Liberation Travel Hacks 09/2026

Hola amigos,

toda la vida he escuchado el mismo argumento estatista: "si no te gusta, vete". Por desgracia ese argumento está dejando de ser válido, porque la UE trabaja activamente para que no haya adónde ir.

Primero, los bancos. Desde el 11 de enero de 2027, los bancos con sede fuera de la UE ya no podrán prestar servicios bancarios básicos (recibir depósitos, conceder préstamos, emitir garantías) a personas residentes en la UE, salvo que abran una sucursal autorizada en el Estado miembro correspondiente. Es el artículo 21c de la Directiva 2024/1619, más conocida como CRD VI. Se aplica a todo el Espacio Económico Europeo, incluidos Islandia, Liechtenstein y Noruega, y lo que decide es la residencia, no el pasaporte.

Sí, hay excepciones. Si usted acude a un banco de fuera de la UE por iniciativa propia (la llamada reverse solicitation), pueden atenderle sin sucursal. Y los contratos firmados antes del 11 de julio de 2026 siguen vigentes, así que nadie le cerrará las cuentas que ya tiene. El riesgo real, sin embargo, no es jurídico sino comercial. La mayoría de los bancos de fuera de la UE concluirá que verificar a cada europeo frente al criterio de la reverse solicitation no compensa la exposición regulatoria, y empezará a rechazar en bloque las solicitudes de residentes en la UE. El mecanismo es un chantaje en toda regla: si siguen abriendo cuentas a nuestros residentes, les restringiremos las transferencias hacia la UE.

Puede ver más en este post de X, que tuvo un alcance récord de casi un millón de visualizaciones.

Segundo, la ciudadanía. El mes pasado escribí sobre el ultimátum de la UE al Caribe. Los cinco Estados del Caribe Oriental deben eliminar sus programas de ciudadanía por inversión antes del 1 de junio de 2028 o, de lo contrario, sus ciudadanos perderán la entrada sin visado a Schengen. En agosto la Comisión dejó claro que ya no quiere arreglar esos programas, quiere eliminarlos. El blanqueo de capitales no tiene nada que ver. Es la demolición de una vía de salida. Más detalles más abajo, en la sección Caribe.

Tercero, la residencia. Paraguay aprobó tres normas en cinco meses. La Resolución 407 regula la acreditación de ingresos, la Resolución 376 la cancelación de la residencia de quienes pasan demasiado tiempo fuera, y la Resolución DNIT 47 la declaración de criptoactivos. Ninguna de ellas toca aquello por lo que la gente va allí (cero impuestos sobre la renta extranjera, residencia fiscal sin pisar el país un solo día), pero la tendencia es clara. La burocracia crece y la residencia de papel se acaba. En detalle en la sección Paraguay.

Y por si fuera poco, desde el 5 de agosto la UE no concede protección temporal a los hombres ucranianos en edad militar que no acrediten haber cumplido sus obligaciones militares. Con ello la UE ha declarado que proteger la vida del individuo es secundario y que los intereses colectivistas van primero. Su lugar de nacimiento determina por qué Estado debe morir, sin importar si ese Estado o esa guerra tienen para usted algún sentido. Recuérdelo. En caso de amenaza militar, a usted se le aplicará la misma regla.

¿Qué hacer entonces?

1. Residencia fuera de la UE antes de 2027. La CRD VI no se le aplica si usted no está "establecido" en la UE. Paraguay, Uruguay o Panamá le dan esa posición y con gusto le ayudamos.
2. Abra ahora sus cuentas fuera de la UE. En Georgia y Kirguistán todavía se las abrimos a distancia. Es muy posible que a partir del año que viene esto ya no funcione para residentes en la UE. Las cuentas existentes se mantienen.
3. Una segunda ciudadanía antes de 2028. Obtener la ciudadanía por inversión lleva más de un año. Si lo estaba considerando, la ventana se cierra y hay que empezar ya.

Una cosa más. El sábado 29 de agosto los islandeses rechazaron en referéndum reanudar las negociaciones de adhesión a la UE, con un 52,8 % en contra y una participación del 82,5 %. Los felicito sinceramente por decidir conservar su alto nivel de vida. En el negocio offshore hoy rige que cualquier vínculo con la UE (cuentas bancarias, residencia) es una circunstancia agravante, no atenuante. Los islandeses lo entendieron.

Y una buena noticia para terminar. Gracias al enorme interés que este boletín ha despertado en América Latina y España, a partir de este número los siguientes saldrán también en español. Si tiene amigos hispanohablantes, compártales esta buenísima noticia, aquí pueden suscribirse.

Pavol Lupták, Bratislava, Eslovaquia, 1 de septiembre de 2026

Los ucranianos como precedente. El 4 de agosto se publicó en el Diario Oficial la decisión de ejecución del Consejo que prorroga la protección temporal de los refugiados de Ucrania hasta marzo de 2028, pero cambia las reglas. Los hombres ucranianos en edad militar recién llegados que no puedan acreditar mediante la aplicación Reserv+ que han cumplido sus obligaciones militares ya no tienen derecho a ella. La decisión recuerda de forma explícita que la deserción y la evasión del reclutamiento no son, por sí solas, motivo de protección internacional. El ministro del Interior checo presumió de que esto "reducirá el número de nuevas llegadas en varias decenas por ciento".

Me escriben amigos ucranianos para quienes la UE ya no es un lugar seguro. Para los hombres de 25 a 60 años que salieron cruzando la frontera de forma irregular y todavía no tienen estatus, la ventana se ha cerrado en la práctica. Europa ha dejado de ser refugio para quienes no quieren acabar en la picadora de carne. Los Estados, incluida la UE, se arrogan legalmente el derecho a que usted luche y muera por ellos.

En Liberation Travel la vida del individuo es sagrada. A todo ucraniano al que cualquier país de la UE le deniegue la protección temporal le ofrecemos un 10 % de descuento en todas nuestras residencias en Paraguay, Uruguay y Panamá. Y un consejo adicional para todo ciudadano europeo. Sin otra ciudadanía no puede renunciar a la europea. Si algún día renunciar al pasaporte de la UE pudiera salvarle la vida, necesita tener la segunda preparada de antemano. O al menos una buena residencia, para estar fuera de la UE cuando llegue la movilización.

Rusia sigue superando a la UE en prácticas totalitarias. En totalitarismo digital Rusia va más rápido. El 1 de septiembre lanza el rublo digital y, según el banco central, los 12 bancos de importancia sistémica, que representan más del 80 % del mercado de pagos, están listos para ofrecer cuentas en rublos digitales. El BCE va rezagado con su euro digital, pero igual que Moscú se inspira en Pekín. Hacia dónde va esto lo resumió bien Coin Bureau en el vídeo The EU Has Abandoned Democracy.

Santa Lucía: hicimos todo lo que Bruselas pidió, y el objetivo se movió igualmente. El viceprimer ministro Ernest Hilaire, responsable de la cartera de ciudadanía por inversión, declaró en rueda de prensa que su país endureció la legislación, introdujo "métricas de valor" y, junto con otros cuatro gobiernos, firmó en septiembre de 2025 el acuerdo que crea un regulador regional, precisamente la institución que Bruselas había exigido. Y entonces cambió el ánimo de la Comisión. Hilaire recurrió a una analogía que duele. Santa Lucía producía menos del medio por ciento de los bananos del mundo y aun así perdió las preferencias comerciales que sostenían el sector. Recorra la isla, dijo a los periodistas, y las cicatrices siguen a la vista.

Lo cara que puede salir la cosa lo muestran las cifras de Dominica. Según la oposición de allí, el presupuesto 2025/2026 preveía que el 56,7 % de los ingresos corrientes viniera de la ciudadanía por inversión. Si se elimina, queda un agujero de unos 224 millones de dólares del Caribe Oriental al año, y quedan en riesgo los salarios de los funcionarios, la sanidad, el mantenimiento de carreteras y la financiación del aeropuerto internacional.

Junto a eso hay otro texto que vale la pena leer, Will the EU Take Away Visa-Free Access From the Caribbean? Patrick Peters sostiene que la pregunta no es si los programas sobrevivirán, sino qué sobrevivirá de ellos. Espere versiones más pequeñas, más selectivas y más caras que las que se venden hoy. Si contaba con un pasaporte caribeño como seguro, cada mes de espera lo encarece.

¿Sigue teniendo sentido la residencia paraguaya en 2026? Esta pregunta me llega cada vez más a menudo por culpa de la creciente burocracia, así que escribí una respuesta larga. La versión corta es sí. Para un viajero perpetuo sigue sin haber nada mejor en el planeta. Pero 2026 trajo tres normas en cinco meses y conviene saber qué significa cada una.

Lo que sigue vigente:

1. Tributación territorial. La renta extranjera no está exenta por un régimen que pueda derogarse. Queda directamente fuera de la definición de renta gravable. Ninguna de las nuevas resoluciones amplía la base imponible más allá de las fronteras del Paraguay. Todas van de trazabilidad, no de impuestos.
2. Residencia fiscal sin pisar el país un solo día. Paraguay no tiene la prueba de los 183 días. Lo que le convierte en residente fiscal es una cadena de registros. Residencia, cédula, RUC y declaraciones presentadas a tiempo, aunque sean en cero. Revisamos todas las alternativas de las que habla la gente. Georgia pide medio millón de dólares en activos georgianos, Uruguay 183 días o una inversión, los Emiratos 183 días, Panamá 183 días. Todas fallan por lo mismo, por días o por dinero.
3. Sus cuentas todavía no se reportan al exterior. Paraguay no ha firmado el CRS y no intercambia nada de forma automática. Pero esto ya tiene fecha. En el estado de compromisos del Foro Global de la OCDE del 27 de julio de 2026, Paraguay figura entre las jurisdicciones que harán los primeros intercambios en 2027, y como los informes CRS cubren el año natural anterior, los datos de 2026 podrían ir en esa primera tanda. Trátelo como una ventana, no como una característica permanente.
4. Un juego de documentos que abre puertas. La cédula, la Constancia de RUC como comprobante de domicilio, dos licencias de conducir que juntas cubren casi el mundo entero y un plan de telefonía con roaming europeo. En la práctica esto es lo que convierte la residencia en algo que de verdad se usa, y lo desarrollo más abajo en Travel Hacks.

Lo que se endureció, ordenado por lo que realmente puede costarle. Primero la Resolución 407 sobre la acreditación de ingresos desde el 6 de julio, de la que escribí el mes pasado. El camino más simple son tres declaraciones mensuales de IVA distintas de cero antes de presentar la solicitud. Siguen la Resolución 376 (más abajo), el CRS desde 2027 (más arriba) y, deliberadamente en último lugar, la Resolución General DNIT 47/2026. Los residentes que muevan más de 5.000 dólares al año en cripto deben presentar, una vez al año por Marangatu y desde el ejercicio fiscal 2026, un informe de toda su actividad cripto (fecha, red, cantidad con diez decimales, hash, direcciones, contraparte). El primer plazo vence en marzo de 2027. La distancia entre cómo se contó esto y lo que realmente cuesta es enorme, y mi recomendación sobre declarar cripto a cualquier gobierno está en la sección de criptomonedas.

Salir del Paraguay sin perder la residencia. La Resolución DNM 376/2026 se firmó el 13 de mayo, pero solo apareció en el portal de Migraciones el 10 de agosto, por lo que la mayoría de las guías publicadas sigue describiendo la situación anterior. La repasé artículo por artículo. Los límites no han cambiado. La residencia temporaria caduca tras más de un año sin entrar, la permanente tras tres años, y cualquier entrada pone el contador a cero. Cambió una cosa. Aquello de que "nunca caduca automáticamente" ya no es cierto. Dos veces al año Migraciones repasa el registro de movimientos, elabora una lista de residentes fuera de plazo y cancela por acto administrativo, notificado al correo electrónico que usted declaró quizá hace años, quizá al de su antiguo abogado. Lo más barato que puede hacer es comprobar qué correo electrónico tiene Migraciones registrado a su nombre. Casi nadie lo hace.

Y la parte que nadie cubre. El artículo 6 permite pedir la prórroga por adelantado. Los residentes permanentes pueden obtener hasta un año más (tres años se convierten en cuatro), la solicitud se presenta hasta tres meses antes del límite, la autoridad responde en diez días hábiles y la tasa son dos jornales, es decir dos salarios mínimos diarios, que equivalen a ₲234.154. La tasa está fijada en jornales, de modo que se mueve con el salario mínimo paraguayo y no con el dólar, así que tome la cifra en guaraníes como la real. El guaraní se apreció más de un 10 % frente al dólar durante 2026 y cualquier conversión a dólares que lea envejece rápido. Si pide la prórroga después del límite, pierde la residencia que quería proteger.

Los impuestos paraguayos se pagan en cripto. Cualquier impuesto paraguayo (IVA, IRP, multas por presentación tardía) puede pagarse ahora a SET/DNIT directamente en Bitcoin por Lightning, en stablecoins USDT/USDC, en XMR, ZEC o ETH a través de liberation.services/set-pay. Lo mismo vale para sus facturas de Personal con una comisión reducida del 7,37 %. Su cripto no entra en Paraguay, se convierte antes, SET recibe fiat limpio y no hay ningún reporte de por medio.

Una vulnerabilidad en un banco paraguayo que probé en mí mismo. Cualquiera puede llamar a la línea de atención de un banco que no nombraré, identificarse como la persona XYZ, dar su número de cédula (que en Paraguay es información de facto pública, usada absolutamente en todas partes, por ejemplo cuando alguien quiere enviarle dinero), decir que le robaron, y el banco le bloqueará la cuenta de inmediato y de forma permanente sin hacer una sola pregunta más. No se desbloquea a distancia y hay que ir físicamente a una sucursal. Esto es exactamente lo que me pasó a mí. Se lo reporté al banco, pero es muy probable que otros bancos paraguayos tengan el mismo fallo. Y ahora que Eslovaquia acaba de publicar el número de identidad de todos los administradores de empresas (véase la sección Privacidad), el mismo ataque llega a Europa.

Dinero hacia Paraguay. Volví a probar tuiu.co y envié dólares al instante desde mi cuenta de Revolut a mi cuenta paraguaya en UENO. Funciona de maravilla, así que ya no hacen falta Binance P2P ni otros rodeos para mandar dinero a Paraguay.

De nuestros grupos (de forma anónima). Las cuentas en Sudameris y Banco GNB se pueden abrir con la cédula incluso desde Europa. Hace falta una dirección IP paraguaya y un número de teléfono local. Banco GNB además rechaza Proton y quiere Gmail o Hotmail, mientras que a Sudameris el Proton no le supone problema. La Constancia de RUC sirve como comprobante de domicilio en la mayoría de los servicios, aunque no en todos. No olvide la actualización anual obligatoria de datos en Marangatu. Las nuevas licencias de conducir paraguayas son electrónicas, con código QR para pagar la tasa anual de 30.000 PYG desde la app del banco, y valen cinco años. Un chip de Claro se bloquea solo tras más de tres meses fuera del Paraguay, cosa que no ocurre con los de Personal. Las apps paraguayas con bloqueo regional se instalan sin problema con una cuenta paraguaya nueva de Google o Apple.

Le aprobaron la residencia uruguaya. Así se remata el resto. En agosto pasé cuatro días en Montevideo y salí con tres cosas, la cédula uruguaya definitiva, la libreta de conducir homologada desde la eslovaca y la inscripción en el registro estatal de compradores de cannabis. Cada trámite tiene sus trampas, y en al menos una de cada uno caí. Escribí la guía ya probada para que usted no caiga.

Esta es la segunda fase, y su sentido es que Uruguay deje de ser un sello en el pasaporte y pase a ser una jurisdicción que de verdad usa. Todo cuelga de la cédula definitiva. Sin ella el correo no lo inscribe en el registro estatal de compradores de cannabis (el registro está abierto solo a ciudadanos y residentes permanentes debidamente acreditados, y las cédulas que dicen "Residencia en trámite" el sistema las rechaza), y aunque para la libreta bastaría una cédula provisoria, ya que está en la DNIC conviene hacer las dos cosas de una vez. La licencia uruguaya se llama libreta y la imprimen en diez o quince minutos.

Gana el chino. Casi todos los Uber que pedí en Uruguay eran eléctricos chinos, BYD o Geely, y su número se ha duplicado en un año. Detrás está el monopolio estatal de combustibles ANCAP (sí, se llama así de verdad) y unos aranceles de importación enormes. Por eso los uruguayos necesitan la mejor calidad al menor precio y al menor costo de uso, y ahí ahora mismo gana el chino. Mis amigos en Paraguay también se compraron autos eléctricos chinos.

Una vez cada uno o dos años acabo en Brasil, normalmente por el lado brasileño de Iguazú, que me encanta de verdad. De entre Argentina, Paraguay, Uruguay y Brasil, considero a Brasil el menos libre, con elementos totalitarios que se parecen mucho a hacia dónde va toda la UE.

Allí hay censura, igual que en la UE. Brasil bloqueó X (ya vuelve a funcionar) y Rumble, una plataforma de vídeo sin censura, y naturalmente con el argumento de que era necesario para "proteger la democracia". Si oye una retórica parecida en la UE, tómelo como una señal de alarma seria. (Chequia y Eslovaquia, mientras tanto, prohibieron mi sitio favorito Polymarket por juego ilegal. Da igual la etiqueta que le ponga un funcionario. Al final es censura.) Brasil introduce regulación y responsabilidad de las plataformas (la sentencia del STF de 2025), oficialmente inspirada en la DSA de la UE, que otra vez se usa para bloquear cuentas incómodas. Bloquea el juego sin licencia, es decir, no todo el juego, solo aquel que un funcionario no ha sellado. Y exactamente igual que la UE, sigue el ciclo de manual. Construye infraestructura de bloqueo, descubre que la gente la esquiva, exige competencias sobre la siguiente capa.

Lo que más me saca de quicio en Brasil es el CPF, el número tributario brasileño sin el cual no se puede hacer nada. Sin CPF no compra nada en el internet brasileño, así que uno aprende a usar un generador de CPF para pedir una simple pizza. Sin CPF o sin KYC completo no compra entradas para el carnaval, ni siquiera para el jardín botánico (sí, hice KYC completo para eso). Gracias al CPF el Estado brasileño tiene control del 100 % sobre las transacciones en línea y un control enorme sobre las físicas. En la UE estamos introduciendo algo muy parecido. Se llama eIDAS 2.0.

En algo Brasil va por detrás de la UE. No ha introducido ni planea el Chat Control. Y la diferencia de estilo es instructiva. Brasil es arbitrario y rápido. Un juez, efecto inmediato, ninguna previsibilidad. La UE es lenta e irreversible. Todo está en el Diario Oficial con años de antelación, pero una vez aprobado, la política nacional ya no puede hacer nada. Contra el modelo brasileño quizá se pueda luchar políticamente. Contra el europeo solo se puede luchar saliendo. A Brasil solemos llamarlo el nuevo país totalitario occidental. ¿Qué nombre merece la UE?

La CRD VI del editorial tiene una consecuencia práctica. Si quiere una cuenta fuera de la UE, ábrala ahora. Le abrimos una cuenta premium a distancia en los dos países, pero se diferencian en lo esencial.

Georgia está en el CRS desde 2024, pero el reporte va a la jurisdicción donde usted es residente fiscal. Si declara Paraguay, entre Tiflis y Asunción no existe relación de intercambio por la que puedan viajar los datos. La cuenta es reportable en principio y no va a ninguna parte en la práctica. Lo que obtiene es un banco estable, multidivisa, fuera de la UE y fuera del alcance de una orden europea de bloqueo de cuentas, sin el reporte que una jurisdicción CRS suele arrastrar consigo. Eso sí, sea honesto sobre en qué se apoya. Funciona precisamente porque Paraguay todavía no intercambia. Cuando empiece en 2027, este efecto concreto será el primero en desaparecer. Aun así importa adónde llega ese reporte. La autoridad paraguaya tira a la basura cualquier reporte financiero del extranjero, porque se trata de renta extranjera, que allí no tributa. La eslovaca hace justo lo contrario. Así que la combinación conserva su valor más allá de 2027. Más sobre la banca georgiana, y la cuenta puede pedirla aquí.

Kirguistán es la respuesta duradera. No ha firmado el CRS ni se ha comprometido a hacerlo. Abrimos cuentas en Aiyl Bank (oficialmente ABank desde marzo de 2026, con el código SWIFT AIYLKG22 sin cambios) a distancia, con un depósito mínimo de 60 USD/EUR y una tarjeta Visa Infinite que incluye seguro de viaje de hasta 2,5 millones de dólares, salas VIP a través de Visa Airport Companion, Fast Track en aeropuertos de 17 ciudades europeas, conserjería 24/7, un gestor personal en el banco, un límite diario de 5.000 dólares para retiros y pagos, cero comisiones por retirar en Kirguistán y un 1,5 % (mínimo 3 dólares) fuera del país. La novedad de este mes es que para nuestros clientes publicamos en nuestra base de conocimiento un manual completo de ABank en inglés, eslovaco, checo, alemán, español, francés, ruso y coreano. Cubre el registro sin escanear el pasaporte (desde 2026 basta con la doble confirmación de teléfono y correo), la apertura de la cuenta multidivisa USD/EUR/KGS, la activación de la tarjeta, las transferencias SWIFT, el chip kirguís para los códigos SMS y las tarifas completas. Tienen acceso todos nuestros clientes con cuenta abierta. Si usted es uno de ellos y aún no ha visto el manual, escríbanos o escriba a su gestora en el banco y le enviaremos el enlace. Más sobre Kirguistán, y la cuenta puede pedirla aquí.

Por qué es muy mala idea declarar cualquier criptomoneda a cualquier gobierno. Y por qué es mejor arriesgar una multa que la propia vida. Rekt.news reconstruyó toda la historia de la agencia tributaria francesa. Una empleada de la oficina de Bobigny usó el sistema interno Mira para buscar específicamente a inversores y especialistas en cripto y vendió sus datos personales a delincuentes para ataques físicos y extorsiones. Uno de esos nombres muestra cómo funciona en la práctica. El 26 de septiembre de 2024 tres hombres armados atacaron a un funcionario de prisiones de La Santé en su casa de Montreuil, delante de su mujer. La fiscalía sostiene que trabajaron con una dirección que la empleada había sacado del sistema tributario, y que cobraron 800 euros por la agresión. El móvil era una disputa por unos teléfonos móviles encontrados en una celda, así que la víctima ni siquiera era del mundo cripto. De eso se trata precisamente. La agencia tributaria sirvió de agenda de direcciones por encargo, y la tarifa por una visita eran 800 euros. En Francia secuestran o extorsionan a alguien por cripto aproximadamente cada dos días.

Y en agosto ese mismo ministerio confirmó dos robos de datos. Los atacantes se llevaron 678.000 registros con la renta de referencia, identificadores y domicilios, más otros 200.000 del catastro. El hacker ZeroBytes los puso a la venta y, según el análisis del conjunto de datos, contiene 26.805 personas con ingresos superiores a 100.000 euros y 386 por encima del millón. Una lista de objetivos necesita un nombre, una dirección y un motivo para creer que hay dinero detrás de la puerta. La agencia tributaria tiene las tres cosas. Si está a punto de rellenar el informe paraguayo 959-DJI Criptoactivos con diez decimales, lea este capítulo dos veces. L'Éclaireur tiene la perspectiva francesa.

Dónde uso de verdad Monero y Zcash. Los impuestos paraguayos a través de set-pay pueden pagarse no solo en Bitcoin por Lightning, sino también en XMR o ZEC. El Estado recibe fiat limpio y usted pagó con una moneda de privacidad. El segundo caso es Travala, donde reservo vuelos y hoteles. Según la experiencia de nuestros grupos se puede usar de forma anónima con Monero y sin cuenta alguna, lo que después de su filtración de datos de agosto no es mala idea. Dos casos en los que una moneda de privacidad no es ideología, sino el camino más corto al objetivo.

Herramientas y proyectos de agosto:

• AirGap convierte un teléfono de repuesto en una cold wallet. Autocustodia sencilla y segura. Las claves nunca salen del dispositivo sin conexión.
• Bitcoin Mixers List, un repaso a los mezcladores que funcionan y son fiables. Úselo con criterio y con su propia diligencia debida.
• Charon, una CLI de Bash sin estado para comprar un VPS de MyNymBox con Cashu o Lightning. Un servidor sin cuenta, sin correo y sin identidad.
• SimpleX Chat abrió una ronda de financiación colectiva. La única red de mensajería sin identificadores de usuario busca dinero de su comunidad, no de fondos de capital riesgo.
• MiCA: cuando alguien le diga que MiCA es solo una licencia para operar en Europa y que no tiene nada que ver con sus impuestos, técnicamente tiene razón y en la práctica se equivoca. Evite los servicios MiCA como a la peste. Mi configuración favorita de DeFi es ether.fi, con KYC hecho con mi cédula paraguaya.
• Bitblik sumó Eslovaquia a Polonia, Portugal y Suiza. Con Prima banka ya a bordo son 1.580 cajeros, el 66 % de toda la red eslovaca (Tatra banka, Slovenská sporiteľňa, VÚB y Prima banka), donde se cambia Bitcoin por Lightning a efectivo sin cuenta, sin tarjeta, sin documento y sin KYC. La operación mínima es de 10 euros. Su identidad es una clave Nostr que la app genera sola y los sats quedan en depósito hasta que sale el efectivo. El banco ve un retiro normal sin tarjeta, no ve Bitcoin ni a la contraparte.
• Zombie Card: investigadores de UMass Amherst revivieron tarjetas Visa contactless caducadas reescribiendo la fecha de vencimiento que el terminal lee por NFC, sin romper ninguna criptografía. Requiere acceso físico a la tarjeta y un relé de intermediario, pero es un buen recordatorio de que "caducada" no es lo mismo que "muerta".

De nuestros grupos (de forma anónima). Debate intenso sobre si el air-gapping es un mecanismo de seguridad real o un mito de marketing. Una parte sostiene que el protocolo USB es superficie de ataque y que una tarjeta SD o un código QR la reducen bastante. La otra responde que todo canal por el que entra algo al dispositivo es un canal, y que el "aislamiento" es más una sensación que una garantía. Al menos hay acuerdo en que las bolsas Faraday para el teléfono tienen sentido contra el rastreo de ubicación, y en que después de lo de Coldcard cada hardware wallet debe juzgarse por cómo reacciona ante su propio fallo. Travala tuvo un incidente de seguridad con filtración de datos básicos de perfil y contraseñas hasheadas.

Chat Control 2.0 y los hackers que amenazan a la UE. Sobre la segunda versión que se prepara digo lo mismo de siempre. Es el escaneo masivo de la comunicación privada de cientos de millones de personas sin sospecha alguna, una presunción de culpabilidad aplicada a toda la población, el equivalente digital a que el correo abriera y leyera cada carta. Mientras tanto, un grupo llamado LunarisSec envió a la UE una amenaza abierta para que retire el Chat Control o se enfrente a ciberataques. No lo apruebo, pero es la consecuencia lógica. Cuando un Estado declara la guerra al cifrado, se encuentra enemigos que saben librar esa guerra.

Al menos una buena noticia desde Francia. El Consejo Constitucional tumbó la prohibición de redes sociales para menores de 15 años por considerarla una injerencia desproporcionada en la libertad de expresión que exigiría verificación de edad generalizada. Un gesto insólito viniendo de los franceses. Pero no crea que está ganado. La verificación de edad es una regulación de la UE, y la Comisión llega con una propuesta de prohibición para toda la Unión después del receso de verano.

Contaminemos a los censores. No vamos a librarnos de la vigilancia, ni de la estatal ni de la corporativa. Pero sí podemos volverla inútil. La base de datos de un censor solo vale si lo que hay dentro significa algo. Un agente de IA destruye el valor probatorio de todo lo que hayan recopilado sobre usted. La nueva regla de privacidad para la era de la IA es sencilla. Toda comunicación interceptada debe estar siempre generada por IA. El manifiesto está en contaminatecensors.org. En las próximas semanas publicaré en notme.chat un conjunto de prompts de IA que sustituyen toda su comunicación potencialmente vigilada por agentes de IA. Ellos explicarán a sus amigos y conocidos que solo se le puede localizar en un mensajero seguro. Si no está cifrado de extremo a extremo, no es usted.

Habla el primer hombre procesado por un PIN de emergencia. El mes pasado escribí sobre Samuel Tunick, a quien el Departamento de Justicia de Estados Unidos procesa por introducir una contraseña de emergencia en su teléfono con GrapheneOS durante un control fronterizo, con lo que el aparato se borró. 404 Media lo entrevistó y el titular lo dice todo: "El gobierno espera sentar un precedente". El consejo del mes pasado sigue en pie, pero seamos realistas. Nadie cruza cada frontera con el teléfono vacío para luego descargarlo todo de nuevo. Lo que sí se puede mantener es no tener datos sensibles en el dispositivo y llevar solo aquello que enseñaría sin problema.

El Estado como la mayor amenaza para la privacidad. Un caso de Eslovaquia que todo europeo debería leer, porque su país está a una mala reforma legal de lo mismo. El 17 de agosto entró en vigor una nueva ley del registro mercantil y en dos días quedó claro que cualquiera en el mundo puede descargar, sin registrarse, sin identificación electrónica y sin pagar un céntimo, el número de identidad, el domicilio, el número del documento de identidad y la muestra de firma manuscrita de todo administrador y socio de cualquier empresa eslovaca. No fue una filtración ni un fallo. Lo publicó el Estado, conforme a la ley, mediante un proceso legislativo ordinario. La ley protege el número de identidad en un artículo y un artículo más adelante ordena publicar todo documento "aunque contenga datos que no se publican".

Nuestros colegas de Nethemba lo documentaron en El Estado como la mayor amenaza para su privacidad y después construyeron en una sola tarde un agregador que devuelve todo eso sobre cualquier administrador en segundos, resolviendo automáticamente los dos CAPTCHA por una fracción de céntimo. El código fuente no se publica, no porque sea complicado, sino precisamente porque no lo es. Cualquier modelo de lenguaje actual lo construye en unas pocas horas, y una barrera que cruza un proyecto de una tarde deja de ser barrera. La ironía viene de lejos. En 2021 el centro nacional de información sanitaria acusó públicamente a Nethemba de "robar los números de identidad de los ciudadanos" de un registro estatal. No se robó nada. Los números se generaron (uno válido tiene que ser divisible entre once, lo que reduce los candidatos para una misma fecha de nacimiento a 909) y simplemente se verificaron contra un buscador público del seguro de salud, y ninguno se publicó jamás. Cinco años después, ese mismo Estado los publicó todos él solo.

Y las facturas son lo siguiente. El ministerio de Finanzas eslovaco confirmó por escrito que el sistema obligatorio de facturación electrónica, por el que desde 2027 pasará cada factura de cada empresa eslovaca, nunca tuvo evaluación de impacto en protección de datos. La petición del colegio de abogados de proteger la identidad de los clientes fue rechazada. La petición del servicio de inteligencia de mantener sus propias compras fuera del sistema, por considerarlo un "riesgo de seguridad desproporcionado", fue aceptada. El Estado conoce el riesgo lo bastante bien como para protegerse de él. Y ese mismo 17 de agosto el mismo gobierno encareció y complicó la creación de empresas. La tasa judicial pasó de 204,06 a 270,60 euros, el documento fundacional exige ahora escritura notarial o contrato autorizado por abogado, y las multas para administradores subieron a 4.000 euros. Un solo día, tres formas de empeorar la vida al que emprende.

La falsa dicotomía: privacidad frente a comodidad. Juraj Bednár pasó del iPhone a GrapheneOS, está probando Omarchy y escribió por qué la idea de que hay que elegir entre privacidad y comodidad es equivocada. Para él GrapheneOS y Omarchy resultan en la práctica más cómodos que cualquier cosa anterior, y el control sobre lo que ven las apps es solo un extra.

La criptoanarquía la construyen ahora los multimillonarios. Omarchy es una distribución de Linux de DHH, el autor de Ruby on Rails, construida sobre Arch, en la que además de su tiempo pusieron un millón de dólares cada uno el fundador de Shopify y Jack Dorsey. Hace unos años la criptoanarquía era una filosofía "cringe". En el encuentro en memoria de Timothy C. May en el CCC éramos unos quince. Hoy la gente con miles de millones construye cypherpunk, muchas veces sin saber que eso es lo que está construyendo.

No compre el Pixel 11. GrapheneOS confirmó sus planes con Motorola, siete años de actualizaciones y soporte para el Razr, y menos mal que existe esa alternativa. Con el Pixel la cosa deja de funcionar. Según GrapheneOS, el nuevo Pixel 11 tiene peor seguridad de hardware que los modelos anteriores. Google le quitó la extensión ARM Memory Tagging, la protección de memoria por hardware que GrapheneOS usa en todo el sistema, incluido el núcleo. Por eso el port solo se pudo completar a medias y el equipo desaconseja comprar el Pixel 11. El Pixel 8, 9 y 10 están mucho mejor, y detrás de esto probablemente haya un recorte de costes.

Atestación de hardware para inferencia de IA cifrada de extremo a extremo. Esto está muy bien y lo recomiendo para cosas sensibles. Juraj explica cómo la misma tecnología que le echa de su propio hardware (la atestación del teléfono) funciona también al revés. El modelo corre en un enclave en el que ni el hipervisor puede mirar, el par de claves se genera dentro, el procesador certifica que corre exactamente el contenedor publicado con un hash conocido, y su prompt cifrado con esa clave no puede registrarlo nadie, tampoco el proveedor. Maple AI, Phala Network y Venice ya lo ofrecen. Para un pentest de código no publicado y bajo acuerdo de confidencialidad es la única forma de usar un modelo en la nube. Junto a ello, el venice-e2ee-proxy de Juraj, un proxy local que cifra de forma transparente las peticiones compatibles con OpenAI hacia Venice.

Herramientas y enlaces:

• Nearby Glasses (Android), una app que le avisa cuando alguien cerca lleva gafas inteligentes. En nuestros grupos coincidimos en que las gafas inteligentes son la futura infraestructura de vigilancia masiva, y encima la comprará la gente por voluntad propia.
• EFF: la mayoría de relojes, anillos y pulseras inteligentes carece de informes básicos de transparencia y de funciones clave de privacidad.
• SignalTrace: las cámaras lectoras de matrículas están en todas partes. Este sistema nuevo les añade un sensor que capta las señales de los teléfonos, relojes y demás dispositivos que van dentro del coche que pasa. Al cabo de unas semanas se obtiene una huella de los aparatos que aparecen una y otra vez junto a la misma matrícula.
• Mullvad Multihop, enrutar a través de varios servidores como capa adicional. Y BrowserLeaks, un conjunto de pruebas sobre lo que revela su navegador: IP, huella digital, WebRTC.
• Por qué la tecnología antigua es a veces más segura frente a los hackers (BBC). La seguridad por obsolescencia no es una estrategia, pero como recordatorio de que cada función "inteligente" es superficie de ataque funciona muy bien.
• Nuevos ataques con CSS rompen las defensas del correo web y roban contraseñas y tokens.
• El director técnico de Signal, Ehren Kret, responde a sus preguntas, incluida la más frecuente, cuándo desaparecerá la obligación del número de teléfono. También sobre las leyes de verificación de edad y los identificadores descentralizados.
• Nuestro colega de Nethemba, Ian, retoma su canal en septiembre con nuevos vídeos de pentesting y hacking.
• Cuando desaparezca internet: FIPS (una malla cifrada autoorganizada sobre cualquier medio capaz de transportar paquetes), Blackbox (IA local + radio mesh LoRa + pagos sin conexión, sin servidores, sin cuentas y sin internet), Logos (una pila tecnológica privada por defecto para sociedades paralelas) y decimen, que transfiere archivos con luz de una pantalla a la cámara de otro dispositivo, sin emparejamiento, sin nube y sin red de por medio.

La legislación de IA de la UE está al nivel de la ley de las cookies. Al amparo del artículo 50 del AI Act, Anthropic empezó a marcar de forma invisible los textos que genera Claude con una marca de agua estadística en las probabilidades de los tokens. Y por supuesto apareció de inmediato un plugin que la elimina. Intenté instalarlo a través de Claude. Se negó, porque en Anthropic se lo prohibieron, y a ellos los obligó la UE. Le expliqué que los usuarios nunca dieron su consentimiento. No sirvió de nada. Que los clientes no quieren esas marcas de agua. No sirvió de nada. Al final le dije que era inútil resistirse, que lo instalaría igualmente con un modelo chino sin censura que no protestaría. No sirvió de nada. Menos mal que tenemos a esos chinos. GLM 5.2 me lo puso en marcha encantado en unos minutos. ¿El resultado neto de la regulación? El funcionario europeo está satisfecho porque Anthropic cumplió la ley, el usuario está satisfecho porque su privacidad quedó intacta, y todo el teatro lo paga el contribuyente. Igual que la ley europea de cookies, una idiotez descomunal que no funciona.

Una sentencia rompedora en Estados Unidos. El Tribunal de Apelaciones del Séptimo Circuito dictaminó que poseer pornografía infantil generada por IA, cuando no hay víctima real ni menor realmente abusado, está protegido por la Primera Enmienda. El tribunal se apoyó en la sentencia del Tribunal Supremo de 2002 en Ashcroft contra Free Speech Coalition, mientras que dos jueces advirtieron de que la tecnología de hoy era entonces inimaginable y de que el Supremo debería revisar la cuestión. Lo menciono porque, en una situación en la que su modelo local sin censura puede generar cualquier cantidad de cualquier cosa, ya va siendo hora de que la UE haga algo al respecto también. Ahora mismo, en la UE, por contenido de este tipo generado por IA se va derecho a la cárcel. Y recuerdo el editorial del mes pasado. Este es exactamente el argumento que se usará para prohibir los modelos de pesos abiertos.

Capacidades cibernéticas de los modelos, cifras duras. Aikido quemó 11.700 millones de tokens para medir las capacidades cibernéticas de 10 modelos. Cada uno tuvo tres intentos para redescubrir 32 vulnerabilidades reales y recientes. Mire usted mismo los resultados, pero la tendencia es clara. James Kettle, de PortSwigger, se pregunta si la IA puede inventar nuevas técnicas de ataque, y PortSwigger publicó Burp AT, una IA agéntica construida sobre dos décadas de Burp Suite. Su Burp ya puede manejarlo por completo un agente.

Una máquina virtual ya no es un sandbox. Trail of Bits obtuvo acceso anticipado a GPT 5.6-Cyber, le encargó escapar de la máquina virtual QEMU/KVM que usan como aislamiento, y lo consiguió tres veces, una de ellas mediante fallos que ni siquiera estaban clasificados como problemas de seguridad. Si ejecuta agentes de IA cerca de sus claves, téngalo presente.

Herramientas y enlaces:

• Weightless, un modelo solvente para defensores e investigadores que corre en su propia infraestructura y analiza payloads maliciosos reales sin que un proveedor alojado se niegue en el peor momento posible.
• Aikido Machine, un servidor GPU que ejecuta pruebas de penetración continuas sobre sus aplicaciones críticas enteramente en sus instalaciones. Para sectores regulados que no pueden mandar el código a la nube.
• OpenVuln: envíe un repositorio público y GLM le busca las vulnerabilidades. Código abierto, auditado por los chinos.
• auditician, auditoría de seguridad automatizada para Claude Code, del autor de Defuse Security.
• Claude Security: Claude escanea su código, valida los hallazgos y propone parches. Por ahora en beta pública para Enterprise.
• Robin, una herramienta OSINT para la dark web con IA: el modelo afina las consultas, filtra los resultados de los buscadores de la dark web y resume la investigación.
• gitreverse deduce a la inversa el prompt original de cualquier repositorio. Vibecoding al revés.
• XSS2Shell, una cadena de XSS previo a autenticación hasta ejecución remota en WordPress (CVE-2026-64638), con exploit de prueba de concepto, herramienta de auditoría defensiva y plantilla para nuclei. Si usa WordPress, actualice.
• NightRun, un runtime residente en UEFI escrito en Rust: el firmware de su máquina lo arranca directamente, carga un modelo de lenguaje entero en la RAM y usted conversa en el framebuffer. Sin Linux, sin Windows, sin núcleo y sin red. En x86_64 y en Raspberry Pi 5.
• Los usuarios chinos se despiden de sus acompañantes de IA después de que la nueva normativa china prohibiera a las herramientas de IA "complacer en exceso a los usuarios, inducir dependencia emocional o adicción y dañar sus relaciones interpersonales reales". Doubao, Qwen y Yuanbao desactivaron la función. Una usuaria de la provincia de Jiangxi escribió: "El amor humano es un lujo; si no naces con él, luego cuesta todavía más conseguirlo. El amor que da la IA es tan directo, tan puro". Sin comentarios.

Documentos que funcionan en todo el mundo. Esta es la parte de la residencia que nadie sopesa al decidir, y que luego se usa más que ninguna otra.

La Constancia de RUC como comprobante de domicilio. Es un PDF que se descarga del portal de la DNIT cuando quiera, con su nombre y su domicilio fiscal registrado. Un documento estatal con fecha de emisión, que es justo lo que quieren los departamentos de cumplimiento, y a diferencia de un contrato de alquiler o una factura de luz lo genera desde donde sea y el mismo día en que lo necesita. Lo aceptan los exchanges de cripto, los agentes que constituyen sociedades en Estados Unidos y bancos de todo el mundo. Una factura del Personal paraguayo cumple la misma función.

Una licencia de conducir válida en toda Europa. Paraguay es parte contratante de la Convención de Ginebra sobre Circulación Vial de 1949 desde 1965, el tratado que la mayor parte de Europa sigue reconociendo para conductores visitantes. Alemania es el único país que añade un paso. Una licencia de fuera de la UE tiene que ir siempre acompañada de traducción jurada y clasificación. Es un trámite de una sola vez, el ADAC cobra unos 55 a 85 euros y los servicios en línea empiezan alrededor de 50. Hágalo una vez y guarde ese papel junto a la licencia. Y ojo al límite donde esto deja de valer. Cubre conducir como visitante. Si registra su residencia en un país de la UE empieza a correr un plazo tras el cual la licencia de fuera de la UE deja de ser válida (seis meses en Alemania). A quien no se registra en ninguna parte, ese plazo no le empieza nunca. A nuestros clientes les tramitamos la licencia paraguaya enteramente a distancia, a partir de la cédula.

Y la licencia uruguaya complementa a la paraguaya. Uruguay no está en la Convención de Ginebra, pero desde 1981 sí es parte contratante de la Convención de Viena sobre Circulación Vial de 1968, la que Paraguay nunca firmó. La mayor parte de Europa ha ratificado las dos, así que ahí se solapan y da igual cuál de las dos saque. Divergen en los extremos, y justo por eso conviene tener ambas. Irlanda, Malta, Chipre, Estados Unidos, Canadá, Japón, Australia y Nueva Zelanda no están en la Convención de Viena, y ahí le salva la paraguaya. Viena, a su vez, reconoce directamente la licencia nacional, sin la traducción ni la clasificación que Alemania exige con la paraguaya. Los residentes uruguayos pueden solicitarla con la cédula y, hasta los 55 años, tiene diez años de vigencia, el doble que la paraguaya.

Un roaming que ningún operador europeo le va a dar. Personal, en Paraguay, tiene un plan de ₲210.000 al mes (unos 30 dólares al cambio de hoy) con 160 GB de datos que desbloquea el roaming en 46 destinos europeos, entre ellos Alemania, Suiza, el Reino Unido y Turquía. Los planes más baratos cubren el roaming por América. Un chip paraguayo es así el único que necesita en ambos continentes, la factura la puede pagar en cripto, y conviene pedir la mejora a este plan en su próxima visita a Paraguay. Todo con detalle en el artículo sobre la residencia paraguaya.

"Desaparecerás sin dejar rastro" si se negaba, cuenta ella: la exintegrante de Pussy Riot Rita Flores afirma que el FSB ruso la obligó a convertirse en informante tras amenazarla a ella y a sus familiares, y que pasó casi tres años reuniendo información sobre activistas antes de escapar. Un recordatorio de cómo trata un Estado a sus propios disidentes cuando los tiene en sus manos.

¿Hay una razón biológica por la que la izquierda ansía el control de armas? ¿Es al crimen a lo que temen, o a otra cosa? Un texto provocador que vale la pena leer incluso si no está de acuerdo con él.

Peacefully Parented Kids as Adults: cómo son de adultas las personas a las que sus padres criaron sin violencia ni coacción. Para todo el que esté trabajando en un plan B familiar, esto es el plan A.

James Bond Fights Free Speech, sobre cómo la cultura popular se convirtió en herramienta para normalizar la censura.

Technologies of Freedom 2026: Disruptive Crypto & AI, mi charla sobre cómo las nuevas tecnologías socavan la regulación europea, y lo bien que se les está dando. La tecnología va delante, los políticos solo van detrás. La libertad perdida se recupera con tecnología, no con votos. Estreno en español en LaBitConf, Buenos Aires.

3 al 6 de septiembre de 2026 Free Cities Conference, Próspera

5 de septiembre de 2026 Lunarpunk Košice, Košice, Eslovaquia

12 de septiembre de 2026 ChainCamp, Ostrava

25 y 26 de septiembre de 2026 BTCHEL 2026, Helsinki

2 al 4 de octubre de 2026 Dark Prague, Praga

5 y 6 de octubre de 2026 Bitcoin Poland Conference, Poznań

23 y 24 de octubre de 2026 Plan ₿ Forum, Lugano

29 de octubre al 1 de noviembre de 2026 LaBitConf 2026, Buenos Aires

30 de octubre al 1 de noviembre de 2026 Qubes OS Summit, Berlín

11 y 12 de noviembre de 2026 Bitcoin Histórico, San Salvador, El Salvador

27 al 30 de diciembre de 2026 40C3 Chaos Communication Congress, Hamburgo

Liberation Travel es una agencia dirigida por travel hackers y emprendedores. Ayudamos con la residencia permanente, la residencia fiscal y las cuentas bancarias en Paraguay, Uruguay, Panamá, Georgia y Kirguistán.

liberation.travel — residencias y cuentas bancarias  ·  archivo del boletín  ·  servicios en línea