Defensa contra el phishing y la ingeniería social

Casi ninguna criptomoneda se roba mediante «hackeo» en el sentido de Hollywood. Las billeteras se vacían porque a sus dueños los convencieron, los engañaron o los apresuraron para que entregaran el acceso: una frase semilla escrita en una página falsa, una transacción maliciosa aprobada sin leerla, un «agente de soporte» al que se creyó cinco minutos de más. Por eso la defensa contra el phishing no es un problema de software sino de hábitos, y un pequeño conjunto de hábitos rígidos detiene casi todo.

Por qué tú, en concreto, eres un objetivo

En cripto, un phishing exitoso paga al instante, de forma irreversible y bajo seudónimo. No hay ningún banco que revierta la transferencia ni departamento de fraude al que llamar. Esa economía ha producido un ecosistema industrial: los desarrolladores de kits de phishing venden software «drainer» a afiliados que ejecutan las campañas reales y se reparten lo recaudado. Se ha documentado que operaciones de drainers concretas robaron decenas de millones de dólares a miles de víctimas antes de cerrar y cambiar de marca.

Los atacantes no necesitan ir a por ti personalmente. Lanzan redes amplias —anuncios de búsqueda envenenados, mensajes directos masivos, falsos anuncios de airdrops— y dejan que las víctimas se autoseleccionen. En cuanto te unes a un Discord de cripto, sigues cuentas de cripto o firmas una transacción pública, entras en el grupo. Da por hecho que todo contacto no solicitado relacionado con las criptomonedas es hostil; acertarás muchísimas más veces de las que te equivoques.

Los patrones de ataque que de verdad vacían billeteras

Reconocer las jugadas habituales importa más que cualquier herramienta.

Sitios falsos y resultados de búsqueda envenenados

Los atacantes compran anuncios de búsqueda o registran dominios parecidos (unlswap en lugar de uniswap, variantes con guiones o con faltas de ortografía) que clonan al píxel una billetera, un exchange o un sitio DeFi reales. Todo funciona, hasta que conectas una billetera y firmas, o «restauras» tu billetera introduciendo tu semilla. Buscar un sitio cripto y hacer clic en el primer resultado es una de las formas más fiables de que te vacíen la billetera.

Falso soporte

Publicas en el Discord de un proyecto o respondes a un exchange en las redes sociales pidiendo ayuda. A los pocos minutos, «Soporte» te escribe por mensaje directo, comprensivo y profesional, con un enlace a un «portal de validación» o con una petición de tu frase de recuperación para «resincronizar tu billetera». El soporte real nunca escribe primero por mensaje directo, nunca pide una frase semilla y nunca necesita que firmes nada para arreglar un problema de visualización. Esta estafa persiste porque funciona con personas inteligentes y estresadas.

Firmas maliciosas y drainers

Los drainers modernos rara vez piden tu semilla. En su lugar, presentan una solicitud de firma de la billetera que parece rutinaria —un «reclamar», «acuñar», «verificar la propiedad» o una firma off-chain sin gas— pero que en realidad concede derechos de transferencia sobre tus tokens y NFT. Una sola firma aprobada puede autorizar el barrido de categorías enteras de activos. La defensa es leer lo que dice realmente la billetera: las firmas legítimas de «inicio de sesión» no mueven nada y no cuestan nada; cualquier cosa que mencione aprobaciones, permisos, setApprovalForAll o importes concretos de tokens merece toda tu atención. Las billeteras modernas simulan cada vez más las transacciones y avisan de que «esto da permiso a X para mover tus tokens»: trata esos avisos como alarmas de incendios, no como ventanas emergentes que descartar.

Envenenamiento de direcciones y sustitución del portapapeles

Dos ataques al hábito de copiar y pegar. En el envenenamiento de direcciones, un atacante envía transacciones de polvo (dust) desde una dirección fabricada para coincidir con los primeros y los últimos caracteres de otra que usas a menudo, con la esperanza de que más adelante la copies de tu historial de transacciones. El malware del portapapeles va más allá: sustituye en silencio cualquier dirección cripto que copies por la del atacante. Ambos se derrotan del mismo modo: verifica más que los extremos de una dirección antes de enviar y confírmala en la pantalla de tu billetera de hardware, que el malware no puede alterar.

Pretextos de urgencia y de miedo

«Tu billetera será suspendida». «Fecha límite de migración: esta noche». «Has recibido un token comprometido: haz clic para eliminarlo». «El airdrop cierra en 2 horas». La urgencia es el componente que sostiene casi todo phishing, porque la gente con prisa se salta la verificación. El corolario es una de las reglas más valiosas del mundo cripto: no existe ninguna emergencia cripto legítima que exija que firmes algo en los próximos diez minutos. Lo que de verdad es tuyo seguirá siendo tuyo después de que te lo tomes con calma y verifiques.

Ingeniería social dirigida

Los objetivos de mayor valor reciben un trato a medida: falsas entrevistas de trabajo con una «prueba de programación» que instala malware, falsas invitaciones a pódcast o a colaboraciones con una aplicación de reuniones envenenada, cuentas comprometidas de amigos reales que te piden que pruebes su nuevo proyecto. La pista está en lo que piden: en algún momento te empujan a ejecutar software, hacer clic en un enlace o firmar algo. La construcción de la relación previa a ese momento es el ataque.

Los hábitos que los frenan

Ninguno de estos hábitos exige conocimientos técnicos. Todos exigen constancia.

• Marcadores, nunca búsquedas. Mantén marcadores de cada exchange, billetera y sitio DeFi que uses, creados con cuidado una sola vez, y úsalos en exclusiva. No teclees direcciones web de memoria, no hagas clic en anuncios, no sigas enlaces de mensajes, ni siquiera de los que parezcan venir del servicio real.
• Trata todos los mensajes directos como hostiles. Configura Discord y Telegram para bloquear los mensajes directos de quien no sea tu amigo. Cualquiera que te contacte primero sobre cripto —soporte, sorteos, «has sido seleccionado»— es un atacante mientras no se demuestre lo contrario, y demostrar lo contrario significa que contactes tú mismo con la organización a través de un canal guardado en tus marcadores.
• La regla de la frase semilla es absoluta. Solo se escribe en una billetera durante una configuración o una recuperación deliberadas, y en ningún otro sitio. Ni en sitios web, ni en formularios, ni se le lee a nadie. No hay excepciones; cada supuesta excepción es la estafa.
• Lee cada firma. Antes de aprobar algo en tu billetera, sabe lo que hace. Si un sitio que visitaste para leer un artículo te pide una firma, vete. Si un «reclamar» pide aprobaciones de tokens, ciérralo. Si no puedes explicar qué hace una solicitud, rechazarla no te cuesta nada: esa es la asimetría que conviene aprovechar.
• Verifica bien las direcciones. Comprueba al menos 8–10 caracteres repartidos entre el principio, el medio y el final o, mejor, verifica la dirección completa en la pantalla de una billetera de hardware. Envía antes una cantidad de prueba pequeña a cualquier destinatario nuevo de una transferencia importante: 5 dólares en comisiones son un seguro barato para un movimiento de 5.000 dólares.
• Impón un periodo de reflexión. Cualquier solicitud que implique urgencia recibe un periodo de espera automático: incluso 15 minutos rompen el hechizo. Escasez más cuenta atrás equivale a phishing, casi siempre.
• Limita el radio de la explosión. Haz las interacciones arriesgadas o novedosas (acuñaciones nuevas, dApps desconocidas) desde una billetera aparte que contenga solo lo que esa interacción necesita, para que una mala firma no pueda alcanzar tus fondos principales.

Cuando te han atacado, o casi

Si firmaste algo sospechoso pero todavía quedan fondos, actúa de inmediato: revoca las aprobaciones que concediste y traslada los activos a una billetera limpia, empezando por los de mayor valor. Si tu frase semilla quedó expuesta, la billetera está quemada para siempre: migra todo ahora mismo a una billetera recién generada; los drainers suelen automatizar los barridos en cuestión de minutos.

Después, cuidado con la segunda oleada: los «servicios de recuperación» que contactan con las víctimas prometiendo recuperar las criptomonedas robadas a cambio de una tarifa por adelantado. Salvo raras excepciones por intervención de las fuerzas de seguridad, las criptomonedas robadas no se pueden recuperar, y las ofertas de recuperación son una estafa de seguimiento dirigida a personas en su momento de mayor desesperación. Denuncia el robo a la plataforma suplantada y a las fuerzas de seguridad, conserva los registros y no pagues a nadie que prometa devolverte tus monedas.