La 2FA bien hecha para cripto

La mejor 2FA para cuentas cripto es una llave de seguridad de hardware (FIDO2/WebAuthn), seguida de una aplicación de autenticación (TOTP), con el SMS como último recurso muy por detrás. La razón es sencilla: el SMS se puede robar a distancia mediante un SIM swap (intercambio de SIM), los códigos TOTP se pueden obtener por phishing en tiempo real, pero una llave de hardware comprueba el dominio real del sitio web antes de firmar nada. Y sea cual sea el segundo factor que elijas, solo sirve de algo si la cuenta de correo que hay detrás de todo está protegida al menos igual de bien.

Por qué la 2FA importa más en cripto que en cualquier otro sitio

Si alguien vacía tu cuenta bancaria, llamas al banco, impugnas la transferencia y normalmente recuperas el dinero. Si alguien vacía tu cuenta en un exchange, la retirada se asienta de forma definitiva en una blockchain en cuestión de minutos y no existe ningún mecanismo de reversión. A veces los exchanges hacen reembolsos de cortesía tras grandes fallos de seguridad por su parte, pero conviene asumir que el compromiso de tus credenciales es una pérdida tuya.

Esa asimetría cambia las cuentas. Una contraseña sola —incluso una fuerte— es un único punto de fallo que puede filtrarse por una brecha en una base de datos, una credencial reutilizada o un infostealer en tu computadora portátil. La autenticación en dos factores significa que un atacante necesita comprometer dos cosas independientes. La calidad de tu 2FA determina cuán independientes son realmente esas dos cosas.

Las tres opciones, ordenadas

Códigos por SMS: mejor que nada, pero por poco

La 2FA por SMS envía un código de 6 dígitos a tu número de teléfono. El problema es que tu número de teléfono en realidad no es tuyo: es una entrada en la base de datos de tu operador, y a los operadores se les puede convencer de que la muevan. En un ataque de SIM swap, alguien llama a tu operador (o soborna a un empleado) haciéndose pasar por ti con un teléfono perdido, porta tu número a su SIM y a partir de ese momento recibe tus códigos. Los SIM swaps se han usado en robos de criptomonedas de ocho cifras para una sola víctima, y el atacante suele enterarse de que eres un objetivo rentable porque tu número se filtró en una brecha junto con el correo de un exchange de criptomonedas.

Usa el SMS solo cuando un servicio no ofrezca nada más, y si un servicio usa el SMS para la recuperación de la cuenta, considera eso como el verdadero nivel de seguridad de la cuenta, sea cual sea la 2FA de inicio de sesión que configures.

Aplicaciones de autenticación (TOTP): el punto medio sólido

Las aplicaciones TOTP (Aegis, Google Authenticator y otras) generan un código nuevo de 6 dígitos cada 30 segundos a partir de un secreto almacenado en tu dispositivo. Nada viaja por la red telefónica, así que los SIM swaps son irrelevantes. Quedan dos debilidades:

• Phishing en tiempo real. Una página de inicio de sesión falsa de un exchange puede pedirte tu contraseña y tu código TOTP y retransmitir ambos al sitio real dentro de la ventana de 30 segundos. El TOTP te verifica a ti, no al sitio.
• Gestión de las copias de seguridad. El secreto TOTP (que suele mostrarse como un código QR durante la configuración) es en sí mismo una credencial. Si lo respaldas en una cuenta en la nube, quien controle esa cuenta en la nube controla tu 2FA. Si no lo respaldas en absoluto, perder el teléfono te deja fuera.

Una configuración sensata: usa una aplicación que admita exportaciones locales cifradas, guarda la exportación (o los códigos QR originales de la configuración) sin conexión y anota en papel los códigos de recuperación de un solo uso de cada servicio, no en el mismo gestor de contraseñas que guarda la contraseña.

Llaves de seguridad de hardware: el extremo fuerte

Una llave FIDO2/WebAuthn (YubiKey y similares, de unos 25 a 60 dólares) firma un desafío que está vinculado criptográficamente al dominio que lo solicita. Si llegas a binannce.com en lugar de binance.com, la llave simplemente produce una firma que el sitio real nunca aceptará: la resistencia al phishing está integrada en el protocolo en lugar de depender de tu atención a las 11 de la noche. No hay ningún secreto compartido que robar de un servidor, y nada que leer por encima de tu hombro.

Compra dos llaves, registra ambas en todas las cuentas que las admitan y guarda la de repuesto en un lugar aparte. Una única llave registrada que se rompe o desaparece es el bloqueo autoinfligido más común con este método. Ten en cuenta que una llave de seguridad FIDO2 y una billetera de hardware son dispositivos distintos que resuelven problemas distintos: la llave autentica inicios de sesión, la billetera firma transacciones de blockchain. Algunas billeteras de hardware también pueden actuar como llaves FIDO2, lo cual resulta cómodo, pero concentra el riesgo en un solo dispositivo.

Tu correo electrónico es la raíz de la confianza

Casi todos los exchanges te permiten restablecer la contraseña por correo electrónico, y muchos te permiten desactivar la 2FA mediante un flujo de recuperación basado en el correo, a veces combinado con repetir la verificación de identidad. Eso significa que tu buzón está aguas arriba de todo: un atacante que controle tu correo a menudo puede abrirse camino hasta cuentas cuya 2FA configuraste con cuidado.

Consecuencias prácticas:

• Protege tu correo con la 2FA más fuerte que admita, idealmente llaves de hardware. El Programa de Protección Avanzada de Google es una opción razonable para una cuenta de Gmail dedicada a las criptomonedas.
• Elimina tu número de teléfono como método de recuperación de esa cuenta de correo si el proveedor lo permite; de lo contrario, el problema del SIM swap vuelve a entrar por la puerta de atrás.
• Considera una dirección de correo dedicada solo a los exchanges, que nunca se publique y nunca se reutilice para boletines o compras. Reduce la superficie de ataque y facilita detectar intentos de phishing: cualquier correo de un «exchange» que llegue a tu dirección de uso diario es falso por definición.

Control de daños del SIM swap más allá de la 2FA

Incluso después de dejar de usar códigos por SMS, tu número de teléfono todavía puede perjudicarte si está integrado en flujos de recuperación. Pregunta a tu operador por un PIN de portabilidad o una función de bloqueo de número, que exige una credencial adicional antes de que el número pueda transferirse. Después audita cada exchange y tu proveedor de correo: comprueba qué exige realmente el proceso de «he perdido mi dispositivo de 2FA». Una plataforma que desactiva la 2FA con solo una confirmación por SMS y un selfie te ha dicho cuál es su verdadero techo de seguridad.

Asume también que tu número y tu correo ya están en conjuntos de datos filtrados. Los atacantes cruzan las listas filtradas de clientes de exchanges con números de teléfono; estar en una de ellas es lo que te convierte de un objetivo aleatorio en uno elegido. Es una razón para mantener modestos los saldos en los exchanges y trasladar las tenencias a largo plazo a autocustodia, un tema que se trata en otra parte de esta ruta.

Una configuración concreta que funciona

Para alguien que tenga, digamos, 20.000 dólares repartidos entre dos exchanges:

1. Compra dos llaves de hardware FIDO2. Registra ambas en tu cuenta de correo y en cada exchange que admita llaves de seguridad.
2. Para los servicios que solo admiten TOTP, inscribe una aplicación de autenticación, exporta una copia de seguridad cifrada y anota en papel los códigos de recuperación de cada servicio, guardados junto con tus otros documentos sin conexión.
3. Elimina el SMS como método de 2FA y como método de recuperación en todos los sitios donde se pueda eliminar.
4. Configura un PIN de portabilidad con tu operador móvil.
5. Guarda la llave de hardware de repuesto en un segundo lugar: la casa de un familiar de confianza o una caja de seguridad en un banco.
6. Una vez al año, prueba un inicio de sesión con la llave de repuesto y confirma que tus códigos de recuperación siguen coincidiendo con la realidad.

El coste total es inferior a 120 dólares y una tarde. Comparado con lo que protege, es el seguro más barato de las criptomonedas.