Casi todos los asaltos a una cuenta de criptomonedas se cuentan igual: alguien adivinó la contraseña. La mayoría de los casos reales no funcionan así. La contraseña sigue siendo la misma, el segundo factor sigue activado, y aun así hay sesiones abiertas que no son tuyas, órdenes que no diste o un saldo que ya no está. La contraseña protege una de las tres cerraduras de la cuenta, y la única marcha atrás real dura lo que tarde el atacante en pulsar retirar.

1. Lo que tu banco puede deshacer y tu exchange no

Cuando a alguien le vacían la cuenta del banco, el guion nos lo sabemos de memoria. Llamas, bloqueas la tarjeta, reclamas por escrito, y en muchos casos el cargo se retrocede mientras se investiga. La normativa europea de servicios de pago empuja en esa dirección: ante una operación que el titular no autorizó, el proveedor devuelve el importe y después se discute de quién fue la culpa. Existe una ventanilla.

Ese reflejo es lo primero que falla cuando el asalto ocurre en un exchange. Cuando un retiro sale de la plataforma y la red lo confirma, el movimiento queda escrito y nadie tiene el botón para deshacerlo: ni el soporte, ni tu banco, ni un juzgado. El registro es público, así que puedes seguir el rastro con un explorador de bloques hasta la dirección donde se para.

Mientras el saldo sigue dentro de la plataforma, el exchange puede congelarlo. Ese es el único tramo con marcha atrás real, y dura lo que tarde el atacante en pulsar retirar. Casi nadie llega a usarlo, porque se entera tarde.

En Latinoamérica esto pesa todavía más, por un motivo que desde España cuesta ver. Mucha gente no usa el exchange para invertir, lo usa para cobrar: le pagan en USDT, lo cambia por moneda local en el mercado P2P y de ahí sale la compra del mes. La cuenta funciona como cuenta corriente de facto, sin fondo de garantía de depósitos detrás. Quien se queda fuera de esa cuenta un martes cualquiera se queda sin el dinero del mes.

2. Tu cuenta no tiene una puerta: tiene tres

La imagen mental que casi todos tenemos es la de una puerta única con una contraseña delante: si la contraseña aguanta, la cuenta aguanta.

Una cuenta de exchange tiene tres accesos independientes. Cada uno se abre de una forma distinta y se cierra con una cerradura distinta, y puedes tener uno blindado y los otros dos de par en par sin enterarte, porque en el panel de seguridad aparecen todos mezclados en la misma lista.

Fíjate en la tercera fila, porque rompe el esquema. La puerta de trading no necesita que nadie inicie sesión: una clave API es una credencial independiente que sigue funcionando aunque cambies la contraseña, aunque tengas passkey y aunque la lista blanca esté activa. Y no necesita retirar nada para hacerte daño.

3. Puerta de acceso: cómo entran sin romper tu contraseña

De las rutas que se usan a diario contra cuentas de exchange, ninguna adivina tu contraseña. Una la coge de una filtración de otro servicio, otra te la hace teclear en una página que parece la buena, y las dos restantes ni siquiera la necesitan.

Reutilizar la contraseña en otro sitio

Se llama relleno de credenciales y es el método más aburrido y más rentable que existe. El atacante coge listas de correos y contraseñas filtradas de cualquier otra web y las prueba en masa. Si tu correo aparece en una filtración antigua con una contraseña que sigues usando, la puerta se abre sola. La mayoría de la gente repite contraseñas entre servicios, así que una filtración de una web que ya ni recuerdas acaba abriendo tu cuenta del exchange. No hace falta que te ataquen a ti: entras en el lote.

Phishing con intermediario en tiempo real

Aquí se cae la creencia más extendida sobre el segundo factor. La página falsa se coloca en medio: recibe tu correo y tu contraseña, los reenvía al exchange auténtico en ese instante, y cuando el exchange pide el código de verificación, la página falsa te lo pide a ti y lo reenvía también. Tú lo introduces dentro de sus treinta segundos de validez, y quien inicia sesión de verdad es el atacante desde su propio equipo. A este mecanismo le da igual de dónde salga el código: un SMS y una app de autenticación se comportan exactamente igual frente a esta ruta, porque en ambos casos la persona lee un número y lo teclea en la página que tiene delante. Lo único que lo corta de raíz es un método atado al dominio, una passkey o una llave física: si el dominio no coincide, el navegador no entrega nada.

Robo de la sesión ya iniciada

La ruta más silenciosa y la que casi nunca aparece en las guías. Cuando entras en tu cuenta, el navegador guarda una cookie de sesión para no pedirte la contraseña en cada clic. Un programa malicioso copia esa cookie y se la lleva, y con ella el atacante abre su navegador y aparece dentro de tu cuenta ya con la sesión iniciada. No hay contraseña que introducir, no hay código que pedir, no hay ningún inicio de sesión que verificar.

No se produce ningún evento de autenticación, así que el segundo factor no tiene ningún momento en el que intervenir. Puedes tener passkey, llave física y la contraseña más larga del mundo, y esta ruta pasa por encima de todo. Se solapa además con el mundo de las carteras propias, porque estos programas están escritos pensando en criptomonedas y de paso rastrean archivos locales de monedero y cualquier documento que huela a frase semilla guardada en el ordenador.

Quedarse con tu número de teléfono

El duplicado de SIM y el fraude de portabilidad se juegan enteros en la atención al cliente de tu operadora. Alguien llama o se presenta en una tienda haciéndose pasar por ti, con datos que ya circulan por ahí y a veces con documentación falsificada, y pide un duplicado de la tarjeta o el traspaso del número. En otros casos ni siquiera hay engaño, hay un empleado comprado dentro. Tu teléfono no ha sido tocado, tu contraseña tampoco, y aun así los SMS empiezan a llegar a otro sitio. La señal de aviso es tosca pero fiable: la línea se cae sin motivo, no vuelve tras reiniciar, y el resto de conexiones funcionan bien.

Y hay un matiz que se cuenta poco: existen actores con acceso a la señalización de las redes móviles capaces de interceptar mensajes en tránsito sin tocar tu línea ni tu terminal. Así que un SMS puede acabar en manos ajenas aunque tu número siga siendo tuyo.

4. WhatsApp, Telegram y el falso soporte: por dónde te llega el intento

En el mundo hispanohablante el canal está bastante claro, y no es el correo. WhatsApp concentra la mayoría, en tres formas que conviene distinguir. La suplantación pura, con un número desconocido, la foto de perfil de alguien que conoces y un mensaje de urgencia. La clonación de cuenta, en la que el atacante consigue el código de activación de la víctima con cualquier excusa y a partir de ahí escribe a toda su agenda desde una identidad real, con historial y con foto. Y la más rentable de todas, el falso soporte del exchange.

Esta última roza directamente las tres puertas. Publicas en un grupo o en una red social que tienes un problema con un retiro, y en minutos te escribe una cuenta con el logotipo de la plataforma y un tono profesional. Lo que pide siempre está en la misma familia: que instales una aplicación de asistencia remota, que le pases el código que acabas de recibir, que abras un enlace para «verificar» la cuenta, o que muevas los fondos a una dirección «segura» mientras se resuelve la incidencia.

Queda un canal que no llega por mensaje y que explica una parte enorme de los robos de sesión: el software pirata. Programas de pago con el activador de turno, packs de plugins, juegos crackeados, «versiones completas» descargadas de foros o de vídeos que enlazan a un archivo comprimido con contraseña. Ese formato es el envoltorio habitual de los programas que se llevan cookies de sesión, y funciona bien porque la víctima desactiva el antivirus voluntariamente para instalarlo. Aquí no hay ningún intento de inicio de sesión que detectar, ninguna alerta de acceso desde un país raro ni correo de aviso, así que la lista de sesiones activas de tu cuenta es la primera pantalla que hay que abrir cuando algo no cuadra.

5. Si te abren el correo, el exchange va detrás sin esfuerzo

Hay un detalle que ordena todo lo anterior y se pasa por alto porque parece obvio: tu correo electrónico manda sobre tu cuenta del exchange. Los enlaces para restablecer la contraseña llegan al correo, las confirmaciones de retiro llegan al correo, los trámites de recuperación pasan por el correo. Blindar el exchange y dejar el correo con la contraseña de siempre solo cambia el orden de los acontecimientos.

La cadena real funciona así. El atacante entra en el correo con una contraseña filtrada, busca «Binance», «Bybit» o «verificación» y ya sabe en qué plataformas tienes cuenta. Lanza el restablecimiento en cada una y recibe los enlaces. Si en alguna la vía de recuperación admite el SMS, ni siquiera necesita tu segundo factor. Y antes de tocar nada suele crear una regla de reenvío o de archivado automático, de forma que los avisos de seguridad del exchange no lleguen a tu bandeja. Puedes estar comprometido durante días sin ver una sola notificación.

El caso más citado de esta familia circula mal contado. En 2021, alrededor de 6.000 usuarios de Coinbase perdieron fondos entre marzo y el 20 de mayo. Casi todo el mundo lo repite como un caso de duplicado de SIM, y no lo fue. El fallo estaba en el procedimiento de recuperación de cuenta basado en SMS: los atacantes, que ya conocían el correo, la contraseña y el número de cada víctima, y que además tenían acceso a su correo, aprovecharon un defecto de ese trámite para saltarse el segundo factor por SMS. Las credenciales venían de campañas de phishing. Coinbase compensó a los afectados y corrigió el procedimiento.

6. Tienes el 2FA activado y aun así entran: las tres razones

«Tengo el 2FA activado» se dice con la misma tranquilidad con la que se dice «tengo alarma en casa». Y en la mayoría de los casos ayuda muchísimo. El problema aparece cuando se traduce mentalmente por «esto ya no se puede abrir», porque hay tres formas de abrirlo.

La primera es la vía de recuperación. Puedes tener el acceso protegido con una app de códigos y seguir teniendo el teléfono registrado como método de rescate. Al atacante le basta con declarar que perdió el acceso y tirar del trámite de recuperación, que en muchas plataformas y en casi todos los correos sigue aceptando un SMS.

La segunda es el phishing con intermediario en tiempo real. Si el código pasa por tus dedos, puede pasar por los del atacante, venga de una app o de un mensaje.

La tercera es el robo de la cookie de sesión, la que menos se conoce. En las otras dos hay un inicio de sesión que alguien completa; aquí se reutiliza uno que ya completaste tú, así que no queda nada que verificar y el segundo factor se queda sin función. Contra esta ruta el único remedio es mantener el equipo limpio y revisar la lista de sesiones activas.

Ninguna fila cubre las tres columnas, así que la respuesta está en combinar passkey o llave física para el acceso con revisión periódica de sesiones y dispositivos. Y conviene decir algo a favor del SMS, porque el mensaje absolutista hace daño: es infinitamente mejor que nada, y si tu cuenta hoy solo tiene contraseña, activa esta tarde lo que ofrezca la plataforma y deja apuntado revisar el apartado de recuperación cuando puedas sentarte con calma.

7. Puerta de retiro: qué bloquea de verdad la lista blanca y qué deja pasar

Supongamos que alguien está dentro. Para que el dinero salga todavía tiene que abrir la segunda puerta, y aquí sí existen cerraduras que funcionan bastante bien. El nombre exacto cambia según la plataforma, así que fíjate en lo que hace cada función cuando la busques en tu apartado de seguridad.

La lista blanca de direcciones de retiro es la más útil. Una vez activada, la cuenta solo permite retirar hacia direcciones que registraste antes, así que aunque el atacante esté dentro con sesión completa no puede escribir su propia dirección y darle a enviar. Las plataformas serias añaden fricción donde hace falta: una dirección recién registrada queda en espera antes de poder usarse, y desactivar la propia función deja los retiros bloqueados durante un plazo. Esa demora le da tiempo al titular a enterarse.

Junto a ella hay tres cerraduras que casi nadie activa. El código antiphishing, una palabra que tú eliges y que la plataforma incluye en sus correos y mensajes oficiales, de modo que los que no la lleven son falsos sin necesidad de examinar remitentes. La gestión de dispositivos y sesiones, que muestra desde dónde hay sesiones abiertas y permite cerrarlas todas de golpe. Y las contraseñas secundarias que algunas plataformas piden solo para mover fondos, junto con aprobaciones adicionales para operaciones sensibles. Algunas permiten además fijar un bloqueo de retiros por un plazo determinado, de manera que durante ese periodo no salga nada ni aunque alguien tenga control total.

La lista blanca cierra la puerta de retiro y solo esa. Quien esté dentro sigue viendo tu historial, tus saldos y tus datos de verificación, material suficiente para preparar una suplantación contra ti o contra tus contactos. Nada le impide registrar una dirección nueva y esperar a que venza el plazo. Y queda entera la tercera puerta, donde no hace falta ningún retiro para que tu saldo valga menos. Un apunte por si activas cerraduras nuevas: cuando un retiro tuyo se queda parado más de lo habitual suele ser el propio mecanismo funcionando, y conviene saber por qué un retiro se queda en pendiente.

8. Me operaron la cuenta desde fuera y no salió ni un retiro

La tercera puerta, la de trading, sorprende a todo el mundo, incluida gente que lleva años operando. Una clave API es una credencial que creas para que un programa externo se conecte a tu cuenta: un bot de trading, una herramienta de seguimiento de cartera, una aplicación que calcula impuestos. Va acompañada de permisos que tú decides y funciona de forma completamente independiente de tu contraseña, de tu passkey y de tu segundo factor.

La intuición dice que si esa clave no tiene permiso de retiro, no hay riesgo. El caso que la desmontó ocurrió en diciembre de 2022 con 3Commas, un servicio de bots, cuando se filtraron alrededor de 100.000 claves API de exchanges. Lo importante es lo que pasó después: el daño llegó por operaciones no autorizadas, sin que saliera un solo retiro. Con permiso de trading basta para comprar y vender desde la cuenta ajena: se usan pares de muy poca liquidez, se empuja el precio con las órdenes de las víctimas y se recoge la diferencia desde el otro lado del libro. El saldo se queda dentro de la cuenta, formalmente nadie ha sacado nada, y aun así vale una fracción de lo que valía. No fue un caso aislado: a través del servicio de bots Skyrex se documentó un episodio similar, con claves filtradas usadas para compras no autorizadas del token AXS por alrededor de un millón de dólares desde cuentas de Binance.

La configuración razonable cabe en cuatro reglas. Ningún bot ni herramienta necesita permiso de retiro: si un servicio te lo exige, el servicio es el problema. Los permisos se dan por separado, de modo que una herramienta que solo lee tu cartera se queda con permiso de lectura y sin trading. Donde la plataforma lo permita (OKX es un ejemplo), se restringe la clave a las direcciones IP desde las que se conecta el servicio. Y las claves que creaste para probar algo se borran: es habitual encontrar en el panel de API claves de hace años para una aplicación que ya ni tienes instalada.

9. Por qué asaltar una cuenta cuesta hoy menos esfuerzo que hace unos años

Todo lo de esta sección va fechado a propósito: retrata el oficio del atacante en 2025 y 2026. La base de todo son las contraseñas repetidas: los cálculos de 2025 estimaban que entre el 80% y el 85% de las personas reutiliza la misma clave en varios servicios, y las listas de correos que circulan para el relleno de credenciales rondaban los 2.000 millones de direcciones.

Las credenciales se venden ya clasificadas. Las firmas que rastrean estos programas contabilizaron en 2025 alrededor de 5,8 millones de equipos infectados y unos 1.800 millones de credenciales sustraídas, y las contraseñas robadas junto con las cookies de sesión aparecen en el 86% de los incidentes analizados. Las familias que más se repiten son LummaC2, RedLine, Raccoon y Vidar, y desde la infección hasta que el material sale del equipo pasan minutos. En el informe anual de brechas de ese mismo año, el 22% arrancó con relleno de credenciales y el 31% implicó credenciales robadas.

El phishing se vende como servicio. CloudSEK analizó un kit llamado BlueKit que incluye plantillas listas de las pantallas de acceso de Binance, Coinbase, Bybit, KuCoin, OKX y Gate, junto con funciones automáticas de toma de control. Quien monta la campaña ya no necesita saber diseñar ni escribir bien en el idioma de la víctima.

Cambiar un número de teléfono lleva menos tiempo que antes. Con el aprovisionamiento remoto de eSIM generalizado, un traspaso puede completarse en menos de cinco minutos, y la comodidad para el titular legítimo es la misma para quien lo suplanta. La voz también ha dejado de servir como prueba: con unos pocos segundos de audio se clona el timbre de una persona, y hay análisis que sitúan entre el 70% y el 80% la proporción de veces que las herramientas de esta generación superan la verificación por voz de un agente humano, con estimaciones de un aumento del 1.300% en intentos de fraude con material sintético.

Sobre las denuncias hay que hilar fino. En el registro del IC3 del FBI, el duplicado de SIM apareció como categoría propia con 982 denuncias y 25.983.946 dólares de pérdidas en 2024, frente a 2.026 denuncias y 72.652.571 dólares en 2022. Fuera de Estados Unidos el movimiento va en sentido contrario: el organismo británico Cifas pasó de 289 casos de duplicado no autorizado en 2023 a cerca de 2.900 en 2024, e IDCARE en Australia reportó un aumento cercano al 240% en consultas sobre portabilidad y duplicado.

Del otro lado también hay movimiento. Binance anunció el 4 de mayo de 2026 una función de bloqueo de retiros que permite fijar un periodo de entre 1 y 7 días durante el cual no sale nada de la cuenta, e indicó que no lo levanta a petición. En esa misma plataforma, y con la configuración vigente en 2026, apagar la lista blanca deja los retiros bloqueados 24 horas y una dirección recién añadida puede esperar 24, 48 o 72 horas. Aun así, según un estudio de 2024, cerca del 61% de los exchanges seguía usando el SMS como segundo factor por defecto, mientras la guía de identidad digital del NIST estadounidense (revisión 4 de la SP 800-63B, versión final del 31 de julio de 2025) clasificaba los códigos por SMS y por teléfono fijo como método de autenticación restringido, el único que quedó en esa categoría. Google confirmó el 24 de febrero de 2025 que sustituiría el SMS de Gmail por códigos QR, passkeys y app de autenticación.

10. Ya está dentro: qué se cierra primero para no repetir el trabajo

El orden importa más que la velocidad, porque hacer las cosas al revés deshace el trabajo anterior.

Primero el correo, siempre

Aunque el aviso te haya llegado del exchange, empieza por el correo asociado. Cambia la contraseña, cierra todas las sesiones desde el panel del proveedor, borra las reglas de filtrado y reenvío que no reconozcas, y quita de la configuración de recuperación las direcciones y teléfonos que no sean tuyos. Si haces esto después de recuperar el exchange, el intruso volverá a entrar por el restablecimiento de contraseña esa misma noche.

Después la cuenta del exchange

Cambia la contraseña. Cierra todas las sesiones y dispositivos. Entra en el apartado de API y borra todas las claves, incluidas las que crees tuyas, porque ahora mismo no puedes distinguirlas. Activa el bloqueo de retiros si la plataforma lo ofrece. Y abre un ticket en el soporte oficial, siempre desde la aplicación o escribiendo tú la dirección web, pidiendo el bloqueo preventivo de la cuenta. Ese ticket es lo único que activa el tramo con marcha atrás.

Luego la línea de teléfono

Si el móvil se quedó sin cobertura, si dejaste de recibir SMS o si viste un aviso de portabilidad que no pediste, llama a tu operadora desde otro teléfono y pide el departamento de fraude: bloqueo de la portabilidad y de nuevos duplicados, y emisión presencial de una tarjeta a tu nombre. Mientras la línea siga en manos ajenas, cualquier método de recuperación que dependa de ella juega en tu contra.

Y antes de volver a entrar, limpia el equipo

Este paso se salta casi siempre y arruina todo lo demás. Si la entrada fue por un programa que copió tus cookies, ese programa sigue ahí y las contraseñas nuevas viajarán igual que las anteriores. Haz los cambios desde un dispositivo distinto y de confianza, analiza el equipo original, y si hubo software pirata de por medio, reinstala el sistema desde cero. Guarda pruebas mientras lo haces: capturas, identificadores de las transacciones, direcciones de destino y el número del ticket.

Si el saldo ya está fuera, la pregunta cambia y merece un análisis aparte de expectativas realistas, desarrollado en la guía sobre si se puede recuperar el dinero tras una estafa cripto. Y si además tocaron una cartera propia porque el programa malicioso llegó al archivo del monedero, lo urgente es revocar las aprobaciones de tokens y mover lo que quede a una cartera nueva.

11. Dónde denunciar en España y en Latinoamérica, y el segundo golpe que llega después

Las ventanillas cambian según el país, y esa fragmentación es justo lo que aprovecha el segundo golpe.

En España la denuncia se presenta ante la Policía Nacional o la Guardia Civil, en comisaría o cuartel, y también hay canales en línea en sus webs, aunque para delitos con perjuicio económico suele acabar pidiéndose ratificación presencial. La Guardia Civil cuenta con un grupo de delitos telemáticos y la Policía Nacional con su unidad de investigación tecnológica. El INCIBE, por separado, atiende consultas de ciberseguridad: orienta, aunque la denuncia hay que presentarla igual. Y hay un tercer sitio al que casi nadie llama, el departamento antifraude de tu operadora, que puede confirmar si hubo un duplicado o una portabilidad y deja constancia interna, documento que después vale para la denuncia.

En Latinoamérica no hay respuesta común. Cada país tiene su canal, normalmente una unidad de delitos informáticos dentro de la policía o de la fiscalía, con nombres y procedimientos distintos. Lo que sí se repite es el criterio para no equivocarse: busca esa unidad en el dominio oficial de gobierno de tu país, y desconfía de cualquier página intermediaria que aparezca antes en los buscadores prometiendo tramitar la denuncia por ti. Si operas con una plataforma internacional, el ticket oficial se abre además de la denuncia local.

El patrón es siempre el mismo. Te enseñan un panel donde «aparecen» tus fondos localizados, a veces con capturas de un explorador de bloques que muestran tu transacción de verdad, porque es pública y la puede ver cualquiera. Después piden un pago por adelantado con distintos nombres: honorarios, tasa judicial, comisión de desbloqueo, impuesto de repatriación. Cuando pagas, aparece un segundo importe. La regla que corta todo esto cabe en una línea: nadie que pueda recuperar fondos de verdad cobra por adelantado. Las unidades policiales no cobran, y el soporte del exchange no cobra por desbloquear nada. Y si dudas de quién te escribe, el checklist para saber si un exchange es legítimo sirve igual para verificar un canal de contacto.

12. Lo que se dice en los grupos de Telegram y no aguanta un repaso

En los grupos de Telegram, en los de WhatsApp y en los comentarios circulan un puñado de frases que suenan sensatas y se caen en cuanto las miras de cerca. Cada una lleva a bajar la guardia en un sitio distinto.

La fila de la cartera de hardware viene de mezclar dos problemas distintos: una cartera propia protege lo que está en esa cartera, mientras que lo que dejas en el exchange lo custodia el exchange. Lo razonable es tener claro qué parte de tu saldo vive en cada sitio, tema que se desarrolla en la guía sobre cómo funcionan los monederos cripto.

La de la compensación conviene mirarla con frialdad, porque el caso de Coinbase se cita justo para lo contrario de lo que demuestra: allí hubo compensación porque el fallo estaba en el procedimiento de la propia plataforma. Cuando el punto débil ha sido un código entregado por el usuario o una clave API compartida con un servicio externo, la responsabilidad se resuelve del lado del titular. Y añado una que no está en la tabla: «a mí no me van a atacar, no tengo tanto dinero». Las listas de credenciales se prueban en masa contra millones de correos sin mirar cuánto hay dentro de cada cuenta.

13. Cerrar las tres puertas: la configuración que deja la cuenta en su sitio

Todo lo anterior se traduce en una lista corta de ajustes, dentro del apartado de seguridad de tu cuenta, con nombres que varían de una plataforma a otra. Se hacen en una sentada.

Puerta de acceso

Contraseña única y larga, distinta de la del correo. Passkey o llave de seguridad física si tu plataforma la ofrece; si no, app de autenticación, con los códigos de respaldo en papel y fuera del ordenador (perder el teléfono con la app dentro y sin códigos te deja fuera de tu propia cuenta). Entra en la configuración de recuperación y retira el SMS siempre que el sistema permita otra opción. Configura el código antiphishing. Y repite lo mismo en el correo.

Puerta de retiro

Activa la lista blanca y registra solo tus destinos habituales, con la espera puesta para las direcciones nuevas. Si la plataforma ofrece bloqueo de retiros por plazo y tienes saldo que no vas a mover, actívalo. Y comprueba que las notificaciones de retiro, cambio de contraseña y acceso desde dispositivo nuevo lleguen a un correo que sí miras.

Puerta de trading

Abre el panel de API y borra todo lo que no estés usando ahora mismo. Lo que quede, con permisos mínimos: lectura para lo que solo consulta, trading solo si el servicio lo necesita, retiro nunca. Restringe por IP donde se pueda.

Sobre dónde tener la cuenta, mira qué cerraduras te ofrece cada plataforma: lista blanca con espera, código antiphishing, gestión de sesiones y, a poder ser, passkey y bloqueo de retiros. La comparativa de exchanges por seguridad y comisiones entra en el detalle, y hay reseñas de Binance, Bybit y OKX por separado.

Divulgación de afiliados: algunos enlaces son de socios. Podemos ganar una comisión sin coste adicional para ti. Esto no es asesoramiento de inversión.

Y una consideración de reparto: si el saldo es dinero que no piensas mover en meses, ninguna configuración sustituye a sacarlo a una cartera propia, que a su vez abre otro frente, el de las firmas de aprobación y los falsos airdrops.

14. Glosario para entender los avisos de seguridad

Los avisos de seguridad de las plataformas están llenos de términos que nadie explica. Estos son los que aparecen en este artículo y en los correos que recibirás.

Relleno de credenciales

Probar en masa combinaciones de correo y contraseña filtradas de otros servicios. Busca gente que repite contraseña: una filtración de una tienda cualquiera acaba abriendo tu cuenta del exchange.

Phishing con intermediario en tiempo real

Una página falsa que se coloca en medio y pasa al sitio auténtico, al instante, lo que tú escribes, incluido el código de verificación. Se conoce por las siglas inglesas AiTM, y es lo que hace que un código de app de autenticación no baste por sí solo.

Cookie de sesión y programa ladrón de credenciales

La cookie de sesión es el dato que guarda tu navegador para recordar que ya iniciaste sesión; quien se la lleva entra sin contraseña y sin segundo factor. El programa ladrón es el software malicioso que barre el equipo buscando contraseñas guardadas, esas cookies y archivos de monedero. Llega sobre todo con software pirata y extensiones falsas.

TOTP, passkey y llave de seguridad

TOTP es el código de seis dígitos que cambia cada treinta segundos en aplicaciones como Google Authenticator o Aegis, generado en tu dispositivo sin pasar por la red móvil, lo que lo hace inmune al robo del número. La passkey y la llave son métodos criptográficos atados al dominio del sitio auténtico: si la dirección no coincide no entregan nada, y el intermediario se queda sin código que reenviar.

Código antiphishing y lista blanca de retiros

El código antiphishing es una palabra que tú eliges y que la plataforma incluye en sus mensajes oficiales, para descartar los falsos de un vistazo. La lista blanca permite retirar únicamente hacia direcciones registradas previamente, normalmente con espera para las nuevas, y cierra la puerta de retiro y ninguna otra.

Clave API y sus permisos

Credencial independiente que conecta un programa externo con tu cuenta, con permisos de lectura, de trading o de retiro según lo que configures. Sigue funcionando aunque cambies la contraseña, y solo se anula borrándola.

Duplicado de SIM y fraude de portabilidad

Traspaso del número de teléfono a una tarjeta ajena, engañando a la atención al cliente de la operadora o mediante un empleado comprado. El engaño apunta al trámite administrativo, así que tu teléfono puede seguir intacto mientras el número ya responde en otro sitio.

Preguntas frecuentes

Ver la comparativa de exchanges por seguridad y comisiones