y distribución al ofrecer un producto de extensión de margen desde el 5 de octubre de 2021 sin haber emitido antes una determinación de mercado objetivo. El tribunal consideró que el producto era una línea de crédito. Según ASIC, a más de 1,100 australianos se les cobraron más de US$7 millones en comisiones e intereses por este producto y sufrieron entre todos pérdidas de negociación superiores a US$5 millones, incluido un inversor que perdió casi US$4 millones. El 12 de diciembre de 2024 el tribunal ordenó a Bit Trade pagar una sanción de A$8 millones más las costas de ASIC.

Cuentas congeladas: el riesgo que la gente subestima

La queja más habitual sobre Kraken, y sobre cualquier exchange regulado, no es el hackeo. Es una restricción repentina: retiros bloqueados, documentos solicitados, días o semanas de espera con su dinero visible en pantalla pero inaccesible. Ese es el coste directo de la regulación, y buena parte de la intervención es automática, así que también afecta a personas inocentes.

Kraken enumera sus propios motivos: un problema de seguridad detectado o actividad maliciosa dirigida contra usted, intentos de transferencia a carteras asociadas con actividad prohibida, ilegal o relacionada con estafas, un contracargo o reversión por parte de su banco o emisor de tarjeta, verificación incompleta o falta de respuesta a una solicitud de información, e infracciones de los términos. Una restricción puede desactivar los retiros de criptomonedas mientras sigue permitiendo la conversión a fiduciario y un retiro bancario, reducir los límites de financiación o retener transferencias para revisión. Kraken declara que las restricciones aplicadas por prevención de estafas no pueden levantarse antes de 90 días, probablemente el dato más útil antes de depositar.

Reduce las probabilidades manteniendo la verificación al día, respondiendo con rapidez con la documentación, financiando la cuenta desde su propio banco y no desde el de otra persona, evitando los depósitos con tarjeta que se pueden revertir, y no enviando fondos a direcciones vinculadas a servicios de apuestas, mixers o infraestructura de estafas. Nada de esto es una garantía. Si necesita acceso incondicional a su dinero en todo momento, un exchange custodio no es el lugar adecuado para tenerlo.

Conviene saber que aquí es donde la reputación pública de Kraken es más débil. En Trustpilot, el 15 de agosto de 2026, Kraken tenía una puntuación de 3.2 sobre unas 8,000 reseñas, frente al 4.0 de Coinbase sobre unas 23,000. Ambas empresas solicitan reseñas y las personas descontentas escriben más de ellas, así que hay que tratarlo como una señal aproximada y no como un veredicto. Aun así, es el dato aislado más claro que juega en contra de Kraken.

Kraken frente a Coinbase y Binance, solo en materia de seguridad

Estos tres no son equivalentes, y en materia de seguridad concretamente compensan de forma distinta. Las comisiones, la selección de monedas y la interfaz son argumentos aparte que esta sección no trata.

Donde Coinbase es realmente mejor: la transparencia financiera. Cotiza en bolsa, así que sus cuentas están auditadas y son públicas, sus mecanismos de custodia aparecen en documentos regulatorios con responsabilidad legal, y declara un límite concreto de seguro contra delitos en lugar de no asegurar nada en absoluto. La prueba de reservas es un sustituto ingenioso de las cuentas públicas, pero unas cuentas públicas auditadas son la referencia real. Aun así, conviene leer con atención la parte del seguro, porque una póliza de delitos corporativos cubre el robo a nivel de empresa, no de su cuenta, y no sirve de nada si sus propias credenciales se ven comprometidas o si el precio cae. Coinbase tampoco está libre de incidentes: en mayo de 2025 unos delincuentes sobornaron a contratistas externos de soporte para acceder a herramientas internas y sustrajeron datos de contacto e identidad de unos 69,000 clientes, y después exigieron $20 millones, algo que Coinbase se negó a pagar. No se sustrajo directamente ningún fondo ni clave privada, pero esos datos siguen circulando y alimentan llamadas de suplantación de identidad.

Donde Kraken es claramente más sólido que Binance, al menos en la UE: Binance no contaba con licencia MiCA cuando terminó el 30 de junio de 2026 el periodo transitorio para los registros nacionales existentes, y comunicó a los usuarios de la UE que restringiría sus servicios, después de retirar su solicitud griega a finales de junio y anunciar que solicitaría la licencia en Francia en su lugar. Binance es el exchange más grande del mundo por volumen y generalmente el más barato para operar, y su hackeo de la cartera caliente en 2019 se cubrió íntegramente con su propia reserva SAFU. Pero un limbo regulatorio en su jurisdicción es un tipo de riesgo distinto, y SAFU es una reserva autofinanciada que controla la propia empresa, no un contrato de seguro con una aseguradora externa.

De qué no puede protegerle ningún exchange

FTX es la razón por la que esta pregunta se hace miles de veces al mes, así que conviene nombrar lo que pasó. A FTX no la hundió un hacker. Los depósitos de clientes se desviaron a una firma de trading afiliada, sin un consejo de administración real, sin controles financieros que funcionaran, sin un auditor creíble y sin un regulador con visibilidad real de dónde estaba el dinero. Colapsó porque mentía sobre dónde estaba el dinero.

Las diferencias estructurales de Kraken son concretas: entidades supervisadas en Irlanda, el Reino Unido, Estados Unidos, Australia y otros lugares, obligaciones de segregación de activos de clientes bajo MiCA, verificaciones publicadas que puede comprobar contra su propio saldo, y ningún historial de suspensión de retiros por no poder cubrir reembolsos. Eso es exactamente lo que faltaba en FTX. Reduce considerablemente la probabilidad de ese tipo de fallo, aunque no la lleva a cero.

Todo exchange custodio conlleva riesgo de contraparte. Su saldo es una entrada en la base de datos de otra persona y un derecho sobre sus reservas, no monedas que usted controle. «Not your keys, not your coins» no es un eslogan, es la situación legal real. Una cartera física elimina al exchange de la ecuación y le entrega a cambio un riesgo distinto, porque perder la frase semilla significa perder los fondos de forma permanente.

Luego está el riesgo que empequeñece a todos los demás: el precio. Nada de lo anterior le protege de que Bitcoin caiga un 60%, o de que un token más pequeño llegue a cero. Un exchange perfectamente seguro, con licencia completa y reservas publicadas, custodiará su activo sin ningún fallo mientras este pierde la mayor parte de su valor. Las criptomonedas son un activo de alto riesgo y puede perder dinero con ellas sea cual sea la plataforma. Nada de esto es asesoramiento de inversión, y cuánto mantener, si acaso, no es una pregunta que pueda responder el análisis de un exchange.

La oferta de referidos de Kraken, en detalle

Kraken tiene un programa de referidos, y estos son sus términos tal como aparecen en las propias páginas de Kraken en agosto de 2026. La página pública de referidos muestra una recompensa de hasta $20 para usted y una cantidad equivalente para el amigo que invite, pagada en USDG, con un tope de unos $200 en total. Otras campañas regionales han anunciado cifras más altas, y los términos de referidos de Kraken confirman que los importes, topes y criterios se fijan por plan y no son fijos a nivel global.

Es fácil incumplir las condiciones sin darse cuenta. La persona invitada debe ser realmente nueva en Kraken, es decir, no haber creado nunca una cuenta antes, y ambos deben vivir en el mismo país, o vivir los dos en países elegibles del Espacio Económico Europeo. Después debe depositar dinero fiduciario desde una cuenta bancaria y completar una operación válida dentro del plazo establecido, actualmente 15 días. Las operaciones con stablecoins no cuentan, así que comprar USDT no activa la recompensa. Kraken indica que hay que contar con unos 14 días para que el bono se acredite.

Las ofertas cambian con frecuencia y las condiciones varían según el país, así que compruebe las cifras actuales en la página de referidos de Kraken antes de fiarse de ningún número, incluidos estos. Y para ser directos: un bono de $20 no es motivo para decidir dónde guardar su dinero. Un bono no compensa el riesgo.

Preguntas frecuentes