Nunca compartas una frase semilla con soporte, desarrolladores de wallets, empleados de exchanges, páginas de airdrops o servicios de “recuperación”. No es una comprobación de identidad: es la autoridad necesaria para reconstruir la wallet y mover sus activos.
La petición ya es la señal de alarma#
Los estafadores inventan explicaciones técnicas porque una solicitud directa sonaría absurda. Pueden llamarla código de validación, clave de sincronización, frase de migración, clave de rectificación o copia de cumplimiento. Cambiar el nombre no altera lo que controla.
Una aplicación descentralizada puede pedir conexión o firma. No necesita las palabras de recuperación. Un fabricante de hardware puede diagnosticar un dispositivo sin conocerlas. Un exchange puede verificar la identidad de una cuenta, pero no necesita el secreto de una wallet de autocustodia.
Historias habituales para conseguir la frase#
“Tu wallet debe sincronizarse”
El atacante envía un enlace a un formulario falso que pide todas las palabras. Una wallet real se restaura localmente mediante su aplicación oficial, no en un formulario web genérico.
“Soporte debe reparar una transacción fallida”
Las transacciones se investigan con direcciones públicas y hashes. La frase no es necesaria para leerlos.
“Reclama o desbloquea un airdrop”
La página puede pedir directamente la frase o presentar una firma maliciosa tras conectar. Una recompensa inesperada no justifica exponer autoridad.
“Podemos recuperar los fondos robados”
Los estafadores de recuperación atacan cuando la víctima está asustada y dispuesta a confiar en otro desconocido. Quien pide tu frase puede robar cualquier saldo restante.
Por qué la contraseña no te protege#
La contraseña suele proteger los datos de la wallet en un dispositivo. La frase puede recrear las claves en otra wallet compatible, al margen de esa contraseña, bloqueo biométrico o sesión de extensión.
Cambiar la contraseña después de revelarla no rota las claves derivadas. La respuesta correcta es generar material de recuperación nuevo y transferir los activos a direcciones derivadas de él.
Si ya enviaste las palabras#
Actúa como si el atacante ya las tuviera, aunque aún no veas transferencias.
- Crea en un dispositivo fiable una wallet nueva con otra frase.
- Verifica cuidadosamente la dirección de destino.
- Mueve activos nativos y tokens, considerando comisiones y aprobaciones.
- Deja de usar todas las cuentas derivadas de la frase antigua.
- Conserva mensajes, dominio y pruebas de transacciones.
No crees una “cuenta nueva” bajo la misma frase comprometida. El atacante también puede derivarla.
Preguntas frecuentes#
¿Puedo compartir una o dos palabras sin riesgo?
No hay motivo legítimo para revelar fragmentos al soporte. La divulgación parcial reduce el secreto y puede combinarse con otros datos filtrados.
¿Puedo introducir la frase en mi wallet oficial?
Solo durante una recuperación iniciada intencionadamente mediante software verificado. Confirma aplicación, dispositivo y entorno antes de hacerlo.
¿Un exchange emite frases semilla?
Las cuentas custodiales convencionales suelen usar credenciales, no entregar al usuario la semilla del custodio. Algunos productos incluyen una wallet de autocustodia separada; identifica cuál utilizas.
¿Un código QR es más seguro que las palabras?
No. Codifica el mismo secreto y cualquier cámara o aplicación capaz de leerlo puede copiarlo.
Fuentes#
- MetaMask: Secure Your Secret Recovery Phrase
- Trezor: Common Scams and Phishing
- Ethereum.org: Security and Scam Prevention
Aviso de riesgo: Cuando una frase de recuperación queda expuesta, considera comprometidas todas las cuentas derivadas y migra a material nuevo.
Criterio editorial
Esta guía es educativa y se apoya en fuentes. Los controles de seguridad, las reglas de los exchanges y los requisitos legales pueden cambiar; confirma los pasos importantes en fuentes oficiales.
