Seguridad cripto para principiantes: guía práctica

La mayoría de las historias de terror que escuchaste sobre gente que perdió su cripto se reducen a un puñado de hábitos chicos y arreglables. No necesitás ser un hacker para estar seguro: necesitás hacer bien unas pocas cosas corrientes, en el orden correcto. Este es el orden en que se las configuraría a un amigo, empezando por el cambio que más te protege y bajando hasta los detalles más finos.

Dejame poner el tono primero, porque la escritura sobre seguridad cripto tiende a oscilar entre dos extremos poco útiles: el liviano ("solo activá el 2FA, ¡estás bien!") o el aterrador ("un error y perdés todo para siempre"). La verdad es más tranquila que las dos. Las plataformas que vas a usar tienen defensas reales incorporadas, y tu trabajo es sobre todo activarlas y no dejar que te convenzan de no hacerlo. La cripto es inusual en un aspecto —las transacciones son irreversibles y no hay un banco al que llamar para una devolución—, así que un momento de descuido cuesta más acá de lo que costaría en un sitio normal. Pero los movimientos que cierran los ataques comunes son simples, y una vez que están en su lugar podés seguir aprendiendo sin saltar ante cada correo.

Esta guía está organizada por impacto, no por qué tan interesante es cada tema. Algunos de los temas que suenan más emocionantes —billeteras de hardware, frases semilla, almacenamiento en frío— importan mucho menos para quien empieza que lo aburrido de arriba, como qué tipo de código de dos factores usás. Así que vamos a empezar donde está la palanca y bajar. Si solo hacés las primeras tres cosas, vas a haberle cerrado la puerta a la forma en que la abrumadora mayoría de quienes empiezan de verdad pierden plata.

La versión corta

Activá el 2FA por app (no SMS) → usá una contraseña fuerte y única guardada en un gestor de contraseñas → poné un código antiphishing y una lista blanca de direcciones de retiro → aprendé a reconocer el puñado de estafas que apuntan a quien empieza → solo preocupate por las frases semilla y las billeteras de hardware cuando estés en autocustodia de plata real. El resto de esta página es el detalle detrás de cada una de esas cosas.

Cómo pierde cripto de verdad quien empieza

Ayuda saber contra qué te estás defendiendo, porque rara vez es lo que la gente imagina. Quien recién llega imagina una figura encapuchada rompiendo el cifrado. En la práctica, casi a nadie le sacan la cripto crackeando la blockchain o por fuerza bruta sobre una contraseña fuerte. Las pérdidas reales se agrupan en una lista corta, y una vez que ves la lista, las prioridades se acomodan solas.

Toma de control de la cuenta. Alguien entra a tu cuenta de exchange —normalmente porque tu contraseña estaba reutilizada y se filtró en otro lado, o porque no tenías un segundo factor— y retira tu saldo.
Phishing. Te engañan para que tipees tu acceso, tu código 2FA o tu frase semilla en una página falsa que se ve exactamente igual a la real.
Ingeniería social. Un "agente de soporte", un "reclutador", un nuevo amigo en línea o un sorteo falso te convence de entregar el acceso o enviar fondos vos mismo. No hace falta ningún hackeo: vos hacés el trabajo.
Errores de autocustodia. Si tenés tus propias claves, el peligro se corre a perder tu frase semilla, exponerla, o aprobar una transacción maliciosa.
Enviar al lugar equivocado. Una dirección mal tipeada o la red equivocada, y los fondos simplemente se van, porque las transacciones de cripto no se pueden revertir.

Fijate que la mayoría de estos implican que vos seas persuadido o engañado, no que un servidor sea vulnerado. Esa es la lección de cabecera: el eslabón más fuerte de tu seguridad es una mente tranquila y un poco desconfiada, y los ajustes técnicos existen para respaldarte cuando tengas un mal día. Todo lo de abajo mapea a una de estas amenazas. Vamos a tomarlas más o menos en el orden en que muerden a quien empieza.

Autenticación de dos factores: app, no SMS

Si hacés una sola cosa hoy, hacé esta. La autenticación de dos factores (2FA) significa que entrar, y normalmente retirar, necesita una segunda prueba además de tu contraseña, típicamente un código de seis dígitos que cambia cada treinta segundos. Incluso si un atacante de algún modo tiene tu contraseña, queda trabado en la segunda puerta sin ese código. Este solo ajuste previene la pérdida más común que hay: la toma de control de la cuenta.

Pero qué tipo de 2FA importa enormemente, y esta es la parte que quien empieza hace mal. Hay dos tipos comunes, y no son iguales.

Por qué una app de autenticación le gana al SMS

El 2FA por SMS manda un código por mensaje de texto a tu número de teléfono. Es mejor que nada, pero tiene una debilidad seria: tu número de teléfono puede ser robado. En un ataque de SIM-swap, un estafador contacta a tu operadora móvil, se hace pasar por vos, y la convence de mover tu número a una tarjeta SIM que él controla. Desde ese momento, tus códigos por mensaje de texto llegan al teléfono del atacante, no al tuyo, y puede resetear contraseñas y pasar de largo el 2FA por SMS. Esto no es teórico; es una técnica bien documentada que ha vaciado cuentas de cripto reales. La Comisión Federal de Comercio de EE. UU. tiene un explicador claro sobre las estafas de SIM-swap que vale dos minutos de tu tiempo.

Una app de autenticación —Google Authenticator, Authy, Microsoft Authenticator, o la que viene integrada en muchos gestores de contraseñas— genera los códigos en tu dispositivo mismo, sin ninguna red telefónica involucrada. No hay nada que un SIM-swapper pueda interceptar, porque el código nunca viaja por un mensaje de texto. La tecnología detrás es un estándar abierto (TOTP, contraseñas de un solo uso basadas en el tiempo), así que los códigos funcionan sin conexión y no se pueden redirigir secuestrando tu número. Para cualquier cuenta que tenga plata, una app es la elección clara. La guía internacional sobre autenticación más fuerte, incluida la de la agencia de ciberseguridad de EE. UU. en la página de CISA sobre autenticación multifactor, apunta en la misma dirección: por app o por hardware le gana al SMS.

La opción más fuerte de todas es una llave de seguridad de hardware (un pequeño dispositivo físico que se enchufa o se toca por NFC, usando el estándar FIDO/passkey). Es resistente al phishing de una forma que ni los códigos de app son, porque chequea criptográficamente la dirección del sitio real antes de responder. Si tu exchange soporta una llave de seguridad y tenés un monto considerable, vale su costo chico. Para la mayoría de quienes empiezan, igual, una app de autenticación es el equilibrio justo entre fuerte y simple, y podés graduarte a una llave más adelante.

Guardá tu código de respaldo de 2FA

Cuando configurás una app de autenticación, el exchange muestra una clave de respaldo de un solo uso (una cadena de letras y números, a veces como código QR). Anotala y guardala fuera de línea. Si tu teléfono se pierde, te lo roban o se borra, ese respaldo es cómo restaurás tu 2FA sin una recuperación de soporte lenta y dolorosa. Perder el teléfono y el respaldo puede dejarte afuera de tu propia cuenta, así que tratá el respaldo como una llave de repuesto de la casa.

Un consejo práctico: configurá el 2FA justo después de crear la cuenta y verificar tu identidad, antes de depositar nada. Lleva como dos minutos, y hacerlo primero significa que nunca hay una ventana donde tu cuenta tiene plata pero solo una contraseña protegiéndola. Si estás siguiendo nuestro recorrido para comprar tu primera cripto, esto encaja justo después de la verificación.

Las contraseñas y el gestor de contraseñas

Tu contraseña es la primera puerta, y la mayoría de quienes empiezan la debilitan sin darse cuenta, de una forma específica: la reutilización. Si usás la misma contraseña en tu exchange que usaste en algún foro que sufrió una filtración hace años, entonces tu "contraseña del exchange" ya está flotando en una base de datos que los criminales comercian y prueban contra cada acceso que encuentran. Esto se llama relleno de credenciales (credential stuffing), y es automatizado e implacable. Una contraseña reutilizada es la razón más común por la que una cuenta es tomada.

El arreglo son dos reglas que suenan a esfuerzo pero en realidad lo ahorran:

Cada cuenta importante tiene su propia contraseña única. Tu exchange, tu correo y el gestor de contraseñas mismo deberían tener cada uno una contraseña usada en ningún otro lado.
Dejá que un gestor de contraseñas las genere y las recuerde. Un gestor de contraseñas de buena reputación (Bitwarden, 1Password, el que viene en tu navegador o sistema operativo) crea contraseñas largas y aleatorias y las completa por vos, así nunca tenés que recordarlas ni tipearlas. Memorizás exactamente una contraseña maestra fuerte y el gestor se encarga del resto.

Una buena contraseña es larga e impredecible. El consenso actual entre los profesionales de seguridad —reflejado en las pautas de identidad digital del organismo de estándares de EE. UU. (NIST 800-63B)— favorece la longitud por encima de las reglas de complejidad enredadas. Una frase de contraseña aleatoria de varias palabras sin relación, o una cadena de 16 o más caracteres de tu gestor de contraseñas, le gana a una contraseña corta con un "$" metido a presión para satisfacer un formulario. El punto es que ningún humano pueda adivinarla de forma plausible y que ninguna base de datos de filtraciones ya la contenga.

Dos cuentas merecen un cuidado especial porque todo lo demás depende de ellas. La primera es tu correo: es el centro de recuperación de tu exchange y de casi todo lo demás, así que si cae, los reseteos de contraseña se desencadenan en cascada. Dale una contraseña fuerte y única y su propio 2FA por app. La segunda es la contraseña maestra de tu gestor de contraseñas: cuida a todas las demás, así que hacela larga, memorable para vos, y guardada en tu cabeza, no escrita en una nota al lado de tu laptop. Algunas personas guardan una copia en papel sellada de la contraseña maestra en algún lugar genuinamente privado (una caja fuerte, un cajón con llave) como seguro contra el olvido; ese es un hábito razonable si el escondite es uno que solo vos conocés.

Códigos antiphishing y reconocer el sitio real

El phishing es el arte de lograr que tipees credenciales reales en una página falsa. El acceso falso se ve perfecto al píxel; el correo falso usa el logo correcto. Tu defensa es en parte un ajuste y en parte un hábito.

Primero el ajuste. Muchos exchanges ofrecen un código antiphishing: elegís una palabra o frase corta, y a partir de ahí cada correo genuino que el exchange te envía incluye esa frase exacta. Un correo de phishing —enviado por un estafador que no conoce tu frase secreta— no la va a tener. Así que cuando un correo dice ser de tu exchange y tu código antiphishing falta, sabés al instante que es falso, por más convincente que se vea. Lleva un minuto ponerlo en tus ajustes de seguridad y desactiva en silencio toda una categoría de ataque. Activalo.

Ahora el hábito, que importa todavía más porque cubre los casos que un ajuste no puede. Nunca llegues a tu exchange o billetera clickeando un enlace en un correo, DM, anuncio o resultado de búsqueda. Escribí la dirección vos mismo, o usá un marcador que hiciste antes, o abrí la app oficial desde la tienda de apps de tu teléfono. Los estafadores compran anuncios de búsqueda y registran dominios parecidos que difieren por un solo carácter —una letra cambiada, una terminación distinta, una palabra extra—, y estas falsificaciones están a un clic. La página de acceso a la que aterrizás tras clickear un enlace es la página más peligrosa de la cripto, porque ahí es donde se cosechan las credenciales. Construí el reflejo ahora: para entrar, navegás vos mismo; no seguís un enlace para llegar.

Revisá la barra de direcciones, cada vez

Antes de tipear una contraseña o un código 2FA, echale un vistazo a la barra de direcciones y leé el dominio carácter por carácter. ¿Es la dirección real, escrita exactamente bien, con el candado y sin palabras extra raras ni guiones? Una página puede copiar a la perfección el aspecto de un sitio real, pero no puede falsificar la dirección. Si algo está aunque sea levemente raro, frená. Este solo hábito bloquea la mayoría del phishing por sí solo.

Una versión más sutil apunta a quienes usan sus propias billeteras: un sitio falso te pide "conectar tu billetera para verificar" o "reclamar una recompensa", y después te pide aprobar una transacción o —el verdadero premio— ingresar tu frase semilla. Tratá cualquier pedido de tipear tu frase semilla en un sitio web como prueba de una estafa, punto. Vamos a volver a las frases semilla abajo, pero la regla es tan importante que vale decirla dos veces: ningún sitio, app o persona legítimos necesitan jamás tu frase semilla.

La lista blanca de direcciones de retiro

Acá va un ajuste que convierte una pérdida total en un no-evento, y casi nadie lo activa temprano. Una lista blanca de direcciones de retiro (a veces llamada "libreta de direcciones" o "direcciones de confianza" con los retiros bloqueados a ellas) significa que tu cuenta solo puede enviar cripto a direcciones que aprobaste de antemano. Normalmente hay una breve demora —a menudo de 24 a 48 horas— antes de que una dirección recién agregada se vuelva usable.

Pensá en lo que eso le hace a un atacante. Supongamos que, a pesar de todo, alguien entra a tu cuenta. Sin una lista blanca, pega su propia dirección y te vacía en segundos. Con una lista blanca activada y bloqueada, no puede retirar a su dirección en absoluto, porque no está en tu lista aprobada, y si intenta agregar una, la demora te da una ventana para notar la alerta y reaccionar. El atacante está dentro de la casa pero no puede sacar nada por la puerta. Esa es una cantidad enorme de protección para un ajuste que no te cuesta nada más que un poco de planificación por adelantado.

Combinalo con dos ajustes gratis más mientras estás ahí. Activá los correos de confirmación de retiro así cualquier transferencia saliente le suena a tu bandeja de entrada. Y si tu exchange lo ofrece, exigí un código 2FA en los retiros específicamente, no solo al ingresar. Juntos, significan que mover plata fuera de tu cuenta lleva varios pasos deliberados que un atacante no puede completar y vos no podés pasar por alto. La única molestia leve es que cuando vos querés legítimamente enviar a una dirección nueva, planeás con un día de anticipación: un precio chico por cerrar el modo de falla más catastrófico que hay.

Detectar phishing, apps falsas, soporte falso y sorteos falsos

Los ajustes manejan los ataques de fuerza bruta. Las estafas manejan los humanos, y son donde la mayoría de quienes empiezan de verdad se lastiman, porque una estafa no necesita vencer tu contraseña: te convence de abrir la puerta vos mismo. Acá van los patrones que apuntan a quien recién llega, y la pista que delata a cada uno. Profundizamos en nuestra guía dedicada a detectar estafas cripto comunes, pero estos son los esenciales.

Apps falsas y sitios parecidos

Los estafadores publican apps falsificadas de exchanges y billeteras, a veces incluso colándolas brevemente en tiendas de apps, y operan sitios web que reflejan a los reales en una dirección casi idéntica. Entrás, y tus credenciales van derecho a ellos. Defensa: instalá apps solo desde la tienda de apps oficial, y revisá dos veces el nombre del desarrollador y el historial de reseñas; llegá a los sitios web escribiendo la dirección o usando tu propio marcador. Si una app o un sitio llegó por un enlace que alguien te mandó, asumí que es falso hasta que hayas verificado la fuente de forma independiente.

"Soporte" falso y suplantación

Este atrapa a mucha gente. Posteás un problema en un foro público o un canal social, y en minutos un "agente de soporte" amable te manda un mensaje directo ofreciendo ayuda. Es un estafador. El soporte real no se mete en tus DM primero, nunca te pide tu contraseña ni tu código 2FA ni tu frase semilla, y nunca te dice que muevas fondos a una "billetera segura" que ellos te dan. Todo el libreto está armado para hacerte sentir rescatado mientras te están robando. Defensa: contactá al soporte solo a través de la app o el sitio web oficial, y tratá cualquier "ayuda" no solicitada como hostil por defecto. El personal genuino nunca va a necesitar tus secretos para asistirte.

Sorteos falsos y "duplicá tu cripto"

Vas a ver posteos, videos y anuncios que prometen que si enviás algo de cripto a una dirección, te devuelven el doble, a menudo disfrazados con un nombre famoso o una transmisión en vivo falsa. Siempre es una estafa, sin excepciones. La matemática lo delata: nadie multiplica tu plata gratis, y cualquier mecánica de "enviá para recibir" es un viaje de ida. La misma lógica marca las estafas de airdrop que te piden "conectar tu billetera" y aprobar una transacción para reclamar un token: lo que de verdad estás aprobando es el permiso para vaciar tu billetera. Defensa: nunca envíes cripto para recibir más, y nunca apruebes una transacción de billetera que no entendés por completo en un sitio al que no llegaste vos mismo.

Correos de phishing y mensajes urgentes

Un mensaje advierte que tu cuenta está bloqueada, que hay un retiro pendiente, o que tenés que "verificar inmediatamente", con un enlace para arreglarlo. El enlace va a un acceso falso. La palanca es la urgencia: el pánico hace que la gente se saltee el chequeo de la barra de direcciones. Defensa: nunca actúes sobre el enlace. Abrí la app o escribí la dirección del sitio vos mismo y chequeá tu cuenta ahí. Si hay un problema real, lo vas a ver; si no lo hay, acabás de esquivar un anzuelo. Tu código antiphishing, si pusiste uno, es la pista instantánea acá.

En todas estas, el hilo común es la presión más un atajo: alguien fabrica urgencia o entusiasmo y te ofrece un enlace o una dirección cómodos para actuar. Andá más despacio, rechazá el atajo, y verificá en tus propios términos, y la estafa se cae a pedazos. No hay estafa que sobreviva a una persona tranquila que navega al sitio real por su cuenta y se niega a ser apurada.

Lo básico de la frase semilla (si estás en autocustodia)

Todo lo de arriba aplica ya sea que tengas la cripto en un exchange o en tu propia billetera. Esta sección es para cuando das el siguiente paso a la autocustodia: tener tus propias claves en una billetera que controlás. Si por ahora seguís manteniendo tus monedas en el exchange, podés leer esto por arriba y volver más adelante; no lo necesitás estrictamente el primer día. Cuando estés listo para meterte de lleno, nuestra guía de billeteras cripto cubre los tipos por completo.

Cuando creás una billetera de autocustodia, te da una frase semilla (también llamada frase de recuperación): normalmente 12 o 24 palabras corrientes en un orden específico. Esas palabras son tu billetera. Cualquiera que las tenga puede recrear tu billetera en cualquier dispositivo y llevarse todo, al instante y de forma irreversible. No hay un enlace de "olvidé mi contraseña", ni línea de soporte, ni reseteo: la frase semilla es la llave maestra y el único respaldo. Este es el trato central de la autocustodia: control total a cambio de responsabilidad total.

Así que las reglas alrededor son estrictas, y vale la pena memorizarlas:

Anotala en papel (o estampala en metal), fuera de línea. Guardala en algún lugar privado y protegido del fuego y el agua. Mucha gente guarda dos copias en dos lugares seguros separados.
Nunca la tipees en un sitio web, app o formulario salvo que estés restaurando tu propia billetera en el software oficial de la billetera. Ningún exchange, agente de soporte, airdrop o página de "validación de billetera" la necesita jamás de forma legítima.
Nunca la fotografíes, la guardes en notas de la nube o el correo, ni la pegues en un chat. En el momento en que toca un lugar conectado a internet, tratala como comprometida.
Nunca la compartas con nadie, jamás, incluido "soporte". Quien tiene las palabras tiene la plata.

Para montos más grandes, una billetera de hardware sube todavía más la vara: es un pequeño dispositivo dedicado que mantiene tus claves fuera de línea y firma transacciones internamente, así las claves nunca tocan tu computadora conectada a internet ni siquiera cuando usás la billetera. Es el consejo estándar una vez que tenés una suma que de verdad te dolería perder. Comprala nueva y directo del fabricante —nunca usada y nunca de un listado de un mercado—, porque un dispositivo manipulado o una frase semilla "de inicio" precargada es una estafa conocida. Una billetera que llega con una frase semilla ya anotada es una trampa; un dispositivo real hace que generes la frase vos mismo.

La única regla que previene la mayoría de las pérdidas de autocustodia

Tu frase semilla es solo para tus ojos y solo para restaurar tu propia billetera. Si alguien o algo —una persona, un popup, un correo, un chat de "soporte", un sorteo demasiado bueno— te pide ingresar o compartir tu frase semilla, es una estafa cada vez. No hay excepción legítima. Internalizá eso y te defendiste contra el error más caro de la autocustodia.

Higiene del dispositivo y la red

Tu seguridad es tan buena como el dispositivo desde el que entrás, así que un poco de higiene acá rinde. Nada de esto es exótico: es el mismo consejo que darías para la banca en línea, aplicado con un poco más de cuidado porque hay más en juego.

Mantené tu sistema operativo y tus apps actualizados. Las actualizaciones parchean los agujeros de seguridad que usa el malware. Activá las actualizaciones automáticas para no tener que pensarlo.
Bloqueá tus dispositivos con un PIN, contraseña o biometría fuerte, y configuralos para que se bloqueen rápido cuando están inactivos. Un teléfono siempre abierto y con sesión iniciada es un retiro esperando a ocurrir si se pierde o te lo arrebatan.
Cuidá qué instalás. Las extensiones de navegador y las apps gratis pueden leer lo que tipeás y ves. Instalá solo lo que necesitás, de fuentes en las que confiás, y sacá el resto. Las extensiones maliciosas que cambian una dirección de billetera copiada por la del atacante son un truco real y feo.
No hagas cosas sensibles en computadoras públicas o prestadas. Una PC compartida de biblioteca o la laptop de un amigo podría llevar un keylogger. Usá tu propio dispositivo para cualquier cosa que involucre plata.
Tratá el Wi-Fi público como no confiable. Está bien para leer; para entrar a cuentas financieras, preferí tus datos móviles o una red que controles. El riesgo está exagerado para sitios que usan cifrado adecuado, pero combinarlo con un hábito descuidado es como empieza el problema.

Una más, porque muerde a quien copia y pega direcciones: el malware que cambia direcciones vigila tu portapapeles y reemplaza en silencio una dirección de cripto que copiaste por la del atacante. Así que cada vez que pegues una dirección para enviar fondos, chequeá los primeros y los últimos caracteres contra el original. Mejor todavía, usá tu lista blanca y una libreta de direcciones para rara vez pegar una dirección fresca. El hábito de la transacción de prueba —enviar un monto mínimo primero, confirmar que llega, después enviar el resto— pesca esto también, y es un seguro barato en cualquier transferencia significativa.

La estafa de "recuperación de cuenta" y otras de seguimiento

Esta merece su propia advertencia porque se aprovecha de la gente en su peor momento. Después de que alguien fue estafado o perdió el acceso, aparece una segunda ola de estafadores, publicitando "servicios de recuperación" o "expertos en recuperar fondos" que afirman que pueden rastrear y devolver tu cripto robada, por una tarifa por adelantado, claro. No pueden. La cripto robada esencialmente nunca la recupera un servicio privado, y estas operaciones existen puramente para cobrarle a una persona desesperada una segunda vez. La FTC advierte específicamente sobre estas estafas de criptomonedas y los falsos seguimientos de recuperación. Si te pegaron, los pasos legítimos son reportarlo a la plataforma y a las autoridades (abajo), no pagarle a un desconocido que se metió en tus mensajes prometiendo recuperarlo.

La trampa equivalente del lado del acceso es el falso aviso de "recuperación de cuenta": un correo o página te dice que tu cuenta necesita reverificación o recuperación, y te guía a "confirmar" tu acceso, 2FA o frase semilla en un formulario falso. Es phishing vestido de disfraz servicial. La recuperación real ocurre dentro de la app o el sitio oficial, iniciada por vos, nunca a través de un enlace en un mensaje no solicitado. Ante la duda, cerrá el mensaje y empezá de cero desde tu propio marcador.

Si creés que te comprometieron: una lista de pasos

Hasta la gente cuidadosa tiene malos días. Si sospechás que tu cuenta o billetera está comprometida —un acceso que no reconocés, un retiro que no hiciste, una página que ahora te das cuenta de que era falsa—, actuá rápido y en orden. La velocidad importa, pero también no caer en pánico hacia un segundo error. Acá va la secuencia.

Si es una cuenta de exchange:

Asegurala primero. Desde un dispositivo en el que confiás, cambiá tu contraseña del exchange de inmediato. Si el exchange tiene una opción de "congelar cuenta" o "desactivar retiros", usala. Muchas plataformas te dejan suspender la cuenta desde el menú de seguridad: hacelo si algo se ve raro.
Asegurá tu correo después. Cambiá la contraseña de tu correo también y revisá sus ajustes de seguridad, porque el correo es la llave de recuperación de todo. Si tu correo mismo fue vulnerado, arreglá eso antes que nada o el atacante simplemente resetea tus contraseñas nuevas.
Reseteá tu 2FA. Sacá el autenticador viejo y configurá uno fresco, por si el atacante capturó un código o tu dispositivo está comprometido.
Revisá y revocá. Chequeá las sesiones activas y las claves API o apps conectadas en los ajustes de tu cuenta, y revocá cualquier cosa que no reconozcas. Mirá tu lista blanca de retiro por direcciones que no agregaste.
Contactá al soporte oficial. Solo a través de la app o el sitio web real, reportá el incidente. Quizá puedan frenar un retiro pendiente o marcar la cuenta. No interactúes con nadie que te mande un DM ofreciendo ayudar.
Reportalo. Hacé la denuncia ante tu autoridad local de protección al consumidor o de cibercrimen y, en EE. UU., ante la FTC en reportfraud.ftc.gov. Reportar no siempre recupera fondos, pero construye el registro que ayuda a atrapar estas operaciones y puede servir si tu banco está involucrado.

Si es una billetera de autocustodia (tenés la frase semilla):

Mové lo que queda, rápido. Si creés que tu frase semilla o tu dispositivo pueden estar expuestos pero los fondos siguen ahí, creá una billetera nueva de cero en un dispositivo limpio con una frase semilla nueva de cero, y transferí tus activos a ella de inmediato. La billetera vieja debe tratarse como permanentemente insegura.
No reutilices la frase comprometida. Una vez que una frase semilla pudo haberse filtrado, queda quemada para siempre. Nunca le devuelvas fondos.
Revocá las aprobaciones de tokens. Si interactuaste con un sitio malicioso, usá una herramienta de buena reputación para chequear aprobaciones y revocá cualquier permiso de gasto que otorgaste, pero llegá a esa herramienta vos mismo, no por un enlace que alguien te mande.
Chequeá el daño en un explorador de bloques. Podés ver exactamente qué se movió pegando tu dirección en un explorador público como el explorador de Blockchain.com. No va a deshacer nada —nada puede—, pero te dice con precisión qué pasó.

Y la parte más difícil de escuchar: con la cripto, actuar rápido a veces puede salvar los fondos que todavía no se movieron, pero cualquier cosa ya retirada está realistamente perdida, porque las transacciones no se revierten. Justamente por eso todo el punto de esta guía es la prevención. Los ajustes del comienzo de esta página —2FA por app, una contraseña única, una lista blanca de retiro— son baratos de activar y habrían frenado la mayoría de los incidentes que llevan a la gente a esta lista de pasos en primer lugar. Si leíste hasta acá y todavía no los activaste, eso es lo que hay que hacer ahora.

Convertirlo en una rutina tranquila

La seguridad no es una tarea de una sola vez; es un hábito liviano que apenas notás una vez configurado. Acá va el ritmo que sugeriría, para que nada de esto se vuelva una carga.

Una vez, al configurar: 2FA por app en tu exchange y tu correo, contraseñas únicas en un gestor de contraseñas, un código antiphishing, una lista blanca de retiro, y tus códigos de respaldo de 2FA guardados fuera de línea. Eso es una tarde, y hace la mayor parte del trabajo de forma permanente.

Cada vez que entrás o transaccionás: los dos reflejos que pescan el resto: chequear la barra de direcciones antes de tipear nada, y verificar la dirección de destino (y un envío de prueba chico) antes de mover fondos. Esto lleva segundos y se vuelve automático.

De vez en cuando, cuando algo se siente raro: el instinto tranquilo de frenar, rechazar el atajo, y verificar en tus propios términos. Ninguna persona o empresa legítima te va a castigar por ir más despacio para chequear. Los estafadores son los únicos que necesitan que te apures.

Ese es genuinamente todo el oficio para quien empieza. No tenés que volverte un experto en seguridad; tenés que hacer bien un puñado de cosas corrientes y mantener una mente un poco desconfiada. Hacé eso, y te protegiste contra las formas en que la gente de verdad pierde cripto, lo que te deja libre para enfocarte en la parte por la que viniste: aprender, despacio, con plata que podés permitirte arriesgar. Cuando estés listo para poner los cimientos en su lugar, nuestra guía de apertura de cuenta paso a paso muestra exactamente dónde vive cada uno de estos ajustes, y la guía de errores comunes de principiantes reúne también los resbalones que no son de seguridad.

Configurá tu cuenta y activá estas protecciones →

El código BNB968 da hasta 20% de descuento en comisiones de trading*; la tasa exacta se muestra en la página de registro del exchange y puede cambiar. Un código de referido nunca aumenta tus comisiones.

Preguntas frecuentes

¿Cuál es el paso de seguridad más importante?

Activar la autenticación de dos factores por app y usar una contraseña única guardada en un gestor de contraseñas. Juntas frenan la toma de control de la cuenta, que es como la mayoría de quienes empiezan pierde cripto. Si solo tenés cinco minutos, gastalos ahí.

¿El 2FA por SMS es de verdad tan malo?

Es mucho mejor que no tener 2FA, pero es el tipo más débil porque tu número de teléfono puede ser robado por un SIM-swap, dejando que un atacante reciba tus códigos. Para una cuenta que tiene plata, usá una app de autenticación o una llave de seguridad de hardware en su lugar. Si el SMS es tu única opción en algún lado, mantenelo, pero mejoralo cuando puedas.

¿Algún servicio legítimo me va a pedir alguna vez mi frase semilla?

No, jamás. Tu frase semilla solo se tipea en el software de tu propia billetera cuando estás restaurando tu propia billetera. Cualquier persona, página, correo o chat de "soporte" que la pida está intentando robarte, sin excepciones. Tratá el pedido en sí como prueba de una estafa.

¿Es seguro dejar mi cripto en un exchange?

Para montos chicos con los que estás aprendiendo de forma activa, un exchange de buena reputación con tus ajustes de seguridad activados es razonable y cómodo. A medida que tu saldo crece hacia plata que te dolería perder, más gente mueve algo a la autocustodia para no depender por completo de una sola empresa. Es un espectro, no una única respuesta correcta, y de cualquier forma, los hábitos de 2FA, contraseña y lista blanca siguen aplicando.

¿Una lista blanca de retiro de verdad ayuda?

Muchísimo. Con los retiros bloqueados a direcciones que aprobaste de antemano, un atacante que de algún modo entra a tu cuenta igual no puede enviar fondos a su propia billetera, y la demora para agregar una dirección nueva te da tiempo a notarlo. Es uno de los ajustes de mayor valor por el menor esfuerzo, y la mayoría de quienes empiezan lo pasan por alto.

Me estafaron. ¿Un servicio de recuperación puede devolverme la cripto?

Casi con certeza no, y los "servicios de recuperación" que piden una tarifa por adelantado son ellos mismos una estafa que apunta a gente que ya recibió el golpe. La cripto robada rara vez es recuperable porque las transacciones son irreversibles. Reportá el incidente a la plataforma y a las autoridades (en EE. UU., la FTC), y nunca le pagues a un desconocido que promete recuperar fondos.

Theo Marsh

Escribe las guías para principiantes del equipo editorial de Onbit. Theo es un seudónimo de nuestro equipo editorial. Onbit es independiente y puede ganar una comisión por referido cuando te registrás a través de nuestros enlaces, sin costo extra para vos. Nada de esto es asesoramiento financiero.