HTTPS solo significa que la conexión con ese dominio está cifrada; no demuestra que el dominio pertenezca al servicio cripto auténtico. Verifica el nombre registrado exacto, navega desde una fuente fiable, revisa cualquier advertencia del certificado y guarda la web confirmada en favoritos antes de conectar una wallet.
Comprende las piezas del sistema#
Los dominios de imitación usan letras intercambiadas, palabras adicionales, subdominios engañosos y caracteres internacionales. Las webs de phishing modernas pueden obtener certificados TLS válidos; el candado es un requisito mínimo, no una acreditación de identidad.
Marco para tomar decisiones#
Utiliza al menos dos referencias independientes: un enlace oficial guardado previamente y un repositorio verificado, una ficha de la tienda de aplicaciones o un directorio del ecosistema. Las publicaciones sociales por sí solas no constituyen una prueba independiente.
Hazlo siguiendo una secuencia controlada#
- Lee el dominio de derecha a izquierda para identificar el nombre registrable. Contrasta el dominio, la dirección, la red y cualquier permiso exactos con una fuente oficial independiente.
- Compara cada carácter con la documentación oficial del proyecto. Conserva la fecha, el identificador y el registro original para que la conclusión pueda reproducirse.
- Abre los detalles del certificado si el navegador muestra cualquier advertencia. Resuelve toda ambigüedad antes de elegir el activo, la autoridad o el modelo de riesgo aplicable.
- Evita los resultados patrocinados y los enlaces acortados. Comprueba el destino antes de transferir valor o autoridad de firma y revisa después el estado resultante.
- Guarda un favorito solo después de una verificación independiente. Conserva el enlace exacto y vuelve a compararlo si el proyecto anuncia un cambio de dominio.
Errores habituales#
- Confundir project.example.com.attacker.tld con un subdominio oficial. El dominio registrable real es attacker.tld; la marca situada a la izquierda puede copiarse.
- Confiar en un dominio porque tiene HTTPS. Un atacante también puede obtener un certificado válido para un dominio que controla.
- Ignorar un dominio de imitación registrado recientemente. Revisa su procedencia mediante un canal oficial independiente.
- Introducir la frase semilla porque la web dice que la wallet está dañada. Esto puede exponer la credencial raíz y un cambio posterior de contraseña no expulsará al atacante.
Un resultado correcto no es simplemente una transacción o ajuste completado. Debe poder verificarse y reproducirse de forma independiente, además de permitir una recuperación si falla el servicio circundante.
Confirma el resultado#
No juzgues la autenticidad solo porque la interfaz muestre un mensaje de éxito. Usa pruebas que sigan siendo comprobables después de cerrar la página.
| Punto de control | Prueba | Condición para detenerse |
|---|---|---|
| Leer el dominio de derecha a izquierda para hallar el nombre registrable | URL o dirección de contrato exacta cotejada con documentación oficial | Confundir project.example.com.attacker.tld con un subdominio oficial |
| Comparar la ortografía con la documentación oficial | Captura fechada o registro con los datos sensibles eliminados | Confiar en un dominio solo porque tiene HTTPS |
| Abrir los detalles del certificado si aparece una advertencia | Captura fechada o registro con los datos sensibles eliminados | Ignorar un dominio de imitación registrado recientemente |
Conserva hashes de transacción, números de caso oficiales o capturas fechadas cuando ayuden a documentar la verificación, pero excluye frases semilla, claves privadas y códigos de autenticación.
Preguntas frecuentes#
¿Una web de phishing puede tener un certificado válido?
Sí. Las autoridades de certificación validan el control de un dominio, no la legitimidad de la empresa que hay detrás.
¿Sigue apareciendo el candado del navegador?
La interfaz varía entre navegadores, pero el estado HTTPS y las advertencias siguen disponibles en la información del sitio. No uses el icono como única comprobación.
¿Qué ocurre si el dominio oficial redirige a otro?
Confirma la redirección mediante documentación oficial antes de confiar en el nuevo destino.
Guías relacionadas#
Fuentes#
- Ethereum.org: Security and Scam Prevention
- MetaMask: Wallet Security
- CISA: Avoiding Social Engineering and Phishing Attacks
Aviso de riesgo: Las acciones con criptoactivos pueden ser irreversibles. Nunca compartas una frase semilla, clave privada, contraseña o código de autenticación, y verifica por separado cada dominio y solicitud de la wallet.
Criterio editorial
Esta guía es educativa y se apoya en fuentes. Los controles de seguridad, las reglas de los exchanges y los requisitos legales pueden cambiar; confirma los pasos importantes en fuentes oficiales.
