Phishing con WalletConnect falso y ventanas emergentes de wallet: cómo funciona y cómo protegerte
El phishing de WalletConnect usa ventanas de conexión falsas y pop-ups de wallet para robar frases de recuperación o firmas. Aprende cómo funciona, las señales de alarma y qué hacer después.
El phishing de WalletConnect es una estafa en la que un sitio web falso muestra una ventana de «conectar wallet» falsificada o un pop-up de wallet para engañarte y que escribas tu frase de recuperación o firmes una transacción maliciosa. El protocolo real de WalletConnect nunca pide tu frase de recuperación; solo transmite solicitudes de conexión y transacciones a tu app de wallet, donde tú las apruebas.
Estas estafas funcionan porque conectar una wallet se ha vuelto rutinario. La gente repite el mismo proceso decenas de veces, así que una imitación convincente pasa desapercibida. Saber cómo es el flujo auténtico es la mejor defensa.
Cómo funciona el flujo real de conexión de una wallet
Entender el proceso legítimo hace que las falsificaciones sean más fáciles de detectar:
- 1Visitas una app descentralizada y haces clic en «Conectar wallet».
- 2La app muestra una lista de opciones, como una extensión de navegador o WalletConnect.
- 3Si eliges WalletConnect, la app muestra un código QR o, en el móvil, abre tu app de wallet mediante un deep link.
- 4Tu app de wallet muestra el nombre y el dominio del sitio y te pide que apruebes la conexión.
- 5Más tarde, cuando realizas una acción, tu wallet muestra la transacción o la solicitud de firma y tú la apruebas o la rechazas.
En ningún momento la app necesita tu frase de recuperación ni tu clave privada. Todo lo sensible permanece dentro de tu wallet. Nuestra guía sobre permisos de wallet y sitios conectados explica qué permite y qué no permite una conexión. Para profundizar, consulta Hardware wallets manipuladas y falsas.
Cómo funciona la estafa, paso a paso
Variante 1: Robo de la frase de recuperación
- 1El cebo. La víctima ve un mensaje sobre un problema: «tu wallet no está sincronizada», «el reclamo falló, valida tu wallet» o «migra tus tokens». Los enlaces llegan a través de respuestas en redes sociales, cuentas de soporte falsas, anuncios o correos electrónicos.
- 2El sitio falso. La página parece un sitio neutral de «herramientas de wallet» o «rectificación de dapps», a menudo con la marca de WalletConnect y una cuadrícula de logotipos de wallets.
- 3El fallo falso. Al hacer clic en el logotipo de una wallet aparece un indicador de carga falso y luego un error: «La conexión automática falló. Conecta manualmente».
- 4El robo. La opción «manual» pide tus 12 o 24 palabras de recuperación, una clave privada o un archivo keystore. Todo lo que introduces se envía al estafador, que vacía la wallet en cuestión de minutos.
Variante 2: Firmas maliciosas
Aquí el sitio se conecta correctamente a tu wallet real y luego te pide que firmes algo dañino: una aprobación ilimitada de tokens, una firma de permit o una transacción que transfiere activos. El pop-up es real; la solicitud es maliciosa. Nuestro artículo sobre ice phishing y firmas de permit lo trata a fondo.
Variante 3: Ventanas de wallet falsas dentro de la página
Algunos sitios dibujan dentro de la página una imitación perfecta de una wallet de extensión popular, con logotipo y campo de contraseña incluidos. Puede pedirte primero la contraseña y después la frase de recuperación «para restaurar el acceso». Lectura relacionada: Phishing a través de anuncios de búsqueda.
Un ejemplo hipotético
Lo siguiente es un escenario compuesto e ilustrativo, no un caso real. Imagina a Maya, que tiene tokens de un airdrop pasado de un proyecto. Publica en redes sociales que su reclamo falló. En pocos minutos, una cuenta con el logotipo del proyecto responde: «¡Sentimos las molestias! Usa nuestro portal de sincronización de wallets para resolver reclamos pendientes», con un enlace.
El sitio muestra una ventana al estilo de WalletConnect. Elige su wallet, ve «Error de conexión, conecta manualmente» y un campo le pide su frase de recuperación. La escribe. Diez minutos después, sus tokens y la moneda nativa de la red han sido transferidos. La cuenta de «soporte» borra su respuesta.
Cada paso tenía una señal de alarma: ayuda no solicitada, un enlace no oficial y, sobre todo, una petición de su frase de recuperación. Nuestro artículo Estafas de préstamos cripto amplía este punto.
Lista de señales de alarma
- Un sitio o ventana pide tu frase de recuperación, clave privada o archivo keystore. Solo esto ya significa que es una estafa.
- La «ventana de la wallet» no se puede arrastrar fuera del navegador o desaparece cuando cambias de pestaña.
- Te enviaron el enlace en una respuesta, un mensaje directo, un anuncio o a través de un «agente de soporte».
- El dominio es desconocido, está mal escrito o usa una extensión extraña, y no aparece enlazado desde el sitio oficial del proyecto.
- La página alega un problema genérico como «sincronización», «validación», «rectificación» o «whitelist» que hay que solucionar.
- Tu wallet muestra una solicitud para aprobar gastos ilimitados o firmar un mensaje ilegible que no esperabas.
- Hay urgencia: «tus activos se congelarán en 30 minutos».
Cómo protegerte
- 1Nunca escribas tu frase de recuperación en ningún sitio web. Tu frase de recuperación solo va en tu app de wallet cuando la restauras, en tu propio dispositivo.
- 2Accede a las apps desde marcadores. Guarda los enlaces oficiales del sitio web del proyecto y úsalos siempre. Consulta cómo verificar que un sitio web es el sitio oficial del proyecto.
- 3Lee el dominio en tu wallet. Antes de aprobar una conexión, comprueba que el nombre del sitio que muestra la wallet coincide con el dominio oficial.
- 4Lee cada solicitud de firma. Si no sabes qué hace una solicitud, recházala.
- 5Usa una wallet separada para experimentar. Guarda tus tenencias a largo plazo en una wallet, idealmente una hardware wallet, que rara vez se conecte a sitios nuevos.
- 6Revoca las aprobaciones antiguas con regularidad. Nuestra guía sobre cómo revocar aprobaciones de tokens explica cómo hacerlo.
Qué hacer si te ha pasado
| Situación | Acción inmediata |
|---|---|
| Escribiste tu frase de recuperación o clave privada | Crea una wallet nueva en un dispositivo limpio y mueve ya los fondos restantes |
| Firmaste una aprobación o un permit | Revoca la aprobación y mueve los activos a una wallet segura |
| Solo te conectaste, no firmaste nada | Desconecta el sitio en tu wallet y revisa las aprobaciones |
Después sigue nuestra guía paso a paso sobre qué hacer de inmediato si tu wallet está comprometida. Guarda la URL del sitio, los hashes de las transacciones y capturas de pantalla, y denuncia el sitio a través de nuestro formulario de denuncia de estafas para que otros puedan ser advertidos. Desconfía de los «servicios de recuperación» que te contacten después; a menudo son una segunda estafa.
En resumen
WalletConnect y los pop-ups de wallet son herramientas seguras cuando provienen de tu wallet real y de una app real. La estafa está en las ventanas de imitación que piden tu frase de recuperación y en las solicitudes maliciosas disfrazadas de pasos rutinarios. Ningún servicio legítimo necesita tus palabras de recuperación. Si una ventana te las pide, ciérrala.
Preguntas frecuentes
¿WalletConnect me pide alguna vez la frase de recuperación?
No. WalletConnect es un protocolo que vincula tu wallet con una app mediante un código QR o un deep link. Tu app de wallet aprueba la conexión y cualquier transacción. Ninguna pantalla, sitio web ni agente de soporte legítimo de WalletConnect te pedirá jamás que escribas, pegues o subas tu frase de recuperación o tu clave privada.
¿Cómo sé si una ventana emergente de wallet es falsa?
Una wallet real de extensión de navegador abre su propia ventana o panel controlado por la extensión. Una falsa está dibujada dentro del sitio web, así que no se puede arrastrar fuera de la pestaña del navegador y suele desaparecer si cambias de pestaña. Que pida tu frase de recuperación o que aparezca antes de que hayas hecho clic en nada también son señales de alarma claras.
¿Qué hago si introduje mi frase de recuperación en un sitio falso?
Da por hecho que la wallet está comprometida. Desde un dispositivo limpio, crea una wallet nueva con una frase de recuperación nueva y mueve allí de inmediato los fondos que queden, empezando por los activos más valiosos. Después revoca las aprobaciones de la wallet antigua si es posible, guarda pruebas y denuncia el sitio.
¿Es seguro escanear un código QR de WalletConnect?
Escanearlo por sí solo solo propone una conexión; tu wallet sigue mostrando qué sitio es y qué quiere. El riesgo surge al aprobar una conexión con un sitio malicioso y luego firmar las transacciones o aprobaciones que solicita. Comprueba el dominio del sitio que muestra tu wallet antes de aprobar nada.