Rutina de seguridad para usuarios cripto nuevos
Una rutina sencilla para revisar enlaces, contraseñas, billeteras, redes y mensajes sospechosos.
Este artículo puede contener enlaces de afiliados. Las relaciones comerciales se detallan en la política de afiliados.
Empezar en cripto se parece a recibir las llaves de un edificio cuyo plano no conoces. Hay muchas puertas, cada una con su cerradura, y casi todas están abiertas para quien tiene la llave correcta. La diferencia con un edificio real es que abrir una puerta aquí casi nunca se puede deshacer. La rutina de seguridad para alguien que empieza no consiste en aprender sobre protocolos ni en seguir a quien más habla, sino en fijar unos pocos hábitos que se mantienen durante años y que evitan la mayoría de las pérdidas. Estos son los que conviene seguir, y en este orden.
Paso 1: la frase de recuperación decide el resto
Todo lo demás importa menos que esto. La frase de recuperación es lo que da control total sobre tu cuenta, y las reglas son pocas: no se escribe en un sitio web, no se envía por correo, no se dicta por teléfono, no se guarda en una nota en la nube, no se fotografía junto al ordenador. Nadie legítimo te la pide jamás.
Guardarla de forma segura significa algo físico y privado: papel, en un lugar al que no tengan acceso otras personas, y con una segunda copia en otro lugar distinto por si se perde o se incendia. Probar esa copia es el paso que separa a quien tiene una copia de quien cree que la tiene. Hasta que no lo has hecho, no tienes una copia: tienes una suposición.
Paso 2: una billetera por función
El error más común al empezar es usar una sola billetera para todo: el exchange donde operas, el lugar donde guardas lo que llevas tiempo acumulando, y las direcciones nuevas para probar. Una sola filtración en una de ellas afecta a las tres.
Separar por función resuelve el problema antes de que ocurra. Una billetera para operar con frecuencia, otra para lo que no estás dispuesto a perder de una sola vez, y una más para probar cosas que no conoces. Cada capa tiene un límite máximo, y perder la capa de prueba duele de una forma que perder las otras no duele.
Paso 3: cada copia de la frase, en un sitio distinto
La frase de recuperación es a la vez el activo principal y el objetivo principal de cualquier intento de robo. Tres reglas concretas. No la compartes con servicios que no necesitan conocerla, y eso incluye nunca enviarla a un exchange para demostrar que la tienes. Cada copia vive en un lugar distinto. Y cada copia completa contiene la frase completa: una copia parcial no es funcional, y por tanto solo multiplica los puntos por los que la información puede filtrarse sin dar ninguna protección.
Paso 4: verificar la dirección de destino
Antes de cada envío a una dirección nueva, compara los primeros y los últimos seis caracteres con la fuente original, comprueba que la red coincide y confirma en un explorador si la cuenta existe. Esta comprobación toma segundos y es la que más errores triviales evita, porque una dirección correcta con un solo carácter cambiado no parece incorrecta en ninguna parte.
Paso 5: revisar los permisos cada pocos meses
Cada vez que interactúas con un protocolo nuevo firmas una aprobación. Las aprobaciones se acumulan sin que nadie las mire. Una o dos veces al año, revisa qué contratos tienen permisos sobre tus cuentas y revoca los que ya no usas. Revocar un permiso es una transacción normal, no un problema, y la exposición que elimina es real.
Paso 6: entender qué estás firmando
Cada ventana de firma es una solicitud concreta con un alcance concreto. La comprobación mínima es qué contrato, qué función, qué cantidad y con qué límite de deslizamiento. Las carteras que simulan la operación antes de firmar ayudan mucho, porque reducen lo que tienes que adivinar, pero el nombre del contrato y el nombre de la función aparecen en la pantalla y son la verificación más básica de todas.
Paso 7: verificar por otro canal cuando cambie una solicitud
La regla que más protege de todo lo anterior no es técnica, es de costumbre: si alguien te pide un envío, te cambia una dirección o te pide una clave, la confirmación tiene que llegar por un canal distinto del que origina la petición. Esto no es paranoia, es un criterio que se aplica igual a la petición más razonable del mundo. Cuando alguien te pide actuar con urgencia, desde una cuenta recién creada o fuera de la plataforma donde os conocéis, la verificación por otro canal deja de ser opcional.
Lo que no hay que hacer
No hay que seguir a nadie que prometa rendimiento. No hay que intentar mover todo el saldo en la primera operación. No hay que tratar cada token nuevo como una oportunidad: la mayoría no tiene ninguna razón para subir y la publicidad es su única función. Y no hay que leer un contrato entero la primera vez, pero sí hay que leer qué hace la función que estás firmando.
La rutina resumida
Frase de recuperación en papel, en dos sitios, probada. Tres billeteras separadas por función. Ningún servicio con la frase que no la necesite. Comparación de dirección antes de cada envío. Permisos revisados dos veces al año. Lectura de la función que firmas. Verificación por otro canal ante cualquier cambio de solicitud.
Son siete pasos que ocupan menos de un día de trabajo y cubren la práctica totalidad del riesgo operativo de un usuario nuevo. Ninguno requiere conocimiento técnico.
Este artículo trata sobre hábitos de seguridad para personas y no sobre la seguridad de ningún protocolo, exchange ni servicio concreto.