Phishing en cripto: cómo reconocerlo y protegerte

Qué es el phishing en cripto

El phishing es un engaño en el que alguien se hace pasar por una persona, empresa o servicio de confianza para que entregues información o hagas clic en algo peligroso. En cripto, el objetivo suele ser tu frase secreta de recuperación, tu clave privada o una aprobación para mover tus monedas.

CISA, la agencia de seguridad informática de Estados Unidos, explica que estos mensajes llegan por correo, mensaje de texto, mensajes directos en redes sociales o llamadas telefónicas. Están diseñados para parecer confiables y para que respondas rápido, sin pensar.

Por qué en cripto es más grave

Con un banco tradicional, muchas veces puedes disputar un cargo fraudulento. Con cripto, la FTC explica que los pagos normalmente no son reversibles: si envías dinero a quien no debías, solo lo recuperas si esa persona lo devuelve. Por eso, en cripto la prevención pesa más que la reparación.

Además, la FTC señala que las cuentas de cripto no están aseguradas por un gobierno. Si alguien obtiene el acceso a tu billetera, nadie está obligado a ayudarte a recuperar los fondos.

Un ejemplo con números

Supón que recibes un mensaje que dice que tu cuenta se bloqueará y que debes aprobar una transacción de US$ 800 para “desbloquearla”. Si aprobar esa transacción mueve tus monedas a la cuenta del estafador, habrás perdido US$ 800 en un instante. Este ejemplo es inventado y sirve para ver cómo funciona el engaño.

Formas que toma el engaño

Los estafadores usan varios canales al mismo tiempo:

• Correos y mensajes de texto que imitan a una plataforma, con un enlace para “verificar” tu cuenta.
• Mensajes directos en redes sociales de supuestos soportes técnicos o de amigos.
• Llamadas de alguien que dice ser del soporte y te pide información para confirmar tu identidad.
• Sitios falsos que copian el diseño de una billetera o de una plataforma.
• Ventanas emergentes que aparecen en el navegador y piden firmar algo.

La regla general es la misma en todos los casos: si el mensaje llega sin que lo hayas pedido y te presiona, es sospechoso.

Señales que delatan un mensaje falso

CISA señala varias señales comunes:

• Lenguaje urgente o emocional, sobre todo si dice que habrá consecuencias graves si no respondes de inmediato.
• Pedidos de información personal o financiera.
• Enlaces acortados que no reconoces.
• Direcciones de correo o enlaces que parecen correctos, pero tienen pequeñas diferencias.

Antes, los errores de gramática eran una señal clara. Hoy, con la inteligencia artificial, algunos correos falsos están bien escritos, así que no conviene confiar solo en eso.

Las tres reglas de CISA: reconocer, resistir y borrar

CISA resume la respuesta en tres pasos:

1. Reconocer. Busca las señales de alerta del punto anterior.
2. Resistir. No hagas clic en enlaces ni archivos que parezcan demasiado buenos o demasiado urgentes. Reporta el mensaje en la plataforma donde lo recibiste.
3. Borrar. Elimina el mensaje. No respondas ni hagas clic en ningún enlace, incluido el de “darse de baja”.

Si un mensaje te parece real, no hagas clic en su enlace ni llames al número que trae. Busca el contacto oficial de la empresa por tu cuenta, o escribe la dirección del sitio tú mismo.

Cómo suplantan billeteras y soporte

La billetera MetaMask explica en su página de soporte cómo distinguir su versión real de las imitaciones. Sus reglas sirven de ejemplo de lo que una billetera legítima hace y no hace:

• Solo existen dos formas oficiales de la billetera: la extensión del navegador y la aplicación móvil. Cualquier otra cosa es sospechosa.
• No necesitas ingresar tu frase secreta de forma rutinaria. Solo la necesitas al crear la billetera por primera vez o al restaurarla.
• Nunca ingreses tu frase secreta en un sitio web, por convincente que parezca.
• MetaMask no te regala activos, ni tokens, ni dinero, ni airdrops.
• Su soporte nunca te escribe primero y nunca te pide la frase secreta. Tampoco atiende casos por redes sociales ni mensajes privados.
• MetaMask no debería abrir ventanas que te pidan firmar una transacción sin que tú la hayas iniciado.

Si alguien se presenta como soporte, desconfía por defecto y busca el canal oficial desde la propia aplicación.

Qué hacer si ya abriste un enlace o entregaste datos

Si hiciste clic en un enlace sospechoso, lo primero es no ingresar más datos y cerrar la página. Después, revisa la actividad de tu cuenta y de tu billetera.

Si entregaste tu frase secreta, MetaMask recomienda migrar a una billetera nueva, porque la anterior queda comprometida aunque la persona que la tiene no sea maliciosa. Para ello, crea una billetera nueva con una frase generada en tu propio dispositivo y mueve tus fondos allí.

También conviene cambiar las contraseñas de tus cuentas y reportar el caso. Puedes hacerlo a la FTC en ReportFraud.ftc.gov y a la plataforma que usaste.

Hábitos que reducen el riesgo

Los siguientes hábitos son sencillos y muy efectivos:

• Contraseñas fuertes y, si puedes, un gestor de contraseñas.
• Autenticación multifactor, para que el acceso requiera algo más que la contraseña.
• Actualizaciones de software al día, porque corrigen fallas que los criminales aprovechan.
• Escribir tú mismo la dirección de la plataforma, en lugar de hacer clic en un enlace.
• Descargar solo de fuentes oficiales, como la página de la empresa o las tiendas de aplicaciones.

Los mensajes falsos también pueden llegar por WhatsApp o SMS, igual que por correo. Aplica la misma regla en todos los canales.

Para entender otras estafas que combinan presión y pagos en cripto, lee la guía sobre estafas cripto. Y si quieres saber qué es una billetera y por qué su clave es tan importante, revisa qué es una billetera cripto.

Más a fondo

La frase secreta de recuperación es, en la práctica, la llave completa de tus monedas. Quien la tiene puede crear una billetera idéntica y mover todo lo que contiene. Por eso ninguna página, soporte o aplicación legítima debería pedirla.

Un detalle técnico que los estafadores aprovechan es la firma de transacciones. Cuando una ventana te pide firmar algo sin mostrar a dónde va el dinero, la firma puede dar permiso para mover tus monedas. MetaMask indica que las transacciones legítimas muestran información como la dirección de destino y el monto. Si esa información falta, lo más probable es que sea una estafa.

Si tienes dudas sobre la seguridad de tus fondos, consulta a un profesional de seguridad informática o a un asesor financiero antes de actuar.