Gestores de contraseñas y cripto: qué guardar y qué nunca

Un gestor de contraseñas es un buen lugar para las contraseñas de tus exchanges y de tu correo, pero no para frases semilla ni claves privadas: estas deben quedarse offline, porque quien las obtenga controla tus criptomonedas para siempre. Bien usado, un gestor de contraseñas hace tus cuentas cripto mucho más seguras; usado como un cajón de sastre, puede convertirse en un punto único de fallo.

La mayoría de los robos de criptomonedas empiezan con el secuestro de una cuenta o el robo de un secreto, no con una blockchain vulnerada. Esta guía explica cómo los atacantes van tras las bóvedas de contraseñas y los secretos que contienen, qué guardar y qué dejar fuera, y qué hacer si algo sale mal.

Qué guardar y qué nunca

El principio rector: el gestor de contraseñas protege el acceso a cuentas que tienen otras salvaguardas (retrasos en los retiros, 2FA, equipos de soporte). Una frase semilla no tiene ninguna salvaguarda. Lee qué es una frase semilla y cómo funcionan las frases de recuperación para entender por qué.

Cómo van los atacantes tras las bóvedas y los secretos

Entender las vías de ataque explica las reglas anteriores:

1. 1Malware infostealer. Una app falsa, un software pirateado o una extensión de navegador maliciosa copia datos del navegador, contraseñas guardadas y archivos de tu ordenador. Si tu bóveda está desbloqueada, o si tu frase semilla está en una nota, puede robarse en segundos.
2. 2Phishing de la contraseña maestra. Una página de inicio de sesión falsa o un correo falso de «alerta de seguridad de la bóveda» te pide que inicies sesión en tu gestor de contraseñas.
3. 3Brechas en el proveedor. Algunas empresas de gestores de contraseñas han sufrido brechas en las que se copiaron datos cifrados de bóvedas. El cifrado solo te protege mientras tu contraseña maestra sea lo bastante robusta para resistir intentos de adivinarla.
4. 4Secuestro del portapapeles. Un malware vigila tu portapapeles y cambia una dirección de billetera copiada por la del atacante, o captura una frase semilla que copias.
5. 5Búsqueda de palabras clave en las bóvedas. Una vez dentro de una bóveda, los atacantes buscan palabras como «seed», «mnemonic», «wallet» o «private key».

Un ejemplo hipotético

Lo siguiente es un caso ilustrativo compuesto, no un caso real. Imagina que Alex guarda todo en un único gestor de contraseñas, incluida una nota titulada «MetaMask seed». Alex instala una extensión gratuita de «seguimiento de precios cripto» que resulta ser maliciosa. Captura la contraseña maestra mientras Alex la escribe y exporta la bóveda. El atacante busca «seed», importa la billetera y la vacía en menos de una hora. La cuenta de Alex en el exchange se salva solo porque los retiros requieren una llave de seguridad de hardware. La diferencia entre ambos resultados estuvo en dónde se guardaba cada secreto.

Señales de alarma de que tu bóveda o tus cuentas están en el punto de mira

• Correos que te piden «verificar» o «volver a sincronizar» tu gestor de contraseñas o tu cuenta del exchange.
• Alertas de inicio de sesión o solicitudes de 2FA que no has provocado tú.
• Tu gestor de contraseñas se niega a autocompletar en un sitio que crees que es tu exchange.
• Nuevas extensiones del navegador que no recuerdas haber instalado.
• Correos inesperados de restablecimiento de contraseña de tu cuenta de correo.

Cómo configurar un gestor de contraseñas para cripto de forma segura

1. 1Elige un gestor de confianza con un modelo de seguridad publicado y cifrado de extremo a extremo, descargado solo desde el sitio oficial o la tienda de aplicaciones.
2. 2Crea una frase de contraseña maestra robusta de varias palabras aleatorias que no uses en ningún otro sitio, y anótala para una recuperación de emergencia en un lugar seguro.
3. 3Activa una autenticación de dos factores robusta para la bóveda, idealmente una llave de seguridad de hardware o una app de autenticación en lugar de SMS.
4. 4Genera contraseñas únicas para cada exchange, cuenta de correo y servicio cripto. Prioriza tu correo, porque con él se puede restablecer todo lo demás.
5. 5Usa el autocompletado como comprobación antiphishing. Si no te ofrece tus credenciales, revisa la URL antes de escribir nada.
6. 6Deja fuera los secretos de las billeteras. Guarda las frases semilla offline. Si quieres un recordatorio en la bóveda, escribe solo dónde está la copia de seguridad, no lo que dice.
7. 7Bloquea la bóveda automáticamente tras un breve periodo de inactividad y cuando el dispositivo entre en reposo.

Para una rutina más completa, consulta nuestra guía para crear una rutina sólida de seguridad cripto y la de seguridad de la cuenta de correo para usuarios de cripto.

Qué hacer si tu bóveda se ve comprometida

1. 1Da por hecho que todos los secretos que contiene están expuestos. Si había una frase semilla, mueve de inmediato los fondos a una billetera nueva con una frase semilla nueva; sigue qué hacer de inmediato si tu billetera está comprometida.
2. 2Cambia primero la contraseña de tu correo, luego las de los exchanges, desde un dispositivo limpio.
3. 3Restablece la autenticación de dos factores y revoca sesiones y claves API desconocidas en los exchanges.
4. 4Revisa las listas blancas de direcciones de retiro en busca de direcciones que no hayas añadido tú.
5. 5Analiza o reinstala el dispositivo afectado antes de volver a usarlo.
6. 6Denuncia los sitios de phishing y las direcciones de estafa ante el servicio correspondiente y a través de nuestro formulario de denuncia de estafas.

En resumen

Un gestor de contraseñas es una de las mejores herramientas de seguridad que puede tener un usuario de cripto, siempre que guarde lo que debe. Úsalo para contraseñas de cuenta únicas y como comprobación antiphishing mediante el autocompletado, protégelo con una frase de contraseña robusta y una autenticación de dos factores basada en hardware, y guarda las frases semilla y las claves privadas offline, donde el malware y las brechas no puedan alcanzarlas.