Cómo leer un aviso de seguridad cripto
Una forma de separar comunicados oficiales de alertas copiadas o incompletas.
Este artículo puede contener enlaces de afiliados. Las relaciones comerciales se detallan en la política de afiliados.
Un aviso de seguridad cripto es un texto que afirma que algo está mal y que, por lo tanto, hay que actuar. El problema es que ese formato lo usan tanto los canales oficiales como los estafadores, y la diferencia no siempre está en lo que el aviso dice, sino en quién lo envía, dónde lo encontraste y qué te pide hacer a continuación.
El punto central no es determinar si un aviso es verdadero, sino reconocer algo más simple: un aviso nunca debe pedirte tus claves privadas, y por eso cualquiera que te las pida ya está mintiendo sobre su propia legitimidad. La regla de base es simple: nadie te va a dar ETH gratis, nadie necesita acceso a tus claves privadas o información personal, y conviene ser siempre escéptico. Cualquier mensaje que rompa una de esas tres afirmaciones se descarta sin más análisis.
Empieza por el emisor, no por el texto
Antes de leer el contenido, averigua quién lo manda. La pregunta más rápida es cómo recibiste el mensaje.
Si llega por un canal no oficial, se descarta. Como regla general, el personal nunca se comunicará contigo a través de canales privados y no oficiales. Nadie del soporte legítimo te escribe por su cuenta para ofrecerte ayuda. Si alguien se presenta como soporte después de que publiques una pregunta en un canal público, esa es exactamente la técnica que usan los estafadores para ganarse tu confianza.
El correo de un remitente desconocido se elimina sin abrir. Nunca abras un enlace o archivo adjunto de una dirección que no reconozcas, nunca divulgues tu información personal ni tus contraseñas, y borra el mensaje. Los correos de phishing suelen llevar a sitios web de imitación que piden tu frase de recuperación, tu contraseña o que envíes ETH.
Un enlace con el nombre de un dominio conocido no significa que vayas a ese dominio. Existe un método que falsifica la vista previa de los enlaces en redes sociales para que aparenten venir de un sitio legítimo, mostrando por ejemplo un dominio como si fuera el original cuando en realidad te redirigen a uno malicioso. Por eso la instrucción es comprobar siempre en qué dominio estás realmente, sobre todo después de haber hecho clic en un enlace.
Comprueba que el canal sea el oficial antes de confiar en el contenido
Si el aviso parece legítimo, el siguiente paso es verificar que el canal por el que llegó sea el oficial del proyecto y no una cuenta que se le parece.
Una cuenta verificada con muchos seguidores sigue siendo un objetivo típico. En julio de 2020, varias cuentas conocidas fueron pirateadas y publicaron un sorteo de Bitcoin. Ese episodio es el ejemplo que se cita en la documentación de Ethereum: los mensajes engañosos se notaron y eliminaron deprisa, pero los atacantes se llevaron 11 bitcoin, unos 500.000 dólares a septiembre de 2021.
Conviene añadir un matiz importante sobre los nombres de token. Los tokens derivados que representan ETH apilable —por ejemplo rETH de Rocket Pool, stETH de Lido o ETH2 de Coinbase— sí existen, pero eso no significa que tengas que migrar tu ETH a ninguno. Cualquier mensaje que te pida hacerlo está aprovechando una confusión existente.
Los cuatro patrones de estafa que conviene reconocer
Suplantación de soporte. Es la estafa más común en este entorno. El atacante se hace pasar por personal de billeteras, intercambios o cadenas de bloques, encuentra a su objetivo en canales públicos de soporte y le escribe por privado. Construye confianza poco a poco y luego pide las claves privadas o que le envíes los fondos. Recuerda: nunca compartas claves privadas, frases semilla ni contraseñas, nunca permitas que alguien tenga acceso remoto a tu computadora y nunca te comuniques fuera de los canales designados por la organización.
Phishing. Te piden hacer clic en un enlace que lleva a un sitio de imitación para que ingreses tu frase semilla, restablezcas tu contraseña o envíes ETH. Otros te piden instalar malware sin que te des cuenta.
Corredores de comercio cripto. Afirman ser especialistas que invertirán tu dinero en tu nombre. Reciben los fondos y luego te piden más dinero con la excusa de que no pierdas tus ganancias, o desaparecen por completo. Encuentran objetivos usando cuentas falsas en YouTube para iniciar conversaciones que parecen naturales.
Estafas de conversión de tokens. Aprovechan la confusión en torno a ciertos nombres de token para convencerte de que entregues tu ETH a cambio de un token que no existe.
Dos verificaciones que no requieren confiar en nadie
Puedes comprobar dos cosas por tu cuenta, sin depender de que el aviso sea auténtico.
Comprueba el dominio en la barra de direcciones. No lo infieras del logotipo ni del diseño de la página. Una página que carga correctamente sigue pudiendo ser una copia.
Verifica la dirección de destino antes de enviar. Una transacción enviada en Ethereum es irreversible: a menos que conozcas al propietario de la dirección y puedas convencerlo de que te devuelva los fondos, no podrás recuperarlos. Asegúrate de que la dirección coincida exactamente con la del destinatario previsto.
Y la regla que protege en casi todos los casos: nunca compartas tu frase de recuperación ni tus claves privadas, por ningún motivo. Ningún servicio legítimo, agente de soporte o sitio web te las pedirá jamás.
Qué hacer con la información que sí es válida
Un aviso de seguridad legítimo rara vez te pide actuar en el momento. Su función es informarte, no provocar una acción inmediata.
Cuando la información sea verificable, actúa en la capa de seguridad que corresponda. Si el aviso habla de un contrato con una vulnerabilidad, revisa las aprobaciones de tokens pendientes y revócalas. Si habla de un compromiso de claves, rota la frase de recuperación y traslada los fondos a una billetera nueva. Si habla de un ataque de phishing en curso, deja de usar el canal por el que llegó el aviso.
Distinguir un comunicado oficial de una alerta copiada o incompleta no consiste en memorizar una lista de frases, sino en aplicar una secuencia: quién lo envía, por dónde llegó, si te pide claves —en cuyo caso se descarta— y qué acción concreta propone. Las tres primeras preguntas resuelven la mayoría de los casos antes de que tengas que leer el contenido con atención.
Lecturas relacionadas
- Cómo leer un mensaje de error de una billetera
- Cómo evaluar un tutorial cripto antes de seguirlo
- Cómo organizar tus enlaces oficiales de criptomonedas