Qué pasa de verdad al pagar con una tarjeta cripto

Pagas, y menos de un segundo después el datáfono dice aprobado. Dentro de ese segundo, un contrato en una red pública sacó tus dólares de tu propio wallet. La red de tarjetas nunca supo que había una blockchain implicada, y eso no es un fallo del diseño. Es el diseño.

¿Qué pasa en el segundo en que pagas?

Intervienen cuatro actores, y solo uno tiene forma cripto. Está la red de tarjetas, Visa o Mastercard, que enruta el mensaje. Está un banco emisor autorizado, bajo cuya licencia existe legalmente la tarjeta. Está un program manager, la empresa que de verdad opera el producto. Y está tu wallet.

La secuencia va así. El datáfono envía una solicitud de autorización. La red lee los primeros dígitos del número de tarjeta, que identifican al emisor, y enruta la solicitud a esa pila. El emisor se gira hacia el program manager y hace una sola pregunta: ¿esta persona tiene el dinero? El program manager comprueba. Responde. El comercio ve una aprobación corriente y cobra en dinero corriente, en el calendario corriente de las tarjetas.

Todo lo específicamente cripto cabe en esa única pregunta. El comercio nunca toca un token. La red tampoco, al menos no en este tramo, aunque ambas redes ya liquidan en stablecoins entre bancos más abajo en la cadena. Una tarjeta stablecoin es una tarjeta normal con unos cientos de milisegundos de cripto injertados en la ventana de autorización.

¿Dónde está el dinero exactamente?

Dos modelos, y la diferencia es todo el producto.

Prefinanciado. Recargas un saldo que el proveedor guarda por ti, y la tarjeta gasta de ahí. Así han funcionado siempre casi todas las tarjetas cripto. Es sencillo, cubre muchas redes, y has cedido la custodia: el proveedor puede congelar el saldo porque el proveedor tiene el saldo.

Cobrado en el momento del pago. No hay nada precargado. El dinero se queda en tu wallet hasta el instante de la compra. Bridge, la empresa de stablecoins que compró Stripe, lo documenta con precisión: cuando una tarjeta se autoriza en un comercio, verifica que el wallet non-custodial vinculado tiene una autorización on-chain activa y fondos suficientes, y entonces envía una transacción on-chain para retirar los fondos en tiempo real. Si la autorización está inactiva o el saldo no llega, la tarjeta rechaza.

Ese modelo trae aristas que conviene conocer. El dinero tiene que estar en una red concreta y en un token concreto: la integración de Bridge con Privy, un proveedor de wallets, cubre USDC en Solana, y en Base, Linea, World Chain y Tempo. Un wallet solo puede estar vinculado a una tarjeta. Los reembolsos vuelven mediante una transacción on-chain aparte, a veces agrupada con otras.

¿Qué significa de verdad una tarjeta «non-custodial»?

Antes de que la tarjeta pueda retirar nada, tu wallet tiene que conceder un permiso on-chain, y ese paso decide todo lo demás. En una red tipo Ethereum es una aprobación de token estándar, apuntando a un contrato emisor propio de ese programa de tarjetas. En Solana es un delegado. Ese permiso permanente es lo que hace posible el cobro dentro de la ventana de autorización, porque no hay tiempo de preguntarte.

Así que la descripción honesta de una tarjeta non-custodial es esta: tú te quedas las llaves y le concedes a alguien un derecho permanente a cobrarte. O sea, una domiciliación bancaria, escrita en código.

El tamaño de ese mandato es la pregunta que nadie hace al registrarse. Una aprobación de token puede estar limitada a un importe concreto, o ser ilimitada, y lo ilimitado es el ajuste por defecto del sector porque ahorra una transacción cada vez que se agota el tope. Una aprobación ilimitada deja que el contrato mueva todo tu saldo de ese token: si alguna vez queda comprometido, la autorización se convierte en la puerta de entrada. Mira qué firmaste, y mantén el wallet de la tarjeta separado del wallet donde duermen tus ahorros.

La comparación es útil, no despectiva. Una domiciliación bancaria es un permiso que revocas por un procedimiento, con límites que decide tu banco. Una aprobación on-chain es un permiso cuyos límites los aplica el propio contrato, y solo tu llave puede cambiarlos. Eso es una ganancia real sobre quién tiene los mandos. No es la ausencia de un tercero de confianza. Es un tercero de confianza con una correa legible por una máquina.

Gnosis Pay hace la correa explícita, y enseña cómo es una versión con tope. Su cuenta es un smart contract Safe en Gnosis Chain con dos módulos añadidos. Un módulo Roles fija exactamente qué puede gastar la tarjeta: qué token, qué límite diario, qué dirección de destino. Un módulo Delay retiene toda transacción que no sea de tarjeta, es decir transferencias y retiradas, durante tres minutos, y pausa la tarjeta mientras haya una pendiente. Los pagos con tarjeta no se retrasan. La idea es que un pago que Visa ya aprobó no pueda ser adelantado por el titular retirando el dinero antes. La restricción del usuario es también la garantía de la red.

¿Qué demostró el exploit de Gnosis Pay?

El 1 de junio de 2026 un atacante vació esas cuentas, y la historia merece contarse recta, porque es la mejor prueba de resistencia disponible sobre toda la categoría.

El fallo estaba en los propios módulos Delay y Roles. Para que un propietario pudiera aprobar acciones sin tener el token que paga las comisiones de red, el código aceptaba una firma de contrato y comprobaba el valor que ese contrato devolvía. Leía ese valor pero descartaba si la llamada había tenido éxito. Un atacante podía entonces desplegar un contrato que falla a propósito mientras devuelve igualmente el número mágico que significa «válido», y los módulos se lo creían.

Unas 5.281 cuentas con al menos un dólar se vieron afectadas. Se extrajeron alrededor de 1,5 millones de dólares y otros 300.000 quedaron inaccesibles, unos 1,8 millones en total. Gnosis lo absorbió todo y ningún usuario perdió fondos. La causa raíz se identificó en menos de dos horas, una revisión externa se completó el 4 de junio, y el 99% de los usuarios tenía la tarjeta de vuelta el 6 de junio. El bug había llegado en la versión 3.4.0 del 30 de octubre de 2023. Estuvo en producción más de dos años antes de que alguien lo usara.

La autocustodia no fracasó aquí. Movió el riesgo, que no es lo mismo que eliminarlo. El módulo que hace posible una tarjeta non-custodial es él mismo una superficie de ataque, y es una superficie más nueva y menos castigada que la de un banco. Las dos mitades de esa frase son ciertas, y cualquier argumento honesto tiene que cargar con las dos.

¿Quién está construyendo estas tarjetas?

Más gente de la que sugiere la reputación de la categoría. Visa publica sus propias cifras: más de 130 programas de tarjetas ligadas a stablecoins en más de 50 países, unos 5.200 millones de dólares de volumen en 2025, un aumento del 319% interanual, y la expectativa de que el número de programas se duplique aproximadamente en 2026.

Visa describe además dos formas de liquidación detrás de esas tarjetas. En la establecida, el program manager convierte la stablecoin en dinero corriente antes de liquidar con Visa. En la más nueva, los miembros principales liquidan directamente con Visa en una moneda como USDC, y el custodio digital de Visa se encarga de la conversión para pagar a los comercios.

• Bridge emite a través de la infraestructura de tarjetas de Stripe, en una colaboración que califica de exclusiva con Visa. En marzo de 2026 ambas anunciaron tarjetas operativas en 18 países y un objetivo de más de 100 antes de fin de año, en Europa, Asia-Pacífico, África y Oriente Medio.
• Rain es miembro principal de Visa y, desde mayo de 2026, también miembro principal de Mastercard. Levantó 250 millones de dólares en serie C con una valoración de 1.950 millones.
• MetaMask opera un programa Mastercard con Baanx, ahora Monavate, y lo lanzó en Estados Unidos el 26 de febrero de 2026, emitido por Cross River Bank. Ya estaba operativo en el Espacio Económico Europeo, Reino Unido, Suiza, Canadá y varios países de América Latina. MetaMask lo describe como plenamente self-custodial: la custodia es del usuario hasta el momento de la compra.

Una advertencia sobre las etiquetas. «Non-custodial» se usa de forma muy laxa en este mercado, y abarca desde un Safe que controlas por completo hasta una llave repartida entre tú y un proveedor. La única prueba fiable es mecánica: qué aprobó tu wallet, y quién tiene la llave capaz de cambiarlo.

¿Qué conviene comprobar antes de usar una?

• Quién la emite, y bajo qué licencia. Esa entidad es la que puede congelar la tarjeta, no la app cuyo logo lleva encima.
• Qué aprobaste on-chain, y cómo revocarlo. Una autorización es un permiso vivo, no una firma puntual.
• El tipo de cambio, no la comisión. En una tarjeta que convierte, el coste vive en el diferencial.
• En qué red y en qué token tiene que estar el dinero. Fondos en la cadena equivocada son fondos que la tarjeta no ve.
• Tus reglas fiscales locales. En Estados Unidos la administración tributaria trata los activos digitales como bienes, así que pagar con uno es una transmisión que hay que declarar, sin exención para operaciones pequeñas. En una moneda ligada al dólar la ganancia suele ser casi cero, lo que lo convierte en papeleo y no en una factura. En Francia el impuesto se ancla en la conversión de cripto a dinero corriente y no en el cambio de un token por otro, así que cómo se califique una compra con tarjeta es toda la cuestión. Pregunta a alguien de tu país.

Por qué importa

Una tarjeta es un puente hacia otro sitio. Comprar un café con un token es la parte aburrida. Lo que cuenta es que un saldo de wallet ya puede aceptarse en los 175 millones de puntos de venta que Visa cuenta en su red, sin que nadie abra una cuenta bancaria en ninguno de esos países, y que la fontanería para lograrlo se ha vuelto lo bastante aburrida, autorizada y auditada como para que Stripe y Visa le pongan su nombre.

También vale la pena ver qué está rodeando la tarjeta. Pagar a un comercio sigue pasando por la red de tarjetas, porque ahí están los comercios. Pagar a una persona, no. Unos amigos que saldan una cuenta pueden mover el dinero directamente en segundos con Spliz, sin tarjeta, sin conversión y sin autorización que revocar. Si los wallets en sí te suenan nuevos, nuestra explicación de qué es de verdad un wallet es mejor punto de partida.

Una tarjeta que gasta desde tu wallet no es tu wallet pagando al comercio. Es un banco prometiéndole al comercio, y un smart contract prometiéndole al banco.

Fuentes

• Stripe, tarjetas respaldadas por stablecoins de Bridge: cobro en tiempo real en la autorización, aprobación on-chain, rechazos y reembolsos.
• Privy, emisión de tarjetas de débito contra un wallet: aprobación de token, redes soportadas y límite de una tarjeta por wallet.
• Bridge, cobertura del programa de tarjetas, la colaboración con Visa y la hoja de ruta 2026.
• Visa, la expansión del 3 de marzo de 2026 con Bridge: 18 países operativos, un objetivo de más de 100, y los 175 millones de puntos de venta de la red.
• Visa, tarjetas ligadas a stablecoins: número de programas, volumen 2025 y crecimiento, y los dos modelos de liquidación (actualizado el 31 de marzo de 2026).
• Gnosis, post-mortem del exploit del 1 de junio de 2026: el bug de firma, las cuentas afectadas, los importes y el calendario de recuperación.
• Gnosis Pay, arquitectura de las cuentas: el Safe, el módulo Roles y el módulo Delay.
• MetaMask, el lanzamiento en EE. UU. de su programa Mastercard (26 de febrero de 2026): emisor, socio, mercados y la formulación sobre la custodia.
• Rain, anuncio de su condición de miembro principal de Mastercard (mayo de 2026).
• Rain, la serie C de 250 millones de dólares y la valoración de 1.950 millones.
• IRS, los activos digitales tratados como bienes y el deber de declararlos cuando se intercambian por bienes o servicios.