Los consejos sobre fraude cripto están escritos para quien compra su primera moneda, y por eso no protegen a nadie más. Los montajes que alcanzan a traders con años de oficio no se apoyan en la ignorancia. Se apoyan en la rutina, en el ritmo, y en el hecho de que una cuenta activa firma cosas todo el día.
La estafa ingenua necesita que no entiendas lo que pasa. La competente necesita lo contrario: que estés haciendo algo familiar, deprisa, en un contexto donde la acción que ella quiere es la que ibas a hacer de todos modos. Saber más te hace más rápido, y es la velocidad lo que se explota.
También hay un efecto de selección que a nadie le gusta. Un trader activo tiene saldos en varias plataformas, varios juegos de credenciales, sistemas automatizados que guardan claves, y un rastro público dejado en foros o redes. Ese perfil merece mucho más esfuerzo que uno corriente, y lo recibe. Los mensajes que llegan a él están documentados, bien escritos, y apuntan a algo que el objetivo hace de verdad.
El montaje que atrapa a los experimentados nunca les pide aprender algo. Les pide hacer, una vez demasiado deprisa, lo que hacen veinte veces por semana.
Nadie teclea una dirección de destino. Todo el mundo copia una, y la fuente habitual es el historial de transacciones. El ataque explota exactamente eso: se envía una transferencia diminuta a tu dirección desde una dirección clon, generada para que sus primeros y últimos caracteres coincidan con una que usas con frecuencia. Ya está instalada en tu historial con aspecto de un sitio con el que ya has operado.
La próxima vez que copies de esa lista con prisa, copias al impostor. La parte central de la cadena es distinta, y nadie lee la parte central de una cadena. La transferencia es válida, irreversible, y se va a alguien que gastó unas pocas unidades de comisión para estar ahí el día que estabas distraído.
La defensa es de procedimiento y lleva un segundo: verificar caracteres tomados del medio de la dirección en lugar de los extremos, y copiar destinos de una lista guardada que hayas construido tú en vez del historial. Poner las direcciones de retirada en lista blanca, en toda plataforma que lo permita, elimina por completo la exposición para los destinos que usas de forma repetida.
El soporte real te responde. No te encuentra primero. Sin embargo la versión más productiva de este fraude es precisamente entrante: poco después de que publiques una pregunta en un foro o en un canal de comunidad, alguien te escribe en privado, usa tu nombre, cita el problema exacto que describiste y se ofrece a ayudar.
Lo que sigue nunca pide una contraseña, porque pedirla rompería el hechizo. Pide conectar un monedero a una página de verificación, ejecutar un comando de diagnóstico, escribir tu frase de recuperación en un formulario que parece una restauración de monedero, o instalar una herramienta de asistencia remota para poder ver el problema. Cada petición es plausible en el contexto del problema que anunciaste en público.
Una sola regla cubre la categoría entera y no exige criterio. Las conversaciones de soporte empiezan desde dentro de la plataforma, por iniciativa tuya, por un camino que recorriste tú. Quien te contacte primero acerca de una cuenta no es, sin excepción que merezca atenderse, quien dice ser.
Las pérdidas más caras de los últimos años no han implicado claves robadas. Han implicado una firma producida por el propio dueño, en una página que se parecía a otra que usaba con frecuencia, concediendo un permiso de gasto en vez de hacer una transferencia.
El mecanismo merece decirse sin rodeos porque el vocabulario lo esconde. Conceder un permiso no mueve nada, así que después nada parece raro. El saldo se va más tarde, en un momento elegido por quien tiene el permiso, y por eso la pérdida parece tantas veces desconectada de cualquier gesto que la víctima recuerde. Un monedero físico realiza esa firma con la misma fidelidad que cualquier otra.
Dos hábitos acaban con esto. Leer qué te pide aprobar el monedero, y en concreto si es una transferencia o una autorización, porque la interfaz sí las distingue. Y tratar como hostil cualquier petición de firma que aparezca sin que tú hayas iniciado una acción, en especial la que llega justo después de conectarte a un sitio al que llegaste desde un enlace.
Una clave que no se puede robar firma igualmente todo lo que apruebas. La amenaza se ha desplazado de la clave al momento de la aprobación.
Un mensaje de texto puede redirigirse convenciendo a un operador móvil de trasladar un número a un dispositivo nuevo. El procedimiento está pensado para ayudar a clientes que perdieron un teléfono, lo ejecutan personas con presión de tiempo, y se ha demostrado repetidamente que se sortea con información nada difícil de reunir sobre una persona expuesta en público.
Una vez trasladado el número, cada código enviado a él llega al atacante, incluidos los restablecimientos de contraseña de la cuenta de correo que ancla todo lo demás. El trader cuyas cuentas de plataforma, correo y perfiles sociales recaen todos en el mismo número está a un error de operador de perder los tres de golpe, y la secuencia dura minutos.
El remedio es anodino: usar una aplicación de autenticación o una llave de seguridad física en todos los sitios donde se ofrezca, quitar el número de teléfono de los métodos de recuperación donde la plataforma lo permita, y poner un bloqueo de portabilidad o equivalente con el operador. Nada de esto es difícil y casi nadie lo hace antes de un incidente.
Una extensión de navegador autorizada a leer y modificar datos en todos los sitios es un observador permanente de cada interfaz de trading que abres. Las extensiones cambian de manos, se venden a dueños nuevos y reciben actualizaciones que no escribió la persona en la que confiaste. No es una hipótesis, es un patrón recurrente, y el mecanismo de actualización hace que el cambio te alcance en silencio.
El mismo razonamiento vale para la automatización. Un bot que se conecta a tu cuenta necesita una clave de API, y todo bot que pide derechos de retirada pide algo que ninguna estrategia necesita. Un script copiado de un foro se ejecuta con tus permisos, y leerlo es toda la revisión de seguridad que va a tener nunca.
Mantén el perfil de navegador que toca valor separado de aquel con el que navegas, instala en él lo menos posible, y audita lo instalado según un calendario. El objetivo no es la paranoia, es reducir el número de partes capaces de cambiar en silencio código que corre junto a tu cuenta.
Después de una pérdida hecha pública llega una segunda oleada: servicios que ofrecen rastrear y recuperar fondos robados, citando a menudo el incidente concreto, reivindicando a veces una relación con un investigador o una autoridad. Piden honorarios por adelantado, o acceso al monedero para evaluarlo.
La premisa es falsa donde importa. Una transacción liquidada en un registro público no puede revertirla una empresa privada, y rastrear a dónde fueron los fondos, que sí es posible, no es lo mismo que poder recuperarlos. Lo que se vende es una segunda pérdida, a alguien de quien ya se ha establecido que es alcanzable y está motivado.
Hay algo que sí merece hacerse tras una pérdida, y no es comercial: documentarlo todo con marcas de tiempo y direcciones, denunciarlo a la plataforma implicada y a la autoridad de tu país, y aceptar que la recuperación es improbable. La frase es sombría y es más útil que la alternativa que te ofrecen.
Las mayores sumas de este campo no se pierden en exploits técnicos, se entregan voluntariamente a lo largo de semanas. El patrón es constante: una relación formada en un entorno social, un interés compartido por los mercados, y después la presentación de una plataforma donde las primeras operaciones del recién llegado van notablemente bien y las retiradas funcionan a la perfección en importes pequeños.
Todo es real hasta que la cantidad se vuelve grande. La interfaz, los saldos, la atención al cliente, la retirada que llegó el mes pasado: todo está diseñado para establecer que el dinero es recuperable. El fallo aparece solo en el punto en que ya no lo es, normalmente acompañado de un impuesto o una comisión que hay que pagar antes, con fondos de fuera.
La señal estructural no es la rentabilidad, a menudo lo bastante modesta para resultar creíble. Es que la plataforma te alcanzó a través de una persona y no a través del mercado, y que la persona apareció antes que la oportunidad. Todo lo que se descubre así debe comprobarse en un registro público de entidades autorizadas antes de la menor transferencia, y la mayoría no figura en ninguno.
Casi todos los montajes anteriores caen ante un puñado de hábitos, y ninguno exige pericia. No actuar nunca ante un contacto entrante sobre una cuenta, jamás, por mucho que el remitente parezca saber. Verificar direcciones por sus caracteres centrales y mantener una lista guardada. Leer si estás firmando una transferencia o una autorización. Sacar el SMS del camino de recuperación de todo lo que importe. Mantener las tenencias de largo plazo en una dirección que nunca haya aprobado un contrato.
La última es cuestión de tiempo más que de técnica. Cada montaje de este artículo funciona mejor bajo presión, y cada uno está construido para crearla: una ventana limitada, una posición en peligro, un agente de soporte esperando tu respuesta. Una acción que no puede esperar diez minutos es una acción que otro ha programado por ti, y esos diez minutos casi siempre bastan para verlo.
La urgencia es el ingrediente común. Nada legítimo, tratándose de tu propia cuenta, exige actuar antes de haber tenido tiempo de comprobarlo.
Suele significar que tu dirección ha sido marcada para un envenenamiento de direcciones. La transferencia en sí es inofensiva; su propósito es colocar una dirección clon en tu historial para que la copies más tarde por error. No interactúes con ella, y copia tus destinos de una lista que mantengas tú en lugar del historial.
No. Un soporte auténtico responde a solicitudes que abres desde la plataforma, no te encuentra en un foro. Que conozca los detalles de tu problema solo demuestra que leyó el mismo mensaje público que escribiste tú. Cierra la conversación y abre un ticket tú mismo desde tu cuenta.
Por un permiso de gasto firmado antes. Aprobar que un contrato mueva un token en tu nombre es una acción distinta de una transferencia, no mueve nada en ese momento, y sigue válida hasta que se revoca. La retirada ocurre después, en el momento que elija el titular, y por eso parece no guardar relación con nada que hicieras.
Protege la clave, no la decisión. La clave nunca sale del dispositivo, así que no puede extraerse, pero una firma que apruebas en ese dispositivo es una firma válida sea lo que sea que autorice. Leer el destino y la operación en la pantalla del propio dispositivo es lo que cierra la brecha.
Mejor que nada y bastante peor que las alternativas, porque un número de teléfono puede trasladarse a otro dispositivo convenciendo a un operador en vez de rompiendo algo. Donde se ofrezca una aplicación de autenticación o una llave física, esa es la opción, y el número debería salir por completo de la recuperación de cuenta.
Ninguna estrategia exige la capacidad de sacar fondos de la plataforma. Un bot que la pide está pidiendo una capacidad que su función declarada no necesita, y eso basta para negarse. Concede solo derechos de operativa, restringe la clave a las direcciones que usa tu infraestructura, y rótala según un calendario.
Rastrear a dónde fueron los fondos sí es posible y no es lo mismo que recuperarlos. Una transacción liquidada no puede revertirla una empresa privada, y cualquier petición de pago por adelantado o de acceso a tu monedero es un segundo fraude dirigido a alguien de quien ya se sabe que es alcanzable. Documenta el incidente y denúncialo en su lugar.
Negarse a actuar deprisa en cualquier cosa relativa a tu propia cuenta. Todos los montajes descritos aquí fabrican urgencia, porque ninguno sobrevive a diez minutos de comprobación. Nada legítimo sobre tus posiciones, tus retiradas o tu acceso exige una decisión inmediata tomada dentro de la conversación de otra persona.