Proteger criptomonedas exige cinco defensas: asegurar tu identidad, elegir la custodia de forma consciente, verificar cada firma, vigilar la exposición y preparar un plan de recuperación. Una hardware wallet por sí sola no detiene el phishing, las aprobaciones maliciosas, el acceso a tu correo ni una transacción que tú mismo confirmas por error.
Empieza por entender cómo se pierden realmente las criptomonedas#
La seguridad cripto no es una única opción. Una cuenta de exchange puede ser tomada mediante el correo de recuperación; una wallet de autocustodia puede vaciarse tras una filtración de la frase semilla; una wallet legítima puede firmar una aprobación maliciosa; y una transacción correcta aún puede enviarse a la red o dirección equivocada. Cada fallo necesita un control distinto.
| Capa | Fallo habitual | Primer control |
|---|---|---|
| Identidad | Toma del correo o del exchange | Contraseña única y MFA resistente al phishing |
| Custodia | Pérdida de claves o fallo del custodio | Separar fondos operativos y de largo plazo |
| Dispositivo | Malware o extensión hostil | Entorno de firma actualizado y mínimo |
| Transacción | Dirección incorrecta o permiso peligroso | Verificar red, destino, cantidad y autoridad |
| Recuperación | Improvisación y pánico | Procedimiento de respuesta por escrito |
Haz un mapa de todos los puntos capaces de autorizar movimientos: accesos a exchanges, correo de recuperación, teléfono, frases semilla, claves privadas, hardware wallets, extensiones, claves API y allowances de smart contracts. El resultado será un modelo de amenazas sobre el que puedes actuar, no una lista genérica de consejos.
Ajusta la custodia a la función de los fondos#
No existe una regla universal defendible, como guardar offline un porcentaje fijo. La distribución depende de cuándo usarás los activos, qué redes intervienen, tu capacidad para mantener copias y cuánta exposición puedes aceptar en un mismo dominio de fallo.
- Cuenta de exchange: útil para activos destinados a operaciones próximas, pero depende de la seguridad de la cuenta y de la operación del custodio.
- Hot wallet: cómoda para actividad onchain habitual, aunque expuesta al navegador, extensiones, phishing y errores de firma.
- Hardware wallet: aísla las claves de la navegación normal, pero sigue dependiendo de una copia correcta y de verificar honestamente las transacciones.
- Wallet de interacción: una wallet con poco saldo para aplicaciones desconocidas limita el daño de una aprobación o firma peligrosa.
La guía de custodia de la SEC recalca que la autocustodia transfiere al propietario la responsabilidad de gestionar las claves, mientras que la custodia de terceros introduce preguntas sobre control, fallos, mezcla de activos, seguros y recuperación. Trátalos como riesgos distintos, no como una simple elección entre “seguro” e “inseguro”.
Protege la identidad antes de comprar otra wallet#
Tu correo de recuperación puede ser más importante que la contraseña del exchange. Si un atacante lo controla, podría restablecer credenciales, aprobar dispositivos, ocultar alertas o manipular conversaciones con soporte.
Usa un gestor de contraseñas para crear una clave única en cada cuenta financiera. Protege el correo principal con el MFA más sólido disponible. Prefiere una llave FIDO o una passkey: CISA y NIST describen FIDO/WebAuthn como métodos resistentes al phishing, mientras que los SMS pueden interceptarse o redirigirse y los códigos de aplicaciones todavía pueden introducirse en una web falsa.
Guarda códigos de recuperación offline, elimina teléfonos y dispositivos antiguos, añade un PIN del operador móvil cuando sea posible y revisa las sesiones activas. Activar una app de autenticación ayuda poco si el SMS queda como vía de recuperación sin protección.
Mantén las frases semilla fuera de la superficie online#
Una frase semilla es un secreto maestro de recuperación. Quien la obtiene puede reconstruir la wallet sin tu dispositivo habitual, PIN o bloqueo biométrico.
No la guardes en notas en la nube, correo, capturas, chats, formularios de soporte ni documentos sin cifrar. Anota las palabras en privado, respeta el orden exacto y utiliza el procedimiento documentado por el proveedor. Protege la copia frente a miradas no autorizadas, robo, fuego, agua y eliminación accidental.
Una hardware wallet solo mejora el aislamiento cuando verificas la dirección real y la transacción en su pantalla de confianza. El malware puede alterar lo que aparece en el ordenador. Si la frase queda expuesta, cambiar la contraseña local no es una solución: crea una wallet con otra frase en un entorno fiable, mueve los activos restantes y retira todas las cuentas derivadas de la frase antigua.
Lee la autoridad, no solo el texto del botón#
Antes de firmar, confirma cinco campos:
- Activo: verifica el contrato o la identidad del activo, no solo el ticker.
- Red: confirma que remitente y receptor utilizan la misma red compatible.
- Destino: compara la dirección completa con una fuente fiable.
- Cantidad: revisa cantidad, decimales y coste de red.
- Autoridad: determina si la solicitud transfiere activos, aprueba gasto, cambia propiedad o solo demuestra control.
Haz una transferencia de prueba pequeña en rutas nuevas, pero vuelve a comprobar la dirección completa antes del envío principal. No copies un destino únicamente del historial: las transacciones de address poisoning pueden insertar una dirección parecida.
Controla las aprobaciones de smart contracts#
Conectar una wallet normalmente expone una dirección pública. Firmar crea autoridad. La pregunta útil no es solo “¿es auténtica esta web?”, sino “¿qué podrá hacer este contrato después de que me vaya?”.
Utiliza una wallet de interacción separada, aprueba solo la cantidad necesaria cuando la interfaz lo permita y revoca allowances antiguos mediante un explorador fiable o un comprobador consolidado. Desconectar una web no revoca un permiso onchain. Una revocación tampoco deshace una transferencia completada ni repara una frase comprometida.
Refuerza el exchange sin ignorar el riesgo de custodia#
Cuando estén disponibles, activa MFA resistente al phishing, listas de direcciones permitidas para retiradas, alertas de acceso, demoras tras cambios de seguridad y códigos antiphishing. Restringe las claves API por permiso e IP y desactiva retiradas en claves destinadas solo al trading. Revisa regularmente dispositivos y sesiones.
Entra mediante un marcador guardado, no desde un mensaje o anuncio. Un empleado de soporte real no necesita tu contraseña, código MFA, frase semilla ni acceso remoto. Antes de elegir custodio, lee qué entidad legal presta el servicio, qué ocurre durante una suspensión de retiradas, cómo pueden mantenerse los activos y qué cubre realmente cualquier seguro.
Sigue un plan de incidentes en lugar de improvisar#
| Incidente | Respuesta inmediata |
|---|---|
| Toma de cuenta del exchange | Proteger el correo, bloquear la cuenta, cambiar credenciales, revocar sesiones y API y contactar con soporte oficial |
| Frase semilla expuesta | Crear una wallet con otra frase y migrar los activos restantes |
| Aprobación maliciosa | Revocar el allowance, revisar transacciones y mover activos si el firmante puede estar comprometido |
| Sospecha de malware | Dejar de firmar, aislar el dispositivo y proteger cuentas desde un sistema limpio |
| Pago enviado a una estafa | Avisar a las plataformas, conservar pruebas y denunciar por canales oficiales |
Conserva direcciones, hashes, tipos de activo, importes, fechas, mensajes, URLs y números de caso. El IC3 del FBI pide a las víctimas los datos de las transacciones y advierte que los “agentes de recuperación” de pago pueden ser una segunda estafa.
Mantén la seguridad cada mes#
Cada mes, revisa historial de accesos, actividad de wallets, aprobaciones, extensiones, actualizaciones y claves API. Cada trimestre, reevalúa cuánto valor está expuesto a cada exchange, wallet, frase y dispositivo. Prueba las alertas, verifica el material offline y actualiza el plan de incidentes.
No pruebes una copia introduciéndola en una web desconocida o en un ordenador cotidiano. Sigue el procedimiento de verificación o recuperación documentado por el fabricante.
Preguntas frecuentes#
¿Cuánta criptomoneda debería dejar en un exchange?
No existe un porcentaje universal. Conserva solo lo que requiera la función del exchange y aquello cuya inaccesibilidad temporal podrías tolerar dentro de ese dominio de custodia.
¿Una hardware wallet es completamente segura?
No. Reduce la exposición de claves, pero no evita divulgar la semilla, firmar algo malicioso, enviar a una dirección incorrecta o perder todas las copias.
¿Puede el 2FA proteger una wallet de autocustodia?
Puede proteger correo y cuentas custodiales, pero la posesión de una frase semilla o clave privada normalmente evita por completo esos servicios.
¿Qué debo hacer después de una firma sospechosa?
Identifica el permiso concedido, revoca los allowances relevantes, revisa la actividad y mueve los activos restantes si el entorno de firma o la semilla pueden estar comprometidos.
Fuentes#
- SEC Investor Bulletin: Crypto Asset Custody Basics
- CISA Mobile Communications Best Practice Guidance
- Ethereum.org: Security and Scam Prevention
- FBI IC3 Guidance for Cryptocurrency Scam Victims
Aviso de riesgo: Esta guía ofrece educación sobre seguridad, no asesoramiento legal, de inversión ni de recuperación. Las transacciones blockchain pueden ser irreversibles y los controles varían según wallet, red, plataforma y jurisdicción.
Criterio editorial
Esta guía es educativa y se apoya en fuentes. Los controles de seguridad, las reglas de los exchanges y los requisitos legales pueden cambiar; confirma los pasos importantes en fuentes oficiales.
