Guía para evitar estafas en Web3
En la cadena no hay ningún servicio de atención al cliente que pueda ayudarte a revertir una operación. La mayoría de la gente pierde dinero no porque hayan descifrado su contraseña, sino porque confirmó una operación, copió una dirección equivocada o confió en quien no debía.
Hasta los más experimentados pueden equivocarse al hacer clic. Estos hábitos son más útiles que memorizar cien nombres de proyectos.
Recuerda estas cuatro reglas; todo lo que sigue las desarrolla:
No le des tu frase de recuperación ni tu clave privada a nadie. Ni a entidades oficiales, ni al servicio de atención al cliente, ni a tu pareja, ni a una IA, ni a tu jefe. Quien te las pida te está robando.
Si no entiendes una firma, recházala. Tener prisa, pensar que la página se ha quedado bloqueada o hacer clic varias veces son algunas de las formas más comunes de cometer errores.
Comprueba toda la dirección, no solo los primeros y últimos caracteres ni el nombre. Los nombres de las monedas pueden falsificarse, igual que los primeros cuatro y los últimos cuatro caracteres
Si te piden enviar dinero primero para recuperarlo, detente. Da igual que lo llamen premio, retiro, recuperación, actualización o desbloqueo
Separa los fondos importantes del dinero que usas a diario. Para probar proyectos, reclamar airdrops o experimentar, usa una billetera pequeña y cámbiala cada cierto tiempo. Guarda el dinero que quieras conservar en una billetera física o en un exchange grande, como Binance, y no la conectes habitualmente a páginas web
Uno. Primero, fíjate en las personas: conocidos, soporte, citas y ofertas de trabajo
Un conocido te pide dinero de repente o te propone colaborar: en Telegram o WeChat, un amigo puede pedirte de pronto que le transfieras USDT o decirte que tiene un proyecto urgente. Puede que hayan hackeado su cuenta o que estés hablando con una cuenta falsa: pueden copiar su foto, nombre y forma de hablar. Llámale tú mismo para confirmarlo; si se niega a hablar por voz, detente. Si te insiste en que «no se lo cuentes a nadie» o que «no es buen momento para hablar en el grupo», detente también. Si te roban la cuenta, los estafadores pueden usarla para enviar mensajes masivos, así que no te conviertas en quien reenvía enlaces antes de que alguien te los pida
Falso servicio de atención al cliente: sobre todo cuando tienes problemas con un exchange o un proyecto, alguien puede escribirte por privado diciendo que es del equipo oficial y pedirte códigos de verificación, la frase semilla, compartir la pantalla o transferir fondos a una «dirección segura». El soporte legítimo no te contacta por iniciativa propia ni te pide la frase semilla. Para contactar con el equipo oficial, usa la sección de ayuda de la aplicación o accede desde el sitio oficial guardado en tus marcadores. No abras enlaces de mensajes privados, comentarios o correos electrónicos
Estafas románticas de inversión: primero conversan contigo durante semanas en una aplicación de citas o en Telegram y luego te llevan a una «plataforma de inversión». Al principio puedes retirar cantidades pequeñas; cuando intentas retirar una cantidad grande, te piden impuestos o un depósito de garantía y, al final, el sitio desaparece. Si te piden pagar más antes de retirar, no pagues. Da igual cuánto tiempo hayan conversado o lo auténticas que parezcan las capturas de ganancias
Regalos falsos y deepfakes: se hacen pasar por famosos o por miembros de un proyecto, o usan vídeos y voces generados por IA en transmisiones en directo para prometer que te devolverán dos monedas por cada una que envíes. Que el vídeo y la voz parezcan reales no demuestra que esa persona esté hablando
Ofertas de trabajo falsas: el puesto y la entrevista parecen legítimos, pero al final te piden descargar una «tarea», un programa interno para reuniones o una «billetera de evaluación». La descarga podría instalar un troyano. Haz las tareas en un equipo aislado, no en el mismo ordenador que usas para tus billeteras o exchanges. Si te piden que pagues primero una «tarifa de formación» o un «depósito para el equipo», da por terminada la entrevista
Falsos servicios de recuperación: justo después de que te estafen, alguien te dice que puede recuperar tus activos y te pide primero una tarifa de servicio o de abogado. Es un segundo golpe. Considera estafadores, por defecto, a quienes aparezcan espontáneamente en comentarios o mensajes privados ofreciendo «asistencia judicial» o «servicios de rastreo en la cadena». Los canales legítimos no te piden primero criptomonedas ni garantizan que recuperarán los fondos. La mayoría de las monedas transferidas en la cadena no se pueden recuperar. Lo primero es limitar las pérdidas: cambia la billetera expuesta, revoca las autorizaciones y cambia las contraseñas del correo y del exchange. No entregues el dinero que te queda para «intentarlo una vez más»
Dos. Primero, revisa los dispositivos y archivos: troyanos, acceso remoto y portapapeles
Archivos comprimidos y archivos desconocidos: cuando te envíen archivos para que revises documentos, firmes un contrato o consultes información, podrían pedirte que los abras en el ordenador. Al hacerlo, podrían controlar el equipo a distancia, robarte la billetera, cambiar la dirección del portapapeles y luego usar tu cuenta para enviar mensajes masivos. Aunque te lo envíe alguien conocido, confírmalo primero por teléfono. No descargues ni reenvíes el archivo. Para los documentos de trabajo, pide un enlace de solo lectura a un servicio en la nube o usa una herramienta de colaboración legítima que conozcas. No abras con doble clic archivos comprimidos, documentos con macros ni instaladores de origen desconocido
Descargar software con troyanos: si instalas extensiones, bots de trading, programas de traducción o aplicaciones para reuniones desde resultados de búsqueda o anuncios, alguien podría controlar tu ordenador a distancia y sustituir la dirección correcta que copiaste por la de un estafador al pegarla. Descarga el software solo desde los sitios oficiales. Al transferir fondos, comprueba la dirección completa en la pantalla de la billetera física o del teléfono; no te fijes solo en la línea que aparece en el navegador del ordenador
Reuniones y asistencia remota: la otra persona te propone colaborar y te pide instalar un programa concreto, como AnyDesk, TeamViewer o Sunflower, para ayudarte a revisar la billetera a distancia. Si compartes la pantalla, podrán ver la frase semilla y los códigos de verificación. No abras tu billetera durante una sesión remota de otra persona, no inicies sesión en el exchange mientras compartes la pantalla y no leas en voz alta los códigos. Si insiste en que «no podemos seguir sin acceso remoto», cancela la colaboración
Secuestro del portapapeles: al pegar, un troyano sustituye en secreto la dirección del destinatario. Copiaste la correcta, pero pegaste la equivocada. Antes de transferir, comprueba la dirección completa, no solo los primeros y últimos caracteres. Revisarla otra vez en la billetera física o en el teléfono es más útil que mirarla dos veces en el mismo ordenador infectado
Billeteras físicas falsas: los dispositivos comprados por canales no oficiales podrían venir con una frase semilla preestablecida. También hay correos que te piden introducir tu frase semilla actual para «actualizar el firmware». Compra billeteras físicas solo en el sitio oficial; quien te pida una frase semilla que ya tienes quiere robarla. Si al encender un dispositivo nuevo por primera vez aparece una frase semilla ya generada, no lo uses y devuélvelo
Tres. Firmas y autorizaciones: lo más fácil es perderlo todo con «un solo clic»
Conectar una billetera normalmente solo permite que el sitio conozca tu dirección; eso, por sí solo, no significa que le estés entregando tus monedas. El verdadero peligro está en la firma que viene después o en la autorización que concedes
Firmas en cadena: la primera es una operación normal, como reclamar algo o iniciar sesión. Justo después aparece una segunda y luego una tercera; las confirmas sin pensarlo y ya has concedido una autorización ilimitada. Revisa cada ventana por separado y, si aparece otra, cierra la página. A veces creemos que se ha quedado bloqueada y hacemos clic varias veces, pero no está bloqueada: la otra parte espera que te equivoques al hacer clic.
Confirmar una firma que no entiendes: la ventana muestra una larga cadena en inglés o en hexadecimal y, con prisa, pulsas confirmar. Puede que, en realidad, estés firmando algo que entrega tu billetera a otra persona. Si no lo entiendes, recházalo primero. Una operación legítima puede esperar a que te aclares. Sobre todo, si ves estas palabras, detente:
approve, y el límite es ilimitado
setApprovalForAll
Permit, Permit2
increaseAllowance
Firmas de mensajes sin procesar, como eth_sign: la billetera solo muestra una cadena de datos incomprensible
Firmas como Permit y Permit2 a menudo no cuestan Gas ni aparecen de inmediato como una transferencia en el historial. Puedes pensar: «No he pagado nada». Pero quien tenga tu firma puede pagar el Gas más tarde y transferir tus monedas. A algunas personas se las han vaciado meses después, porque en el momento de firmar parecía que no habían perdido nada
Hay otro tipo de firma que agrupa muchos pasos: parece que vas a reclamar una recompensa, pero también cambia los permisos de la cuenta. Si la billetera puede simular «qué ocurrirá después de firmar», revisa primero el resultado. Si la simulación no lo aclara, o la billetera solo muestra una cadena de hash, recházala
Revoca las autorizaciones cuando ya no las necesites: las autorizaciones ilimitadas que diste a exchanges descentralizados, proyectos antiguos o sitios desconocidos siguen vigentes hasta que las revoques. Si hackean la interfaz del proyecto o alguna vez entraste en una página de phishing, podrían transferir tus fondos mucho tiempo después. Cada cierto tiempo, usa la página de autorizaciones de un explorador de bloques o una herramienta de revisión de autorizaciones en la que confíes para revocar las que ya no utilices. Accede a estas herramientas solo desde tus propios marcadores, no desde enlaces de grupos que prometen «revisar tus autorizaciones». Revocar cuesta un poco de Gas; es normal
Trampas con multifirmas y delegación de cuentas: con el pretexto de «hacer tu billetera más segura», te piden añadirla a una multifirma o firmar una delegación de cuenta. La dirección de la otra parte también figura entre los firmantes, así que después de firmar podrá transferir tus activos. Una multifirma solo sirve si conoces a cada firmante y has verificado su identidad por un canal independiente. No firmes propuestas de desconocidos como «actualización de seguridad», «más tranquilidad con custodia» o «te añado una protección»
Airdrops falsos: de repente aparecen tokens desconocidos en tu billetera, o alguien te envía un enlace diciendo que has ganado un premio o que tienes un airdrop pendiente. Al hacer clic, llegas a un sitio de phishing y basta una firma para que te roben la billetera. Si no te registraste, no hagas clic ni concedas autorizaciones. Las menciones inesperadas en tuits, los comentarios fijados y los enlaces para reclamar que llegan por mensaje privado suelen ser lo mismo
Con el correo electrónico ocurre igual: puede parecer que viene del equipo del proyecto y tener un asunto como «Tienes un airdrop pendiente» o «Claim a punto de vencer». El logo y el diseño pueden imitar muy bien los originales. No pulses los botones del correo; vuelve a la cuenta oficial del proyecto y accede desde tus propios marcadores. Ten cuidado también con el «pulsa Verify primero» al entrar en un grupo de Discord: la verificación no debería llevarte a un sitio desconocido que te pida conectar la billetera y firmar. La verificación oficial suele hacerse dentro del propio flujo de Discord
Tokens de polvo y anuncios de NFT: cualquiera puede enviarte un token o un NFT, incluso con una URL en el nombre para tentarte a reclamarlo, venderlo o transferirlo entre cadenas. No intercambies tokens que no reconozcas, no les concedas autorizaciones ni pulses las URL que aparecen en sus nombres. Si de repente aparece un saldo en tu billetera, considéralo un señuelo, no un golpe de suerte. Basta con ocultarlo; no hace falta interactuar
Cuatro. Direcciones y monedas falsas: los nombres pueden engañar, igual que los primeros y los últimos caracteres
Tokens falsos: en redes como Ethereum y BSC puedes encontrar tokens cuyo nombre es BTC, ETH o USDT. Algunos son imitaciones; otros permiten comprar, pero no vender: son honeypots. Mucha gente ve un precio alto e intenta vender, y cae en la trampa. El nombre es falso y el precio también puede serlo. Verifica la dirección del contrato, no el nombre. Copia la dirección del sitio oficial del proyecto o de la página de tokens de un explorador en el que confíes; no la copies del historial de chats, de capturas de gráficos ni de mensajes reenviados
Honeypots: el contrato te deja comprar, pero no vender, o aplica un impuesto de venta tan alto que te quita prácticamente todo el dinero. Antes de comprar, prueba a vender una cantidad mínima. Si no puedes vender, detente; no añadas más fondos solo porque «ya has comprado»
Envenenamiento de direcciones: un atacante crea una dirección cuyos primeros y últimos caracteres se parecen a los de una que usas habitualmente y envía una transacción diminuta para que aparezca en el historial. Si copias desde ahí, enviarás el dinero a la dirección equivocada. No copies direcciones del historial. Si vas a enviar una cantidad grande, envía primero una pequeña y, cuando llegue, transfiere el resto. Comprueba la dirección completa cada vez, incluida la larga secuencia del medio. Guarda las direcciones habituales en tu libreta de direcciones y selecciónalas desde allí, no desde las transacciones recientes. Si la otra parte te envía una dirección nueva, pídele que la confirme otra vez por el canal que acordaron previamente. No confíes solo en un mensaje
Lo último que debes revisar es la cadena completa de caracteres que estás a punto de enviar; mejor aún, revísala en la pantalla de la billetera física
Phishing en sitios falsos: el dominio puede tener una letra distinta o usar caracteres de otro alfabeto que parecen iguales. Los enlaces suelen aparecer en anuncios de búsqueda, comentarios de tuits, anuncios de Discord o correos electrónicos para engañarte y hacer que inicies sesión, conectes tu billetera o introduzcas tu frase semilla. No des por hecho que el primer resultado de búsqueda o uno marcado como «anuncio» es el sitio oficial. De vez en cuando, comprueba también que el dominio de la página oficial que guardaste en marcadores siga siendo el correcto
Puentes entre cadenas, exchanges o redes principales falsos: crean páginas casi idénticas a las de un puente o exchange legítimo; al hacer un intercambio o conceder una autorización, transfieren tus activos. Hay una variante más sutil: crean una red falsa cuyo Chain ID y nombre se parecen a los oficiales, y luego un puente falso para que transfieras tus monedas. Una vez transferidas, quedan en su cadena, no en la red principal auténtica. Antes de añadir una red nueva a tu billetera, verifica el Chain ID y el RPC con la documentación oficial, no con un mensaje del grupo
Cinco. Proyectos y rendimientos: si parece demasiado estable para ser el mercado, asume que algo va mal
Rug Pull: después de inflar el precio del proyecto, retiran la liquidez y el precio se desploma a cero; o el equipo va vendiendo poco a poco sus propios tokens. Comprueba si la liquidez está bloqueada y por cuánto tiempo, y si el contrato permite emitir más tokens, bloquear direcciones o cambiar la tasa impositiva. Si el equipo del proyecto controla todos esos permisos, que el precio parezca atractivo no significa que puedas vender. Si no entiendes el contrato, limita el tamaño de tu posición y da por hecho que podría llegar a valer cero
Esquemas piramidales de alto rendimiento: prometen ganancias diarias o semanales fijas con estrategias cuantitativas, nodos, pools de minería o staking. A menudo, los retiros iniciales se pagan con el dinero de quienes llegan después. Si el rendimiento parece demasiado estable para el mercado, considéralo un esquema piramidal. Las operaciones y la minería reales pueden generar pérdidas y sus resultados fluctúan. Si todo va bien al entrar, pero se bloquean los retiros y además te piden que invites a otras personas, la estructura ya lo dice todo
Estafas en operaciones extrabursátiles: reciben primero el dinero fiduciario y no entregan las monedas, o entregan primero las monedas y luego congelan tu dinero fiduciario. Las operaciones con intermediarios de grupos no tienen custodia y las transacciones en persona conllevan riesgos para tu seguridad. Si puedes, usa un exchange regulado. Si tienes que operar extrabursátilmente, empieza con una cantidad pequeña. No transfieras monedas a la dirección privada de un «agente de soporte de garantía» ni quedes con desconocidos en un lugar apartado: es posible que el supuesto intermediario y el vendedor sean parte del mismo grupo
Seis. Tus propias cuentas: frase semilla, API y número de teléfono
Guardar la frase semilla en el lugar equivocado: hacer una captura de pantalla y dejarla en la galería, sincronizarla con la nube, escribirla en una aplicación de notas o enviársela a alguien. Si el dispositivo se infecta, podrían vaciarte toda la billetera; si te roban la cuenta de la nube, el resultado es el mismo. Escribe la frase semilla a mano y guárdala sin conexión. Si necesitas una copia de seguridad, haz otra copia y guárdalas en lugares separados. No le hagas fotos ni la envíes por ningún chat, ni siquiera al «asistente de transferencia de archivos» de tu propia cuenta
Entregar la clave privada a una IA o subirla a GitHub: pegarla en un chatbot o incluirla en un archivo de configuración y subirlo a un repositorio. Hay bots que buscan específicamente claves recién publicadas. Si has compartido una frase semilla, considérala inmediatamente comprometida y transfiere los activos a una billetera nueva. También es recomendable usar una billetera pequeña para probar proyectos y cambiarla cada cierto tiempo. La IA puede ayudarte a revisar una dirección pública de contrato o explicarte qué hace una transacción, pero no puede «guardar», «verificar» ni «recuperar» tu frase semilla. Si una herramienta te pide introducir la frase semilla para continuar, ciérrala
Billeteras y extensiones falsas: instalan imitaciones de Binance Wallet, MetaMask y otras desde anuncios o enlaces ajenos a las tiendas oficiales. Después de instalarlas, te piden importar la frase semilla. Instálalas solo desde el sitio oficial de la billetera. En las extensiones del navegador, comprueba el nombre del desarrollador y el dominio oficial; no te fíes de que el icono se parezca. Si ya introdujiste la frase semilla en una extensión falsa, considérala comprometida y transfiere los activos de inmediato
Permisos de API demasiado amplios: para copiar operaciones o usar un bot, entregas a un programa desconocido una clave API que permite operar y retirar fondos. Si se filtra, podrían hacer operaciones o retirar tus fondos. Por defecto, las API deben ser de solo lectura. Si realmente necesitas operar, crea una clave aparte sin permisos de retiro y vincúlala a una IP. No publiques la clave en grupos, tickets de soporte ni capturas de pantalla. No uses bots de copia de operaciones que exijan permisos de retiro
Suplantación de SIM para interceptar códigos SMS: transfieren tu número de teléfono a la tarjeta SIM de otra persona y restablecen tus cuentas de correo y del exchange; los códigos de verificación llegan al atacante. Para la segunda verificación, usa una aplicación de autenticación o una llave física, no los SMS como único método. Activa con tu operador las protecciones adicionales contra la portabilidad y la sustitución de SIM. En el exchange, activa la lista blanca de retiros y configura un periodo de espera antes de que se habiliten las direcciones nuevas. Usa una contraseña segura y exclusiva para el correo, distinta de la del exchange
Siete. Otras trampas muy habituales
Códigos QR: pueden sustituir el código de pago por otro o llevarte a un sitio de phishing con un código de inicio de sesión. Antes de escanearlo, comprueba el dominio; después, revisa qué te pide firmar la billetera. Para recibir un pago en persona, verifica la dirección completa, no la cadena abreviada que aparece en pantalla
Anuncios y mensajes fijados en grupos: pueden robar la cuenta del administrador o del propietario y cambiar una sola vez el enlace fijado, haciendo que todo el grupo termine concediendo una autorización maliciosa. Considera los anuncios solo como pistas y accede siempre desde tus marcadores oficiales
Comentarios y cuentas populares hackeadas: hay quien responde en publicaciones virales con «reclamación oficial». Una cuenta popular hackeada también puede publicar mensajes muy parecidos a los habituales. No basta con comprobar si la cuenta está verificada: entra en su perfil y revisa el dominio de los enlaces. No firmes nada desde los comentarios
Señales de trading, consejos y supuestos expertos: es muy fácil fabricar capturas de ganancias garantizadas. Si te piden entregar permisos de retiro de la API o depositar dinero en la plataforma que ellos eligen, vuelve a las dos reglas anteriores: concede pocos permisos y, si te piden más dinero antes de retirar, detente
Usar el mismo ordenador para trabajar y guardar grandes cantidades: los instaladores desconocidos, el software pirateado y los «scripts para abrir varias cuentas» de origen dudoso podrían estar diseñados para cambiar el contenido del portapapeles. No uses esas cosas en el mismo dispositivo que tu billetera de grandes cantidades
Ocho. Antes de transferir o firmar, dedica 30 segundos a revisar esto
¿He llegado a esta página desde mis marcadores? Si no, ciérrala primero
¿Me están pidiendo la frase semilla, un código de verificación, acceso remoto o que envíe dinero primero? Si sí, detente
¿Puedo explicar en una frase qué estoy firmando? Si no, recházalo
¿Ha aparecido otra solicitud justo después de firmar? Si sí, cierra la página
¿He comprobado la dirección completa? Que coincidan los primeros y los últimos caracteres no significa que la haya verificado
¿Es una cantidad grande? Si lo es, envía primero una pequeña y, cuando llegue, transfiere el resto
¿Esta autorización es ilimitada? Si sí, cámbiala por la cantidad justa que necesitas y revócala cuando termines
¿La otra parte me está metiendo prisa? Cuanta más prisa te metan, más despacio debes ir. El dinero legítimo no desaparece porque dediques 30 segundos a verificar
Nueve. Si ya has hecho clic, sigue estos pasos en orden
No busques primero a alguien por mensaje privado que prometa «recuperar» tus fondos. Haz esto primero:
Desconéctate de la red: si el ordenador está infectado, instalaste software desconocido o permitiste acceso remoto, no vuelvas a introducir ninguna frase semilla en ese dispositivo
Usa otro dispositivo limpio o una billetera física para transferir los activos que aún no hayan sido robados a una billetera completamente nueva. Si introdujiste la frase semilla en una página web, se la enviaste a alguien o la guardaste en la nube, deja de usarla
Desde un dispositivo limpio, revoca las autorizaciones de tokens de la dirección antigua. Para revocarlas tendrás que firmar con la billetera antigua; asegúrate de abrir la herramienta desde tus marcadores
Exchange: cambia la contraseña de inmediato, cierra todas las sesiones, restablece las API y revisa la lista blanca de retiros y el historial de retiros recientes. Si crees que la aplicación de autenticación puede estar comprometida, cámbiala
Cambia también las contraseñas del correo y del teléfono, y comprueba si hay reglas de reenvío desconocidas. Si los SMS no son tu único método de verificación, elimínalos de las cuentas importantes
Considera que esta dirección está expuesta. No vuelvas a depositar dinero en ella
Guarda los hashes de las transacciones y las fechas para poder proporcionarlos más adelante al exchange o a las autoridades. Las posibilidades de congelar los fondos son escasas, pero sigue siendo más sensato que entregar el dinero restante a quienes prometen «recuperarlo»
Espero que este artículo ayude a todos a evitar algunos tropiezos. También puedes compartirlo con tus amigos. ¡Gracias por leer!