Phishing y falsos servicios de criptomonedas: mitos, señales y protección
Una página fraudulenta no necesita vulnerar una blockchain para robar criptoactivos: le basta con inducir al usuario a revelar una frase de recuperación, firmar una autorización peligrosa o enviar fondos a una dirección controlada por el atacante. Por eso, la apariencia del sitio es una señal secundaria. La comprobación debe centrarse en el dominio, el origen del contacto, la operación solicitada y el contenido exacto que muestra la cartera antes de confirmar.
Protocolo de comprobación de afirmaciones
La siguiente tabla formula primero el hecho técnicamente correcto y, después, la simplificación que conviene evaluar. El veredicto no sustituye la verificación del servicio concreto ni de las condiciones de una operación.
| Formulación correcta y simplificación | Veredicto | Por qué surge la simplificación | Daño posible | Comprobación observable | Conclusión práctica |
|---|---|---|---|---|---|
| Hecho: HTTPS cifra la comunicación con el dominio abierto, pero no demuestra que ese dominio pertenezca al servicio que pretende representar. Simplificación: «Si aparece el candado del navegador, la web es auténtica». |
Introduce a error. | El candado se asocia intuitivamente con confianza, aunque su función principal es proteger el canal de comunicación. Un atacante también puede configurar un certificado para un dominio parecido al legítimo. | El usuario puede entregar credenciales, datos personales o información de la cartera a una copia visualmente convincente. | Leer el dominio completo, incluidos subdominios, guiones, letras repetidas y caracteres parecidos. No debe comprobarse desde el enlace recibido: conviene contrastarlo con un canal oficial obtenido de forma independiente. CISA recomienda desconfiar de enlaces inesperados y comunicar los mensajes sospechosos por los canales de la organización suplantada. [1] | Tratar HTTPS como requisito técnico básico, no como certificado de legitimidad. |
| Hecho: una cartera puede mostrar acciones distintas al conectarse: revelar una dirección pública, firmar un mensaje, aprobar el uso de tokens o enviar una transacción no son operaciones equivalentes. Simplificación: «Conectar la cartera no puede tener consecuencias». |
Depende de las condiciones. | La interfaz suele agrupar varios pasos bajo botones como «Conectar», «Continuar» o «Verificar». Esa continuidad visual oculta que una solicitud posterior puede crear permisos sobre activos. | Una aprobación amplia puede permitir que un contrato mueva determinados tokens. Desconectar la aplicación no revoca necesariamente una autorización registrada en la red. [2] | Revisar en la ventana de la cartera si se solicita solo conexión, una firma o una transacción. En las aprobaciones deben identificarse el activo, el contrato autorizado, la red y el límite de gasto. Los permisos existentes pueden consultarse mediante las herramientas de aprobación del explorador correspondiente. | Cancelar cuando la descripción no coincide con la acción esperada o no se entiende qué permiso se está concediendo. |
| Hecho: la frase de recuperación y las claves privadas permiten controlar una cartera autocustodiada; un soporte legítimo no las necesita para examinar una incidencia. Simplificación: «Puede facilitarse la frase en un formulario de soporte si la página parece oficial». |
No confirmado como procedimiento legítimo. | El engaño imita procesos conocidos de recuperación de contraseñas y verificación de cuentas. En una cartera autocustodiada, sin embargo, la frase no es una contraseña que un operador deba validar: permite reconstruir las claves. | Quien obtiene la frase puede acceder a las cuentas derivadas de ella y transferir los activos. MetaMask identifica la suplantación del soporte y la petición de la frase de recuperación o de claves privadas como señales de fraude. [3] | Consultar la documentación oficial de la cartera desde una ruta independiente y revisar sus canales reconocidos de asistencia. Si una persona, bot, formulario o aplicación solicita la frase completa para «sincronizar», «desbloquear» o «validar», debe cerrarse sin introducir datos. | No escribir la frase de recuperación en sitios, chats, correos ni formularios enviados por terceros. |
| Hecho: una transacción confirmada en una blockchain pública normalmente no puede ser anulada unilateralmente por el remitente ni por el soporte de una cartera. Simplificación: «El servicio puede revertir cualquier envío si se avisa a tiempo». |
Introduce a error. | Los pagos bancarios y algunas plataformas centralizadas disponen de mecanismos internos de cancelación o disputa. Esa experiencia se traslada indebidamente a operaciones ya registradas en una red descentralizada. | El usuario puede actuar con menos cautela ante un dominio, una dirección o una red incorrectos. También puede caer en un segundo fraude de supuesta recuperación que exige pagos anticipados. | Buscar el identificador de la transacción en el explorador oficial de la red y comprobar el estado, el destinatario y el activo. La documentación de MetaMask advierte que no puede revertir transacciones ni restaurar fondos desaparecidos de una cartera autocustodiada. La FTC también alerta sobre falsas ofertas de recuperación a cambio de dinero o información financiera. [4] | Verificar red, activo y dirección antes de firmar; no basar la seguridad en una recuperación posterior. |
| Hecho: una transferencia de prueba confirma que una pequeña cantidad llegó a una dirección en una red determinada, pero no demuestra por sí sola que toda la plataforma sea legítima. Simplificación: «Si el primer depósito aparece correctamente, el servicio ya está verificado». |
Depende de las condiciones. | La prueba reduce el riesgo de errores de copia, formato o selección de red. Sin embargo, una web falsa también puede mostrar saldos inventados o permitir una operación inicial para generar confianza. | Tras una prueba satisfactoria, el usuario puede enviar una suma mayor o pagar una supuesta comisión adicional para retirar fondos que nunca estuvieron bajo su control. | Separar dos comprobaciones: en el explorador se verifica el movimiento real en la blockchain; en el servicio se comprueba si existe una orden auténtica y si sus condiciones de retiro están documentadas. Un saldo visible únicamente dentro de una página no equivale a fondos controlables. La FTC describe sitios de inversión falsos que muestran una cuenta aparentemente funcional, pero impiden retirar el dinero o exigen nuevos pagos. [5] | Usar la transferencia de prueba para validar datos técnicos, nunca como única prueba de identidad o solvencia del operador. |
| Hecho: el diseño profesional, los testimonios y la presencia en buscadores o redes sociales pueden falsificarse o copiarse. Simplificación: «Una página bien diseñada y con comentarios favorables difícilmente será un clon». |
No confirmado. | La calidad visual funciona como atajo mental: una interfaz pulida se interpreta como resultado de una organización estable. Copiar estilos, logotipos y textos, no obstante, es mucho más sencillo que demostrar quién controla el servicio. | El visitante puede ignorar incongruencias en el dominio, los datos de contacto, las condiciones o las solicitudes de pago. | Comparar las afirmaciones con fuentes independientes, buscar avisos de suplantación y comprobar si los perfiles enlazados reconocen el mismo dominio. Los avales de celebridades, capturas de ganancias y opiniones publicadas por la propia página no constituyen verificación independiente; la FTC señala que estos elementos pueden ser falsos. [5] | Evaluar datos verificables y coherencia operativa, no el nivel de producción gráfica. |
| Hecho: una dirección que aparece en el historial debe compararse completa antes de reutilizarla. Simplificación: «Basta con reconocer sus primeros y últimos caracteres». |
Introduce a error. | Las interfaces suelen abreviar las direcciones, y el usuario aprende a reconocer solo fragmentos. En el envenenamiento de direcciones, el atacante genera una parecida y provoca que aparezca en el historial mediante una transferencia pequeña. | Copiar desde el historial puede dirigir el siguiente envío a la cartera del atacante. Debido a la irreversibilidad práctica de una transferencia confirmada, el error puede no tener corrección. | Obtener la dirección directamente del destinatario por un canal previamente verificado y comparar más que los extremos. MetaMask describe este ataque y recomienda examinar también los caracteres intermedios. [6] | No utilizar el historial de transacciones como libreta de direcciones fiable. |
Señales que deben interrumpir la operación
Una señal aislada no siempre demuestra fraude, pero algunas solicitudes cambian de forma sustancial el nivel de riesgo. Conviene detener el proceso si la página exige la frase de recuperación, una clave privada o la instalación de una extensión no obtenida desde el canal oficial de la cartera. Lo mismo ocurre cuando un supuesto agente inicia el contacto y pide trasladar la conversación a un chat privado.
La presión temporal también tiene una función técnica dentro del engaño: reduce el tiempo disponible para comparar dominios, leer la firma y consultar una segunda fuente. Mensajes sobre una cuenta que será bloqueada de inmediato, un retiro que solo puede desbloquearse mediante otro depósito o una oportunidad que caduca en minutos intentan sustituir la verificación por urgencia. La FTC recomienda no usar los enlaces ni teléfonos incluidos en mensajes inesperados y contactar con la organización mediante datos obtenidos por separado. [7]
Otra señal crítica es una acción desproporcionada respecto del objetivo declarado. Consultar el estado de una orden no requiere importar la cartera en un sitio desconocido; recibir asistencia no exige transferir fondos a una dirección de «protección»; completar un CAPTCHA legítimo tampoco requiere abrir la consola del sistema ni ejecutar comandos. Las instrucciones que no guardan una relación técnica clara con el resultado prometido deben considerarse hostiles hasta demostrar lo contrario. [8]
Dónde la respuesta honesta depende del contexto
Solicitudes de identificación
Pedir documentos no demuestra automáticamente que una página sea fraudulenta, pero tampoco acredita su legitimidad. Las comprobaciones pueden depender del tipo de operación, del proveedor, del país aplicable y del resultado de los controles de cumplimiento. Antes de crear una solicitud deben aclararse qué datos se exigen, con qué finalidad, en qué fase y mediante qué canal se presentan. Una petición recibida por mensaje directo o desde un dominio distinto no queda legitimada porque utilice términos como KYC o compliance.
Disponibilidad de activos, pares y redes
Que un servicio mencione un activo conocido no confirma que admita cualquier red, par o dirección. Un mismo símbolo puede existir en infraestructuras diferentes, mientras que enviar por una red no compatible puede causar la pérdida o inmovilización de los fondos. Además, una página clonada puede copiar una lista real y añadir opciones inexistentes. La disponibilidad actual debe comprobarse dentro del proceso oficial antes de transferir.
Firmas sin coste visible
Una firma que no paga comisión de red no es necesariamente inocua. Algunas firmas sirven para iniciar sesión y otras expresan permisos o autorizaciones que pueden utilizarse después. El riesgo depende del texto firmado, del contrato, del estándar aplicado y del alcance temporal. Si la cartera no permite interpretar claramente la solicitud, la conclusión prudente no es que sea segura, sino que no existen elementos suficientes para autorizarla.
Errores y retrasos
Una demora no prueba por sí misma que el servicio sea falso. Puede relacionarse con confirmaciones de red, congestión, mantenimiento, datos incorrectos o comprobaciones de cumplimiento. La diferencia está en la trazabilidad: debe existir una operación identificable, un estado coherente y un canal oficial que no solicite secretos ni pagos improvisados. Exigir depósitos sucesivos para «liberar» un saldo cambia el escenario y requiere detener cualquier nuevo envío.
Protecciones adicionales antes de usar un criptoservicio
- Separar fondos y navegación: una cartera destinada a interactuar con aplicaciones nuevas limita la exposición de la cartera principal. La separación no elimina el riesgo, pero reduce el conjunto de activos accesibles ante una firma maliciosa.
- Comprobar en la pantalla del dispositivo: cuando se utiliza una cartera física, deben revisarse allí la dirección, la red y el importe. Confirmar mecánicamente anula buena parte de la protección que aporta el dispositivo.
- Conservar pruebas fuera de la página: registrar el identificador de la transacción, la dirección receptora, el activo, la red y los mensajes recibidos facilita reconstruir lo ocurrido si el sitio desaparece o cambia su contenido.
- Revisar permisos antiguos: las autorizaciones de tokens pueden permanecer activas después de cerrar o desconectar una aplicación. Revocarlas es una operación distinta y normalmente requiere una transacción en la red correspondiente. [2]
- Mantener el dispositivo actualizado: el phishing puede combinarse con extensiones falsas, malware o manipulación del portapapeles. Las actualizaciones, el análisis de seguridad y la instalación desde fuentes oficiales reducen esos vectores, aunque no sustituyen la lectura de cada operación.
- No reaccionar a activos no solicitados: tokens o NFT inesperados pueden contener nombres e instrucciones que conducen a páginas maliciosas. Su mera aparición en la cartera o en un explorador no obliga a reclamarlos, venderlos ni visitar el sitio indicado. [9]
Qué hacer si ya hubo interacción
Si solo se abrió una página, debe cerrarse y eliminarse cualquier descarga inesperada. Si se introdujo una contraseña reutilizada, conviene cambiarla desde un dispositivo confiable y activar un segundo factor resistente al phishing cuando esté disponible. También deben revisarse el correo asociado, las sesiones abiertas y las extensiones instaladas.
Cuando se firmó una aprobación de tokens, es necesario identificar la red y el contrato autorizado, comprobar el permiso en el explorador correspondiente y valorar su revocación. Desconectar la web de la cartera no produce el mismo efecto. Si se reveló una frase de recuperación o una clave privada, la cartera debe considerarse comprometida: no es suficiente cambiar la contraseña local, porque el secreto expuesto permite reconstruir el acceso. Las indicaciones de respuesta deben obtenerse de la documentación oficial de la cartera y de las autoridades competentes, sin aceptar ofertas espontáneas de recuperación. [4]
Siguiente paso antes de crear una solicitud
Tras verificar el dominio por una vía independiente, conviene revisar en el propio flujo oficial si están disponibles el activo, la red y la dirección de intercambio necesarias. También deben consultarse los requisitos de comprobación aplicables a ese sentido concreto de la operación, ya que pueden variar según sus características y el resultado de los controles de cumplimiento. Para contrastar esas condiciones sin depender de enlaces recibidos en mensajes, se puede consultar la disponibilidad actual del intercambio y abandonar el proceso si la información mostrada no coincide con la operación prevista.
La decisión final debe basarse en una coincidencia verificable entre dominio, red, activo, dirección y acción solicitada. Si uno de esos elementos permanece ambiguo, no confirmar la transacción es una medida técnica de control, no una pérdida de oportunidad.
OLKER MALDONADO URIA docente
About the author