Bélgica exige a los registrars de la UE las direcciones cripto de sitios ilegales

El 19 de agosto de 2026, el Departamento belga de lucha contra los ataques en línea (BAPO) emitió cinco decisiones imponiendo a cuatro oficinas de registro y a un registro la transmisión de una ficha completa sobre los operadores de sitios de streaming deportivo ilícito: identidad, IBAN, tarjetas bancarias, wallets crypto e identificadores de transacción, además de doce meses de registros de conexión. Todo bajo sello de secreto. El alcance extraterritorial de la orden sigue, en la práctica, por probar.

Bélgica rastrea a los piratas a través de los wallets crypto de los registradores

La trazabilidad de los actores crypto europeos sigue en el centro de los debates. La orden belga se inscribe en esta misma lógica, pero pasando por otro eslabón: los registradores. Las cinco decisiones derivan de una orden del Tribunal de la empresa francófona de Bruselas, convocado a finales de julio de 2026.

Cuatro solicitudes fueron dirigidas a oficinas de registro de dominios. La quinta concierne a un registro de nombres de dominio.

Tres empresas aparecen en los documentos publicados: Hosting Concepts, una sociedad vinculada a Openprovider, Hostinger y Key-Systems. Todas están establecidas en la Unión Europea, pero fuera de Bélgica.

El nombre de un cuarto registrador así como el del registro involucrado fueron ocultados. Las autoridades tampoco revelaron los nombres de dominio afectados por el procedimiento. Sin embargo, el Tribunal estimó que las solicitudes formuladas eran proporcionadas.

La información solicitada es abundante. El BAPO quiere obtener especialmente la identidad completa de los titulares de las cuentas, así como el historial de sus direcciones postales, correos electrónicos y números telefónicos.

Las autoridades también solicitan las coordenadas bancarias disponibles, incluyendo los IBAN y la identidad exacta del titular de la cuenta. Los datos vinculados a las tarjetas de pago también están afectados: BIN, últimos cuatro dígitos, banco emisor y país de emisión.

La parte más inusual se refiere a los pagos en crypto. Los registradores deben comunicar los posibles medios de pago crypto usados por sus clientes, incluyendo las direcciones de wallets, el tipo de activo involucrado y el hash de las transacciones.

Finalmente, las decisiones también reclaman información técnica detallada, incluyendo las direcciones IP, tipo de dispositivo, sistema operativo y navegador usado. Se pueden pedir hasta doce meses de registros de conexión, con datos con marcas de tiempo muy precisas.

Por qué el alcance extraterritorial no está garantizado

Las órdenes se basan en el artículo 10 del Digital Services Act, que debe regular la aplicación de una «orden de información» a un proveedor establecido en otro lugar de la Unión. El problema es que el BAPO es un servicio federal belga, mientras que los registradores afectados no lo son todos.

Por lo tanto, nada impide que un registrador neerlandés, lituano o alemán impugne la transmisión en nombre de su derecho nacional o del RGPD, o incluso lleve el caso ante el Tribunal de Justicia de la Unión Europea. 

A esta primera debilidad se añade el secreto impuesto por la orden de silencio: el BAPO invoca la excepción vinculada a las investigaciones penales para eximirse del deber de información previsto por el DSA. Concretamente, un operador puede ver su identidad, historial bancario y registros transmitidos a los titulares de derechos sin ser notificado.

Para un operador que haya facturado su servicio en stablecoins o bitcoin, esta orden transforma al registrador en la puerta de entrada hacia su identificación on-chain. Un wallet no es en sí más que una dirección pública. 

Sin embargo, asociado al hash de la transacción y cruzado con doce meses de registros IP, ofrece a los titulares de derechos un punto de partida procesal para solicitar la eliminación del anonimato en los exchanges europeos, ya sujetos a las reglas de Travel Rule y KYC.

La prueba a corto plazo será fácil de observar: ¿Hostinger, Hosting Concepts y Key-Systems transmitirán los datos, impugnarán la orden, o solicitarán una suspensión? Si alguno de los tres recurre al TJUE, este caso belga se convertirá en un caso emblemático sobre la oponibilidad extraterritorial del artículo 10 del DSA. Este tipo de agregación de indicios ya ha tenido efectos en el pasado, como muestra el caso Movie2K documentado por Cointribune.