El IRS confirma cartas falsas con código QR que buscan vaciar carteras de cripto

Llega por correo postal. Papel, membrete, número de expediente y una lista de años fiscales que va de 2017 a 2026. Parece la revisión completa de tu historial en activos digitales. Hay un código QR y una fecha límite. El 30 de julio de 2026, la división de Investigación Criminal del IRS confirmó que esa carta no existe: es una falsificación diseñada para llevarte a un portal inventado y quitarte las credenciales de tu exchange.

La alerta la publicó IRS Criminal Investigation y la recogieron, entre otros, Bloomberg Tax, Accounting Today y The Block. El esquema es simple y por eso funciona: una carta física, con la estética de una notificación oficial, que anuncia que debes inscribirte en un supuesto "Digital Asset Compliance Portal" antes de una fecha límite. El código QR abre un sitio que copia el diseño de IRS.gov. Ahí te piden datos personales, información de tu wallet y, en algunos casos, las credenciales de acceso a tu exchange.

Los ejemplares reportados comparten varios rasgos. Citan años fiscales de 2017 a 2026, lo que da la impresión de una auditoría que abarca toda tu historia con activos digitales. Incluyen un plazo corto y la amenaza de sanciones si no actúas. Y todo el flujo depende de un solo gesto: escanear el código. La infraestructura del fraude fue registrada a través de Hong Kong y alojada en servidores de Rumania que ya se habían usado en campañas anteriores de phishing.

Un fraude así habría sido inverosímil hace tres años. Hoy no lo es, y esa es la parte importante de la noticia. En 2026 sí es normal que una autoridad fiscal te escriba por criptomonedas. El formulario 1099-DA entró en vigor y los brokers custodios, es decir los exchanges centralizados y los procesadores de pago con activos digitales, ya reportan al IRS los ingresos brutos de las operaciones de sus clientes. Por el lado internacional, el CARF, la extensión del intercambio automático de información a los activos digitales, está vigente desde el 1 de enero de 2026, con el primer intercambio previsto para 2027.

Los perfiles más expuestos son predecibles. En primer lugar, quien opera cripto en exchanges centralizados con verificación de identidad, porque su dirección física está en un expediente que puede filtrarse o cruzarse con registros públicos. En segundo lugar, las US persons que viven fuera de Estados Unidos, un grupo que ya arrastra la sensación de estar permanentemente un paso atrás en sus obligaciones y que por eso reacciona con más miedo. Y en tercer lugar, quien tuvo actividad relevante entre 2017 y 2021 y nunca la reportó con claridad: para esa persona, la carta no parece un fraude, parece la llamada que estaba esperando.

1. No escanees el código QR y no llames a ningún número que venga impreso en la carta.
2. Entra por tu cuenta a IRS.gov, escribiendo la dirección a mano, y revisa el estado de tu cuenta con las herramientas del propio organismo.
3. Si tienes un contador o asesor en Estados Unidos, envíale una foto de la carta antes de hacer cualquier otra cosa.
4. Reporta la carta a [email protected] y conserva el original.
5. Si ya escaneaste el código y entregaste datos, cambia de inmediato las contraseñas de tus exchanges, revoca las sesiones activas y mueve los fondos si compartiste algo relacionado con tu wallet.

Toda la ingeniería de esta estafa descansa sobre una sola pregunta que el destinatario no sabe responder: ¿qué sabe la autoridad de mí? Quien tiene esa respuesta clara lee la carta, detecta el QR, y la tira. Quien no la tiene, escanea. La defensa técnica, no abrir enlaces, verificar dominios, activar doble factor, es necesaria pero secundaria. La defensa real es saber cuál es tu posición fiscal, qué reportan las plataformas que usas, en qué país eres residente fiscal y qué obligaciones te corresponden ahí.

Ese trabajo, además, no se hace bajo presión. Ordenar tu residencia fiscal, tu estructura y tu reporte de activos digitales es un proceso de semanas, no de las 72 horas que te da una carta con fecha límite. La gente que este año va a caer en el fraude es, casi siempre, la misma que llevaba dos años posponiendo la conversación sobre su situación real.

Conviene separar el fraude de los hechos, porque los hechos también exigen acción. El 1099-DA ya está operando y, en su primer año, los brokers custodios reportan ingresos brutos. Los brokers no custodios, como los exchanges descentralizados y los proveedores de wallets sin custodia, quedan fuera del alcance de esas reglas por ahora. El CARF arrancó el 1 de enero de 2026 y su primer intercambio efectivo de información entre países está previsto para 2027. Para una US person, además, siguen vigentes el FBAR con umbral agregado de $10,000 y la exclusión de ingreso del extranjero de aproximadamente $132,900 para 2026.

Nada de eso llega por carta con código QR. Llega, cuando llega, por procedimientos que puedes verificar en el sitio oficial y con tu asesor. La diferencia entre ambos mundos es exactamente el espacio donde vive este fraude.

Preguntas frecuentes

Este contenido es de carácter informativo y educativo. No constituye asesoría legal ni fiscal. Verifica la normativa vigente y consulta a un especialista sobre tu caso antes de tomar decisiones.