Los controles de retiro más valiosos son la lista de direcciones permitidas, una demora para direcciones recién añadidas, un 2FA fuerte, alertas de sesión y la confirmación del retiro mediante un canal protegido por separado. Configúralos antes de un incidente: un atacante puede desactivar los controles débiles después de tomar la cuenta.
Proceso paso a paso#
- Activa la lista de direcciones permitidas y añade con cuidado las direcciones conocidas. Hazlo desde la interfaz verificada y prueba el control en lugar de suponer que está activo.
- Habilita un periodo de espera para cambios de dirección o seguridad. Comprueba desde el producto oficial cuándo comienza y cuánto dura el bloqueo.
- Exige un factor respaldado por hardware para autorizar retiros. Configúralo antes de que cambien de manos valor o autoridad y verifica después el estado resultante.
- Configura alertas inmediatas para inicios de sesión y retiros. Define de antemano el alcance para que la urgencia no amplíe silenciosamente lo que la cuenta puede exponer.
- Revisa los permisos API y desactiva los retiros por API salvo que sean imprescindibles. Compara los permisos, direcciones IP y claves exactos con la documentación oficial.
La idea clave#
La protección de retiros funciona como una cadena. Si el correo, el teléfono y la contraseña del exchange comparten la misma vía de recuperación, un solo incidente puede derrotar varias defensas aparentes.
Separa lo que puedes comprobar antes de actuar de aquello que solo podrás vigilar después. Establece límites estrictos alrededor de esta segunda categoría.
Cuándo detenerte o cambiar de ruta#
Haz un retiro pequeño de prueba siempre que el activo, la red o el destino sean nuevos. Confirma la red, el memo o tag, la compatibilidad del destino y el importe neto antes de enviar el resto.
Fallos que debes vigilar#
- Copiar una dirección del historial sin verificarla de nuevo. La interfaz puede imitarse; coteja el destino mediante un canal independiente.
- Añadir a la lista permitida una versión de red incorrecta de la dirección. Comprueba tanto la red como el formato y la compatibilidad del receptor.
- Aprobar una confirmación por correo desde un dispositivo inesperado. Debilita un control que debería limitar el alcance de una toma de cuenta.
- Desactivar las demoras porque resultan incómodas. El ahorro de tiempo elimina una barrera diseñada para frenar retiros no autorizados.
Pruebas que debes conservar#
No juzgues la configuración solo porque la interfaz muestre un mensaje de éxito. Usa evidencias que sigan siendo comprobables después de cerrar la página.
| Punto de control | Prueba | Condición para detenerse |
|---|---|---|
| Activar la lista permitida y añadir direcciones conocidas | Comprobación fechada, prueba de recuperación o registro autenticado sin secretos | Copiar una dirección del historial sin verificarla |
| Habilitar un periodo de espera para cambios | Comprobación fechada, prueba de recuperación o registro autenticado sin secretos | Añadir una versión de red incorrecta |
| Exigir un factor respaldado por hardware | ID de transacción o retiro y registro correspondiente | Aprobar el correo desde un dispositivo inesperado |
Conserva hashes de transacción, números de caso oficiales o capturas fechadas cuando ayuden a documentar la seguridad de los retiros, pero excluye frases semilla, claves privadas y códigos de autenticación.
Preguntas frecuentes#
¿Puede una lista de direcciones permitidas impedir cualquier robo?
No. Un atacante podría esperar a que termine la demora de cambio o comprometer un destino ya autorizado, pero este control añade una fricción importante.
¿Por qué conviene usar un correo electrónico separado?
Reduce la exposición a incidentes del correo de uso diario y hace que las alertas del exchange sean más fáciles de detectar.
¿Qué es un bloqueo de retiros?
Algunos exchanges permiten desactivar temporalmente los retiros después de detectar actividad sospechosa o cambios de seguridad.
Guías relacionadas#
Fuentes#
Aviso de riesgo: Las acciones con criptoactivos pueden ser irreversibles. Nunca compartas una frase semilla, clave privada, contraseña o código de autenticación, y verifica por separado cada dominio y solicitud de la wallet.
Criterio editorial
Esta guía es educativa y se apoya en fuentes. Los controles de seguridad, las reglas de los exchanges y los requisitos legales pueden cambiar; confirma los pasos importantes en fuentes oficiales.
