Phishing cripto: webs falsas, anuncios trampa y cómo reconocerlos

El phishing es la estafa más vieja de internet adaptada a cripto: te hacen creer que estás en una web o hablando con un servicio legítimo para que entregues tu contraseña, tu frase semilla o tu firma. En cripto es especialmente dañino porque una transacción firmada no se puede deshacer.

No hace falta ser ingenuo para caer. Las copias son cada vez más buenas, y basta un momento de prisa o cansancio.

Las formas más habituales

Anuncios patrocinados en buscadores

Buscas el nombre de una wallet, un exchange o una DEX y el primer resultado es un anuncio. Parece el oficial, con el mismo logo, pero lleva a un dominio parecido. Los estafadores pagan por aparecer arriba precisamente porque mucha gente hace clic en lo primero.

Dominios casi iguales

Una letra cambiada, un guion de más, otra terminación (.app en vez de .com) o caracteres que se parecen visualmente. A simple vista, en el móvil, es fácil no verlo.

Falso soporte técnico

Preguntas algo en un grupo y al minuto te escribe «soporte» por privado. Te mandan a una web para «sincronizar» o «validar» tu wallet, que te pide la frase semilla o una firma. Ningún soporte real te escribe primero, y menos para pedirte datos de acceso.

Airdrops y tokens que aparecen solos

Recibes un token desconocido con un nombre que incluye una web. Si la visitas para «reclamar», te piden conectar y firmar. Es una variante muy común; la explico en airdrops falsos y tokens spam.

Emails y mensajes urgentes

«Tu cuenta será bloqueada», «actividad sospechosa», «verifica en 24 horas». La urgencia es la herramienta principal del estafador: busca que actúes antes de pensar.

Señales de alarma

• Te piden la frase semilla o la clave privada. Ninguna web ni persona legítima la necesita. Nunca.
• Te meten prisa o te amenazan con perder fondos.
• El dominio no coincide exactamente con el oficial.
• Te ofrecen algo demasiado bueno: dinero gratis, multiplicar tu depósito, acceso exclusivo.
• La wallet te muestra una firma o aprobación que no esperabas o no entiendes.
• El contacto llega por privado y sin que tú lo pidieras.

Hábitos que te protegen

1. Guarda en marcadores las webs que usas (exchange, DEX, terminal) y entra siempre desde ahí, no desde el buscador.
2. Saca los enlaces oficiales de una fuente fiable: la cuenta verificada del proyecto o su documentación, comprobando que coincide con otras fuentes.
3. Lee lo que firmas. Si la wallet muestra una aprobación de gasto ilimitada o una transferencia que no has pedido, rechaza. Más en drainers, firmas y aprobaciones.
4. Separa wallets: usa una con poco saldo para conectar a webs nuevas y guarda el resto en otra que nunca conectas.
5. Activa 2FA con app o llave física en tus cuentas. Una llave física, además, no responde en un dominio falso.
6. Desconfía de los mensajes privados aunque vengan de alguien que parece conocido: las cuentas también se roban.

Consejo: Una regla simple: si llegaste a una web por un enlace que alguien te envió, no conectes la wallet. Cierra la pestaña y entra tú desde tu marcador.

Si crees que has caído

Si diste la frase semilla, esa wallet está comprometida: crea una nueva en un dispositivo limpio y mueve lo que quede cuanto antes. Si firmaste una aprobación, revócala. Si entregaste la contraseña de un exchange, cámbiala y revisa el 2FA. Tienes el paso a paso en qué hacer si te vacían la wallet.

Un ejemplo típico, paso a paso

Escribes en el buscador el nombre de una DEX. El primer resultado es un anuncio con el logo correcto. Entras, la web es idéntica y te pide conectar la wallet. Al conectar, aparece una solicitud de firma con un texto confuso. Si firmas, puedes estar aprobando que un contrato mueva tus tokens. Todo ha durado menos de un minuto y nada parecía raro.

La defensa no es tener buen ojo para detectar la copia, porque a veces es imposible. La defensa es el hábito: entrar siempre desde un marcador y leer cada firma. Así no dependes de notar la diferencia.

Contenido educativo, no es asesoramiento financiero ni de seguridad profesional. Ante cualquier duda sobre una web o un mensaje, no conectes la wallet ni firmes nada hasta verificarlo por canales oficiales.