Sitios de phishing cripto: cómo reconocer una página falsa de exchange o billetera

Los sitios de phishing cripto son páginas web falsas que imitan un exchange, una billetera o una app DeFi reales para robar tu acceso, tus códigos de doble factor, tu frase de recuperación o una firma de tu billetera. Normalmente puedes reconocerlos por una dirección que difiere ligeramente del dominio real, por la forma en que llegaste (un anuncio, un correo o un mensaje directo) y por solicitudes que ningún servicio legítimo hace, como escribir tu frase de recuperación en un formulario web.

El phishing es una de las formas más comunes en que la gente pierde criptomonedas, y también funciona con usuarios experimentados. A diferencia de un banco, una blockchain no puede revertir una transferencia una vez confirmada, así que la prevención es la única defensa fiable.

Cómo funcionan los sitios de phishing cripto

Los sitios de phishing buscan dos tipos de secretos:

1. 1Credenciales de cuenta de exchanges centralizados: correo, contraseña y códigos de doble factor. El atacante los reenvía al exchange real en tiempo real, inicia sesión y retira los fondos.
2. 2Acceso a billeteras de autocustodia: ya sea tu frase de recuperación directamente o una firma que da al atacante permiso para mover tus tokens. Estos sitios suelen hacerse pasar por un DEX, un mint de NFT, un reclamo de airdrop o una página de «validación de billetera» y ejecutan un script de wallet drainer.

La página en sí suele ser una copia del código del sitio real, por lo que el diseño, los logotipos y el texto se ven idénticos. Consulta también: Buenas prácticas de seguridad para billeteras móviles.

Cómo llegan las víctimas a los sitios falsos

• Anuncios en buscadores. Los estafadores compran anuncios para términos de búsqueda populares. El anuncio aparece por encima del resultado real y enlaza a un dominio parecido.
• Correo electrónico. Falsas alertas de seguridad («Se detectó un inicio de sesión inusual», «Verifica tu cuenta») con un enlace a una página de inicio de sesión falsa.
• Respuestas en redes sociales. Bots responden a publicaciones oficiales con enlaces a airdrops o páginas de soporte falsos.
• Mensajes directos. Falsos agentes de soporte o «admins» en Discord, Telegram o X envían enlaces.
• Cuentas comprometidas. La cuenta social o el Discord de un proyecto real es hackeado y publica un enlace de phishing.
• SEO y typosquatting. Dominios que difieren en un carácter, usan otra extensión o añaden palabras como «app», «claim» o «support».

Señales de alerta de una página falsa de exchange o billetera

Un icono de candado o «https» no significa que un sitio sea seguro. Los sitios de phishing usan habitualmente certificados válidos. Lo explicamos con más detalle en Malware del portapapeles.

Cómo comprobar un sitio antes de iniciar sesión o conectarte

1. 1Escribe el dominio o usa un marcador. Crea marcadores para cada exchange, billetera y app DeFi que uses, y usa solo esos.
2. 2Lee el dominio completo en la barra de direcciones. Fíjate en la parte justo antes de la extensión; ese es el nombre real del sitio. exchange.com.secure-login.io pertenece a secure-login.io, no a exchange.com.
3. 3Contrasta la URL oficial. Compárala con el perfil verificado del proyecto en un sitio de datos de buena reputación. Nuestra guía sobre cómo verificar que un sitio web es el sitio oficial del proyecto explica el proceso.
4. 4Lee cada solicitud de la billetera. Antes de firmar, comprueba con qué contrato interactúas y qué permiso estás concediendo.
5. 5Nunca escribas tu frase de recuperación en un sitio web desde el ordenador o el móvil. Si algún sitio te la pide, cierra la pestaña.

Hábitos que previenen el phishing

• Usa un gestor de contraseñas. Solo rellena las credenciales en el dominio exacto que guardó, así que no las autocompletará en un sitio parecido, lo que sirve como alarma útil.
• Usa llaves de seguridad físicas o una app de autenticación para la autenticación de doble factor en lugar de SMS. Consulta autenticación de doble factor para cuentas cripto.
• Activa las listas de direcciones de retiro permitidas en los exchanges donde esté disponible.
• Ten una billetera separada para experimentos y guarda los fondos a largo plazo en una billetera que nunca se conecte a sitios nuevos.
• Trata como sospechoso todo mensaje no solicitado sobre tu cuenta, aunque parezca oficial.
• Revisa y revoca las aprobaciones de tokens con regularidad.

Si crees que has sido víctima de phishing

La rapidez es clave:

1. 1Introdujiste credenciales de un exchange: cambia tu contraseña y la configuración de doble factor desde el sitio real, comprueba si hay nuevas direcciones de retiro o claves API y contacta con soporte a través del sitio web oficial.
2. 2Introdujiste una frase de recuperación: da la billetera por perdida. Mueve los fondos restantes a una billetera nueva creada en un dispositivo limpio, con una nueva frase de recuperación.
3. 3Firma o aprobación maliciosa: revoca las aprobaciones de inmediato y mueve los activos restantes.
4. 4Denúncialo: informa del dominio a la empresa suplantada, al servicio de denuncia de phishing de tu navegador y a través de nuestro formulario de denuncia de estafas.

Desconfía de los «servicios de recuperación» que se ponen en contacto contigo después. Casi siempre son una segunda estafa. Nuestro artículo Actualizaciones de firmware de billeteras profundiza en este punto.

Conclusión

Los sitios de phishing tienen éxito porque parecen reales y aparecen en momentos en que tienes prisa. Haz de los marcadores tu único punto de entrada, lee los dominios con atención, nunca escribas una frase de recuperación en un sitio web y trata cada solicitud de firma inesperada como una amenaza. Estos hábitos bloquean la gran mayoría de los intentos de phishing antes de que empiecen. Para más consejos de protección, consulta nuestros artículos de seguridad.