Cómo proteger una cuenta de intercambio cripto
Una lista educativa sobre contraseñas, gestores, llaves de seguridad, dispositivos y actividad sospechosa.
Este artículo puede contener enlaces de afiliados. Las relaciones comerciales se detallan en la política de afiliados.
Qué protege realmente una cuenta de intercambio
Una cuenta de intercambio concentra dos cosas que conviene no confundir: el acceso a la interfaz y los fondos que la plataforma custodia. Protegerla no consiste en debilitar una sola de las dos capas, sino en Vigilar ambas por separado, porque los ataques que funcionan suelen explotar la mas debil y no la mas visible.
La mayoría de los incidentes que se difunden en el sector no empiezan con una filtración de la plataforma, sino con un mensaje Directed a la persona usuaria. Un correo que parece un aviso de verificación, un chat que reclama una retirada urgente, una conversación en la que alguien pide confirmar una operación: el punto de entrada habitual es la persona, no el servidor.
La primera capa: como entras
La forma mas importante de proteger el acceso es impedir que la contraseña se reutilice fuera de la plataforma. Una contraseña compartida con correo, banco o red social significa que una filtración ajena se convierte automáticamente en un acceso a los fondos.
Por eso la combinación optima es una contraseña única para ese servicio y un gestor de contraseñas que la genere y la guarde. La segunda pieza es la verificación en dos pasos, y aquí la diferencia entre métodos importa mas de lo que parece.
Los códigos que llegan por sms son el método mas extendido y el mas vulnerable, porque dependen de la línea móvil y pueden interceptarse con ataques de cambio de SIM. Una aplicación de autenticación resulta mas resistente, porque no depende de la red móvil. Las llaves de seguridad físicas son la opción mas solida, porque no se pueden copiar ni adivinar.
La segunda capa: quien puede mover los fondos
La lista de retiro es la parte que mas se descuida y la que mas directamente protege el dinero. Si al sitio le exigen un código de verificación adicional cada vez que cambias la dirección de destino, entonces un atacante que consiga entrar en tu cuenta no podrá vaciarla sin dejar rastro en ese proceso.
Revisa si esa medida esta activa y cuanto tiempo permanece vigente. Algunas plataformas la mantienen abierta durante varias horas tras el cambio, y ese detalle hay que ajustarlo según la cantidad que custodias. Del mismo modo, conviene saber cuanto tiempo se mantiene una orden de retirada pendiente: una pausa larga ofrece margen para detectar un problema, y también bloquea un retiro legítimo.
Esta capa es la única que funciona después de que un atacante ya entró. Por eso es la que mas se descuida.
Las señales de actividad sospechosa
Conviene saber que cuenta actividad merece una revisión inmediata. Un inicio de sesión desde una ubicación que no reconoces. Un dispositivo nuevo que no aparece en la lista de los que ya usabas. Un correo de cambio de correo o de contraseña que no solicitaste. Una retirada hacia una dirección nueva mientras no operabas con normalidad.
La reacción correcta ante cualquiera de estas señales es entrar desde la dirección oficial del servicio y cambiar la contraseña, revisar los dispositivos autorizados, revocar las autorizaciones de terceros y contactar con el soporte desde la propia página.
Lo que no funciona es responder al mensaje que genera la sospecha. Si la alerta llega por correo, la respuesta se envía desde la página del servicio, nunca desde ese correo.
El punto ciego: los permisos y las autorizaciones
Existe un riesgo distinto que conviene separar de todos los anteriores: la autorización de terceros. Algunas integraciones y productos de terceros obtienen permiso para mover activos o consultar tu cuenta, y esa autorización sobrevive a que cierres sesión.
Revocar autorizaciones es una tarea periodica, no un gesto de emergencia. Es también la razón por la que conviene desconfiar de conectar la cuenta a servicios que no necesita para funcionar. Una cartera rara vez necesita acceso a tu cuenta de intercambio.
Este contenido es educativo y no constituye asesoramiento financiero, fiscal ni legal. Los métodos de verificación, las listas de retiro y las funciones de revocación cambian con frecuencia según cada plataforma y cada país.