Una web cripto falsa puede copiar la página de un exchange, una wallet o una reclamación de tokens y usar un dominio parecido. Verifica el dominio completo mediante una fuente oficial independiente antes de iniciar sesión, descargar software, conectar una wallet o firmar. El candado del navegador no demuestra que el sitio sea legítimo.
Comprende qué busca la página falsa#
Las páginas de phishing cripto persiguen resultados distintos. Algunas capturan credenciales del exchange y códigos de un solo uso. Otras piden la frase semilla con el pretexto de “sincronizar” la wallet. Un drainer de Web3 puede permitir una conexión normal y después presentar una aprobación o firma que autorice movimientos de activos.
La calidad visual es una prueba débil. Los atacantes pueden copiar logotipos, textos, sistemas de diseño y hasta artículos del centro de ayuda. Las pruebas fiables están en el dominio, el editor del software, los datos de la transacción y la ruta por la que llegaste.
Lee el nombre de host de derecha a izquierda#
En support.example.com, el dominio registrable es example.com; “support” es un subdominio. En example.com.security-check.net, quien controla el dominio es security-check.net, no example.com.
Presta atención a:
- errores ortográficos, caracteres sustituidos y palabras añadidas;
- extensiones genéricas o de país que no esperabas;
- nombres de marca colocados como subdominio de un sitio ajeno;
- acortadores que ocultan el destino;
- anuncios de búsqueda situados por encima del resultado auténtico;
- caracteres internacionalizados que se parecen a letras latinas.
HTTPS solo indica que la conexión con ese dominio está cifrada. Los estafadores pueden obtener certificados TLS válidos para sus dominios falsos. Una alerta de certificado es grave, pero la ausencia de alertas no equivale a una recomendación.
Verifica la web oficial por una ruta independiente#
No compruebes un enlace usando la información del mismo mensaje que te lo envió. Abre un marcador guardado, escribe una dirección verificada anteriormente, usa la aplicación oficial o contrasta el dominio en varios canales consolidados del proyecto.
Si recibes una alerta sobre un exchange, entra por separado y revisa las notificaciones dentro de la cuenta. El FBI aconseja finalizar llamadas o mensajes urgentes sobre exchanges y contactar con la empresa mediante su número o web oficial, no mediante el enlace del remitente.
Detente si la web solicita un secreto imposible#
Ninguna aplicación descentralizada normal necesita tu frase semilla ni la clave privada sin procesar. Esos secretos restauran o controlan la wallet; no son credenciales de conexión.
Otros avisos de alto riesgo son:
- instalar software de escritorio remoto para recibir “soporte”;
- desactivar antivirus o alertas del navegador;
- descargar una actualización sin firmar desde un servicio de archivos;
- introducir repetidamente códigos MFA;
- enviar una “transferencia de verificación” para proteger la cuenta;
- firmar de inmediato un mensaje ilegible para evitar una supuesta suspensión.
La urgencia forma parte del ataque. Un proceso de seguridad legítimo debe permitir el tiempo necesario para verificarlo de forma independiente.
Inspecciona la solicitud de la wallet por separado#
Un dominio auténtico puede estar comprometido y una interfaz falsa puede enviar una transacción técnicamente válida. Antes de firmar, lee la solicitud e identifica la red, el contrato, el activo, la cantidad y el permiso.
Rechaza solicitudes inesperadas de Approve, Permit, SetApprovalForAll, cambios de propietario o firmas amplias. Usa una wallet de interacción con poco saldo en sitios desconocidos. Si solo necesitas consultar un balance, prefiere un explorador que no requiera conexión.
Qué hacer tras visitar una página sospechosa#
Cargar una página por sí solo no suele transferir activos, pero las descargas, credenciales, firmas y aprobaciones crean exposiciones diferentes.
- Cierra la página y no regreses mediante el enlace sospechoso.
- Si introdujiste credenciales, protege el correo de recuperación, cambia la contraseña desde la web oficial y revoca sesiones.
- Si introdujiste un código MFA, considera comprometida la sesión y contacta con el soporte oficial.
- Si la wallet firmó una aprobación, inspecciona y revoca el allowance.
- Si introdujiste la frase semilla, crea una wallet con una frase nueva y mueve los activos restantes.
- Conserva la URL, los mensajes, el hash de la transacción y las direcciones receptoras para denunciar.
Preguntas frecuentes#
¿HTTPS significa que una web cripto es segura?
No. HTTPS protege los datos en tránsito hacia el dominio de la barra de direcciones. No demuestra que el dominio pertenezca a la empresa real.
¿Pueden vaciar una wallet solo por conectarla?
La conexión normalmente revela la dirección pública. La pérdida suele exigir una firma, aprobación, clave expuesta o vulnerabilidad. Aun así, desconecta y revisa permisos si el sitio era sospechoso.
¿El primer resultado de búsqueda es siempre oficial?
No. Los anuncios, rankings manipulados y fragmentos copiados pueden destacar una página falsa. Verifica el nombre de host de forma independiente.
¿Conviene usar un comprobador de antigüedad del dominio?
Puede aportar una señal, pero un dominio antiguo puede estar comprometido y un proyecto legítimo nuevo puede usar uno reciente. La antigüedad no debe imponerse a la verificación directa y la revisión de la transacción.
Fuentes#
- CISA: Phishing Guidance
- FBI IC3: Scammers Impersonating Cryptocurrency Exchanges
- Ethereum.org: Security and Scam Prevention
- Trezor: Common Scams and Phishing
Aviso de riesgo: Comprobar el dominio reduce el riesgo, pero no demuestra que la web, su front end o el smart contract sean seguros. Verifica tanto la ruta como la autoridad solicitada.
Criterio editorial
Esta guía es educativa y se apoya en fuentes. Los controles de seguridad, las reglas de los exchanges y los requisitos legales pueden cambiar; confirma los pasos importantes en fuentes oficiales.
