Seguridad · · 6 min de lectura
Ataques de phishing en cripto: cómo funcionan y cómo protegerte
El phishing es una estafa en la que el atacante se hace pasar por una empresa o persona de confianza para convencerte de entregar información o aprobar una operación con tus propias manos. En cripto el objetivo suele ser el acceso a tu cuenta del exchange, la frase de recuperación de tu billetera o una firma hecha desde ella; si cualquiera de esas cosas cae en malas manos, tus fondos pueden vaciarse en minutos.
En la banca, una transferencia equivocada a veces se puede revertir. Una transferencia confirmada en la blockchain, no. Por eso la mejor defensa contra el phishing son los hábitos que actúan antes del momento de hacer clic.
Cómo funciona el phishing
Todo ataque de phishing tiene tres partes:
- El cebo: un mensaje pensado para que actúes. "Detectamos un inicio de sesión sospechoso", "tu retiro está retenido" o "tu recompensa vence en 24 horas".
- El anzuelo: una página, formulario o pantalla de app casi idéntica a la real.
- La cosecha: la contraseña, el código de verificación o la frase de recuperación que escribes, o la firma que apruebas. El atacante la usa de inmediato.
Estos mensajes se apoyan en la presión psicológica. Las cuatro palancas más comunes son la urgencia (hazlo ya o pierdes), el miedo (tu cuenta será cerrada), la recompensa (tokens gratis, un bono) y la autoridad (el equipo de seguridad del exchange, un organismo oficial). Si un mensaje usa dos de ellas a la vez, ya tienes motivo suficiente para detenerte a pensar.
La economía del ataque también enseña mucho. Supongamos que se envía un correo a 100.000 personas. Si solo el 1% hace clic y el 5% de esas personas ingresa sus datos, 50 caen en la trampa. Como enviar mensajes cuesta casi nada, al atacante no le importa que la mayoría no se deje engañar.
Las caras del phishing en cripto
Los ataques llegan por distintos canales:
- Correo y SMS: avisos que parecen venir de un exchange o de un proveedor de billeteras. La versión por SMS a veces se llama smishing.
- Anuncios en buscadores: al buscar el nombre de un exchange o una billetera, el resultado pagado que aparece arriba puede llevar a un sitio falso.
- Redes sociales y grupos de chat: se publica un "anuncio" desde la cuenta secuestrada de un proyecto, o alguien te ofrece "soporte" por mensaje privado.
- Dominios parecidos: direcciones con una o dos letras cambiadas, como "ejemp1oexchange.com" o "ejemploexhcange.com" en lugar de "ejemploexchange.com".
- Páginas falsas para conectar la billetera: no te piden una contraseña, sino que firmes una operación con tu billetera.
Este último tipo es propio de cripto y especialmente traicionero. Algunas firmas le dan a un contrato inteligente permiso para gastar tus tokens. Un contrato inteligente es un programa que se ejecuta solo en la blockchain, y el permiso que le das sigue vigente aunque salgas del sitio. Si no entiendes qué te pide aprobar la pantalla de firma, rechazarla es la opción más segura.
Las cuentas falsas de soporte, el envenenamiento de direcciones y el malware que cambia una dirección copiada son parientes cercanos del phishing; cada uno da para un artículo propio.
Cómo leer bien una dirección
La mayoría de los sitios falsos aprovecha que leemos los dominios a toda prisa. Algunas reglas ayudan:
- El dominio real es la parte justo antes de la extensión. En "ejemploexchange.com.verificar-acceso.net" el sitio en realidad es "verificar-acceso.net"; el "ejemploexchange.com" del principio es solo un subdominio.
- Fíjate en las letras parecidas. La pareja "rn" puede pasar por "m" a simple vista, y en muchas fuentes la "I" mayúscula no se distingue de la "l" minúscula.
- Se pueden usar letras de otros alfabetos. La "а" cirílica se ve igual que la "a" latina. A veces los navegadores muestran esas direcciones en un formato que empieza con "xn--"; si ves uno, ten cuidado.
- El candado no es un certificado de confianza. Solo indica que la conexión está cifrada, no quién es el dueño del sitio. Los sitios falsos también usan conexiones cifradas sin problema.
El método más sólido es verificar una sola vez las páginas de los exchanges y billeteras que usas, guardarlas como marcadores en el navegador y entrar siempre desde esos marcadores. Si nunca haces clic en enlaces que llegan por mensaje, te ahorras casi todo el trabajo de revisar direcciones.
Hábitos que te protegen
| Situación | Respuesta correcta |
|---|---|
| Te piden la frase de recuperación | Ningún soporte, sitio web ni formulario de "verificación" la necesita; el pedido en sí es señal de ataque |
| Llega una alerta urgente | No uses el enlace del mensaje; entra a tu cuenta desde tu propio marcador y revisa ahí |
| Alguien ofrece ayuda por mensaje privado | El soporte oficial normalmente no te escribe primero; verifica el canal por tu cuenta |
| La billetera te pide una firma | No firmes lo que no entiendes; revisa el monto y el alcance del permiso |
| Aparece una oferta de tokens gratis | Un reparto que parece gratis puede ser una trampa para que conectes tu billetera y firmes |
La frase de recuperación solo se escribe en el propio software o dispositivo de la billetera, al restaurarla. No hay ningún motivo legítimo para que una página web te la pida.
La verificación en dos pasos (2FA) es una capa importante, pero no frena todo intento de phishing. Si la página falsa reenvía en tiempo real al sitio verdadero el código que escribes, el atacante puede abrir la sesión. Las llaves de seguridad físicas que comprueban el dominio resisten mejor este tipo de reenvío, porque no funcionan en un dominio falso.
Separar tus fondos también limita el daño. Si la billetera que usas a diario guarda solo lo necesario, una sola firma equivocada no se lleva todos tus ahorros.
Si caíste en la trampa
Actúa rápido y en orden:
- Si compartiste tu frase de recuperación, da esa billetera por perdida. Crea una billetera nueva y mueve allí de inmediato los fondos que queden.
- Si escribiste la contraseña del exchange, cámbiala junto con el 2FA, cierra todas las sesiones abiertas y revisa tu lista de direcciones de retiro.
- Si aprobaste una firma, revoca los permisos de gasto desde la pantalla de gestión de permisos de tu billetera.
- Contacta al exchange solo por su app oficial o desde el sitio que guardaste como marcador.
- No envíes dinero a quien prometa "recuperar tus pérdidas". Esas ofertas suelen ser una segunda estafa.
Resumen
- El phishing imita a una organización de confianza para obtener tu contraseña, tu frase de recuperación o una firma.
- La urgencia, el miedo, la recompensa y la autoridad son las herramientas de presión más comunes.
- El dominio real es la parte justo antes de la extensión; el candado no prueba que un sitio sea auténtico.
- Usar marcadores, no escribir nunca la frase de recuperación en un sitio web y rechazar firmas que no entiendes son los hábitos más eficaces.
- Si caes, lo primero es mover los fondos a una billetera nueva y revocar los permisos.