Lista de verificación de seguridad de tu cuenta en un exchange

Aunque la mayor parte de tus tenencias esté en autocustodia, casi todo el mundo conserva una cuenta en un exchange para comprar, vender y cobrar, y esa cuenta merece un blindaje deliberado, no la configuración por defecto. Las funciones que más importan son las que frenan las retiradas: listas de direcciones permitidas, retrasos en las retiradas y claves API con permisos muy acotados. Esta guía es una lista de verificación práctica para la cuenta en sí; elegir una 2FA robusta y reconocer el phishing se tratan en sus propias guías de esta ruta.

Empieza por los cimientos de la cuenta

Antes de tocar las funciones específicas del exchange, deja lo básico en un estado conocido y fiable:

• Contraseña única de un gestor de contraseñas. Más de 20 caracteres aleatorios, usada en ningún otro sitio. El credential stuffing —probar contraseñas filtradas de otros sitios— sigue siendo el ataque más barato que existe, y los inicios de sesión de exchanges son justo contra lo que se prueban las listas de stuffing.
• Una dirección de correo dedicada usada solo para cuentas de exchanges. Reduce la exposición al phishing (cualquier correo de un exchange que llegue a tu dirección habitual es falso por definición) y mantiene tu relación con el exchange fuera de los conjuntos de datos de brechas habituales.
• La 2FA más fuerte disponible tanto en el exchange como en esa cuenta de correo, con el SMS eliminado de los flujos de inicio de sesión y de recuperación. Los detalles de por qué están en la guía de 2FA; a efectos de esta lista: si el exchange admite llaves de seguridad de hardware, úsalas.
• Elimina sesiones y dispositivos antiguos. Todos los grandes exchanges tienen una página que enumera las sesiones activas y los dispositivos autorizados. Revoca todo lo que no reconozcas y haz de revisarla cada mes un hábito. Revisa también qué aplicaciones de terceros tienen acceso por OAuth o API y elimina todo lo que esté obsoleto.

Listas de direcciones permitidas para retiradas: el ajuste de mayor valor

Una lista de direcciones permitidas para retiradas (algunos exchanges la llaman lista blanca o bloqueo de libreta de direcciones) restringe las retiradas de criptomonedas a las direcciones que aprobaste de antemano, normalmente tu propia billetera de hardware. Y lo más importante: añadir una dirección nueva activa un periodo de espera, normalmente de 24 a 48 horas, durante el cual las retiradas hacia ella quedan bloqueadas y recibes una notificación.

Este único ajuste cambia la economía de casi todos los ataques. Un intruso que comprometa por completo tu inicio de sesión y tu 2FA sigue sin poder mover fondos a ningún sitio salvo a tu propia billetera. Para robar, tiene que añadir su dirección y luego esperar que ignores los correos de alerta durante dos días. Para hacerse una idea concreta de la escala: una cuenta con 30.000 dólares y sin lista de direcciones permitidas se puede vaciar en los cinco minutos posteriores a una sesión de phishing exitosa; con una lista y un retraso de 24 horas para añadir direcciones, el mismo atacante no consigue nada a menos que además pueda silenciar tu correo durante un día, y por eso importa el correo dedicado y protegido con llave de hardware.

Actívala, añade tus direcciones de autocustodia mientras todo está tranquilo y acepta la incomodidad: si de repente necesitas retirar a un sitio nuevo, esperas. Esa fricción es la función haciendo su trabajo. Combínala con un bloqueo o retraso global de retiradas si tu exchange lo ofrece, y fija límites diarios de retirada en el valor más bajo compatible con el uso real que haces de la cuenta.

Códigos antiphishing e higiene de las notificaciones

La mayoría de los grandes exchanges te permiten fijar un código antiphishing: una frase corta que eliges (por ejemplo, mango-vault-73) y que el exchange incluye en cada correo auténtico que te envía. Los correos de phishing masivos pueden falsificar logotipos y nombres de remitente, pero no pueden conocer tu código personal, así que los correos de «aviso urgente de seguridad» sin el código se delatan como fraude. Fija uno; cuesta treinta segundos.

Luego asegúrate de que el exchange pueda localizarte de verdad cuando importe:

• Activa las notificaciones de inicios de sesión desde dispositivos nuevos, cambios de contraseña y de 2FA, cambios en la lista de direcciones y retiradas. Estas alertas son tu cable trampa durante la ventana de retraso de la lista de direcciones permitidas.
• Léelas cuando lleguen. Un sistema de alertas que te has entrenado para ignorar es decoración.
• Conoce el canal de soporte real. Los atacantes vigilan las redes sociales en busca de personas que se quejan de problemas con un exchange y aparecen de golpe como «soporte». El soporte real de un exchange nunca te escribe primero por mensaje directo, nunca te pide tu frase semilla (los exchanges no tienen frases semilla que recuperar) y nunca te pide que instales software de acceso remoto.

Claves API: acótalas como si fueran dinero

Si usas bots de trading, rastreadores de cartera o software de impuestos, crearás claves API, y las claves API sin permisos acotados son una de las formas más habituales de que las cuentas se desangren. Reglas:

• Concede el conjunto mínimo de permisos. Un rastreador de cartera necesita solo lectura. Un bot de trading necesita lectura + trading. Casi nada legítimo necesita el permiso de retirada: déjalo desactivado salvo que hayas construido tú mismo algo que lo requiera de verdad y entiendas el radio de daño.
• Restringe por IP cada clave al servidor o la IP doméstica que la usa, si el exchange lo admite. Una clave filtrada que solo funciona desde la dirección IP de tu bot es casi inútil para un ladrón.
• Una clave por aplicación, con un nombre claro, para poder revocar una sola integración sin romper las demás.
• Rota y poda. Elimina las claves de servicios que dejaste de usar; trata una clave que lleva dos años en el panel de un tercero como filtrada hasta que la rotes.

Ten en cuenta la interacción con las listas de direcciones permitidas: en la mayoría de los exchanges, incluso una clave con permiso de retirada solo puede retirar a direcciones permitidas. La defensa en profundidad significa que un atacante debe superar ambas cosas.

Limita lo que hay que robar

El control final es el más antiguo: la exposición. Una cuenta en un exchange es un derecho frente a una empresa, no monedas en tu bolsillo; su contenido está expuesto a la seguridad de tus credenciales y a la solvencia y los controles internos del exchange, un historial que se trata en la guía de autocustodia de esta ruta.

Política práctica para un trader activo: decide el máximo que estás dispuesto a tener en el exchange (para mucha gente, lo que negocia activamente más el gasto a corto plazo; digamos un 10-20 % de las tenencias), traslada periódicamente las ganancias por encima de esa línea al almacenamiento en frío y reparte entre dos exchanges si tu saldo es lo bastante grande como para que el bloqueo de una sola cuenta —que puede ocurrir por revisiones de cumplimiento aunque no hayas hecho nada mal— te trastoque la vida. Las retiradas a tu propia billetera de la lista de permitidas también sirven como prueba recurrente de que tu ruta de salida realmente funciona.

La lista de verificación

Repásala hoy y vuelve a repasarla cada trimestre:

1. Contraseña única generada por un gestor; correo dedicado; 2FA con llave de hardware o TOTP en ambos; SMS eliminado en todos los sitios posibles.
2. Lista de direcciones permitidas para retiradas ACTIVADA, con solo tus propias direcciones verificadas; retraso para nuevas direcciones confirmado; límite diario de retirada fijado en un valor bajo.
3. Código antiphishing fijado; alertas activadas para inicios de sesión, cambios de seguridad y retiradas.
4. Sesiones activas, dispositivos y aplicaciones conectadas revisados; todo lo que no reconozcas, revocado.
5. Claves API: permisos mínimos, restringidas por IP, una por aplicación, permiso de retirada desactivado, claves obsoletas eliminadas.
6. Saldo en el exchange dentro del tope que definiste de antemano; el exceso, trasladado a autocustodia.

Ninguno de estos pasos requiere conocimientos técnicos, solo decidir dedicar una hora concentrada antes de que un atacante dedique una a ti.