Estafas relacionadas con las criptomonedas

Una llamada telefónica de alguien que dice ser del servicio de atención al cliente, una oportunidad de inversión promovida por una cara conocida o una recompensa que aparece de forma inesperada en tu monedero. Cada situación puede parecer diferente, pero todas pueden conducir al mismo resultado: revelamos información confidencial, enviamos fondos o aprobamos una transacción sin comprender realmente en qué consiste.

No siempre podemos reconocer una estafa por el nombre de una criptomoneda o por el aspecto de una aplicación. Lo que más importa es lo que la otra parte nos pide que hagamos y qué acceso o control le estaríamos concediendo. Los siguientes escenarios ponen de relieve los momentos en los que podemos detener una estafa antes de que se produzca ningún daño.

Céntrate en lo que la estafa te pide que hagas

Un atacante puede empezar haciéndonos temer por la seguridad de nuestra cuenta, prometiéndonos rendimientos excepcionales o ganándose poco a poco nuestra confianza. La presión del tiempo deja entonces menos margen para la verificación. A veces, el atacante solicita otro depósito tras semanas de comunicación; otras veces, quiere que demos el paso decisivo en cuestión de minutos. Una actitud profesional y la disposición a responder preguntas no son, por sí mismas, prueba de que una oferta sea legítima.

Por lo tanto, a la hora de evaluar una situación, debemos centrarnos en la acción específica que se nos solicita. ¿Se nos pide que compartamos credenciales de inicio de sesión, que permitamos el acceso remoto a un dispositivo, que transfiramos dinero o que firmemos algo en un monedero digital? La frase «solo es un paso de verificación» no explica qué va a suponer realmente esa confirmación. La discrepancia entre lo que se promete y lo que permite la acción solicitada suele ser la señal de alerta más importante.

Ofertas falsas de «soporte técnico» para «proteger» tu cuenta

Alguien llama, sabe nuestro nombre y se presenta como representante de un servicio de criptomonedas. Afirma que nuestra cuenta ha sido comprometida. Nos dicen que instalemos un software de acceso remoto y que transfiramos nuestras criptomonedas a una nueva dirección que nos facilitarán. Supuestamente, esto protegerá los fondos contra el robo.

En este escenario, lo que se presenta como una medida de seguridad se convierte en una transferencia de fondos realizada siguiendo las instrucciones de un desconocido. El hecho de que conozcan nuestro nombre o de que aparezca un número de teléfono que nos resulte familiar no verifica la identidad de la persona que llama. Coinbase, por ejemplo, advierte de que los estafadores pueden suplantar números de teléfono auténticos y que su equipo de atención al cliente no solicita contraseñas, códigos de verificación ni transferencias a direcciones externas.

Colgamos el teléfono y accedemos al servicio por nuestra cuenta a través de una aplicación que ya conocemos o de una página web verificada. Comprobamos si hay algún problema y nos ponemos en contacto con el servicio de atención al cliente a través de un canal verificado de forma independiente. No utilizamos el número de teléfono ni el enlace facilitado por la persona que llama. Nunca revelamos una frase de recuperación ni una clave privada, ni siquiera a alguien que prometa simplemente «comprobar» nuestro monedero.

Un «asesor de inversiones» muestra beneficios en pantalla

Tras responder a un anuncio, nos contacta alguien que afirma ser un asesor de inversiones. Nos ofrece operaciones automatizadas con criptomonedas y nos ayuda a crear una cuenta. En este ejemplo, ingresamos 20 000 CZK y, unos días más tarde, vemos un saldo de 31 000 CZK. La aplicación parece convincente y el asesor nos explica con facilidad qué hacer a continuación.

Pero una cifra que aparece en una aplicación no es prueba de que los activos existan realmente. La Policía de la República Checa describe estafas en las que una plataforma muestra beneficios ficticios mientras el estafador va convenciendo poco a poco a la víctima para que realice más ingresos. Permitir una pequeña retirada de fondos también puede ayudar a generar confianza. Sin embargo, dicho pago, por sí solo, no garantiza que los fondos restantes existan o estén disponibles para su retirada.

Cuando intentamos realizar una retirada mayor, es posible que se nos pida pagar una cantidad adicional en concepto de un supuesto impuesto, un cargo por seguro o una tasa por desbloquear la cuenta. En este ejemplo, se nos pide que enviemos otros 8 000 CZK para acceder a los beneficios que ya se muestran. Las exigencias cada vez mayores pueden simplemente aumentar nuestras pérdidas. El hecho de llamar «impuesto» a un pago no lo convierte en legítimo.

Antes de realizar el primer depósito, verificamos en los registros oficiales quién es realmente el operador y si está autorizado para prestar el servicio regulado. También comprobamos que la identidad de la empresa coincida con el sitio web y los datos de contacto a través de los cuales nos estamos comunicando. Un estafador puede hacer un uso indebido del nombre de una empresa auténtica; por ello, el Banco Nacional Checo (CNB) recomienda comprobar tanto la licencia del proveedor como su identidad real. Una fotografía de un documento de autorización o un enlace a un registro facilitado por la otra parte no sustituye a una comprobación independiente.

Si ya nos encontramos en una situación de este tipo, no enviamos más dinero simplemente para «salvar» nuestro depósito inicial. Verificamos la solicitud independientemente del supuesto asesor. La presión para solicitar un préstamo u ocultar la inversión a familiares y amigos es otro motivo para detenerse y reconsiderar la situación.

Una página web conocida nos pide que volvamos a iniciar sesión

Buscamos un monedero o un servicio que utilizamos habitualmente. Abrimos un resultado que muestra un logotipo que nos resulta familiar, y la página web nos pide que iniciemos sesión. A continuación, nos solicita nuestra frase de recuperación, supuestamente para actualizar o verificar el monedero.

Se trata de una forma típica de phishing: una página web fraudulenta se hace pasar por un servicio de confianza para obtener información confidencial. El ataque no tiene por qué comenzar con un correo electrónico sospechoso. Coinbase también advierte sobre anuncios fraudulentos en buscadores, mensajes en redes sociales y aplicaciones descentralizadas falsas. Por lo tanto, una posición destacada en los resultados de búsqueda no garantiza que una página web sea auténtica.

Antes de introducir cualquier información, comprobamos el nombre de dominio real y el origen de la aplicación. No nos fiamos de un enlace procedente de un mensaje no solicitado o de un anuncio como único medio de verificación. Nunca introducimos una frase de recuperación en un formulario abierto en respuesta a una solicitud inesperada. Si realmente necesitamos restaurar nuestro propio monedero, seguimos las instrucciones verificadas del proveedor del monedero.

Una solicitud similar puede incluso provenir de una cuenta que pertenezca a alguien que conozcamos. Verificamos los mensajes inusuales a través de otro canal de comunicación. Un lenguaje fluido, una voz familiar o un vídeo convincente no son prueba suficiente de identidad; la inteligencia artificial también puede utilizarse para imitarlos.

Un monedero solicita la confirmación de una supuesta verificación

Una página web promete una recompensa por conectar nuestro monedero. Una vez conectado, afirma que solo tenemos que firmar una sencilla solicitud de verificación. Sin embargo, el monedero muestra en realidad una solicitud de permiso para acceder a tokens que ya poseemos.

En el caso de determinados tokens y aplicaciones de blockchain, la denominada «aprobación de tokens» autoriza a una dirección o contrato inteligente designado a transferir los tokens especificados hasta un límite acordado. Se trata de un mecanismo técnico habitual, pero también puede ser objeto de abuso. Una autorización ilimitada no es, en sí misma, prueba de fraude, pero puede aumentar considerablemente las consecuencias de conceder la aprobación a la parte equivocada.

Supongamos que tenemos 1 000 tokens USDC en Ethereum y que una página web nos ofrece una recompensa de 25 USDC. En lugar de limitarnos a entregar la recompensa esperada, nos pide permiso para acceder a todos nuestros USDC. Esa discrepancia es la señal de alerta clave. No aprobamos la solicitud; en su lugar, comprobamos por qué se necesitaría ese permiso para la acción prometida.

Conectarse a un sitio web, firmar un mensaje y conceder la aprobación de un token no son acciones intercambiables.

La ausencia de una comisión de red no significa que una firma no pueda poner en riesgo los fondos. Algunos mecanismos permiten conceder permisos de tokens a través de un mensaje firmado que posteriormente puede utilizarse en la cadena de bloques. Dicha firma no debe considerarse automáticamente como una solicitud de inicio de sesión inofensiva.

Si no comprendemos las consecuencias, rechazamos la solicitud. Cerrar la página o desconectar el monedero no revoca una autorización ya concedida. MetaMask distingue explícitamente entre desconectar una aplicación y revocar la autorización de un token.

Aparece una recompensa desconocida en nuestro monedero

Encontramos en nuestra lista de activos un token que nunca hemos comprado. Su nombre o un mensaje que lo acompaña nos remite a una página web donde, supuestamente, podemos reclamar una recompensa. A continuación, la página nos pide que conectemos un monedero, firmemos un mensaje o realicemos un pago por adelantado.

Recibir un token desconocido no significa, por sí solo, que alguien controle nuestras claves privadas. Sin embargo, el token puede ser un señuelo diseñado para incitarnos a realizar más acciones. Coinbase advierte sobre los airdrops fraudulentos, así como sobre los tokens cuyas transferencias o ventas están restringidas por reglas ocultas de los contratos inteligentes. Por lo tanto, el nombre o el valor que se muestra de un token no garantiza que el activo pueda venderse realmente a cambio de dinero.

No visitemos ningún sitio web incluido en el nombre de un token no solicitado ni firmemos nada a raíz de ello. Si no podemos determinar el origen del token, podemos dejarlo tal cual u ocultarlo en la aplicación. Una solicitud de realizar primero una transferencia para la «verificación de la dirección» o para desbloquear una recompensa es motivo para detenernos. Las comisiones de red legítimas existen, pero mencionarlas no hace que una oferta sea auténtica.

Un «experto en recuperación» promete devolver los fondos perdidos

Tras una pérdida previa, alguien que afirma ser un especialista o un representante legal se pone en contacto con nosotros. Dicen que han rastreado los fondos, conocen los detalles del caso y pueden recuperar el dinero. Sin embargo, primero exigen un pago por adelantado, una comisión para liberar los fondos o acceso a nuestra cartera.

Puede tratarse de un fraude de seguimiento, conocido comúnmente como «estafa de recuperación». El FBI advierte sobre empresas que prometen recuperar criptomonedas robadas, cobran una tarifa por adelantado y, a continuación, dejan de responder o exigen más pagos. Los estafadores pueden incluso hacerse pasar por personas vinculadas a las autoridades judiciales o policiales.

Rastrear el movimiento de los fondos no es lo mismo que tener control sobre ellos o poder obligar a su devolución. Por lo tanto, un informe en el que se enumeran direcciones y transacciones no demuestra que su autor controle el dinero. No comprobamos una promesa no solicitada de recuperación garantizada enviando otro pago. Facilitamos los registros pertinentes al servicio afectado y a la policía, y conservamos los datos del nuevo contacto como parte del expediente.

Verifica tanto la fuente como las consecuencias antes de confirmar

Las situaciones descritas anteriormente comparten una regla sencilla: verifica un mensaje u oferta a través de una vía independiente de la persona que solicita la acción. Un contacto diferente facilitado por esa misma persona puede no constituir una verificación independiente.

Antes de realizar un pago, instalar software o firmar cualquier documento, debemos hacernos algunas preguntas:

¿Hemos iniciado esta acción nosotros mismos o estamos respondiendo a una solicitud no solicitada?

¿Qué es exactamente lo que revelaríamos a la otra parte o lo que le permitiríamos hacer?

¿El efecto de la acción solicitada se ajusta a lo que estamos tratando de conseguir?

¿Hemos verificado la identidad y las condiciones de forma independiente de los enlaces y datos de contacto facilitados?

¿Podemos posponer la decisión y tomarnos un tiempo para comprobar la información?

Una sola señal de alerta no prueba necesariamente que se trate de un fraude. Pero no es necesario demostrar la intención delictiva para rechazar una solicitud poco clara. Basta con que no podamos verificar su origen ni explicar de forma razonable por qué se necesita acceso a nuestros fondos.

Si ya hemos respondido

Dejamos de enviar dinero y de seguir las instrucciones de la persona sospechosa. Si el incidente implica una transferencia bancaria, una tarjeta de pago o el acceso a la banca online, nos ponemos en contacto con nuestro banco de inmediato. También nos ponemos en contacto con el proveedor de servicios de criptomonedas correspondiente a través de sus canales oficiales. Actuar con rapidez puede limitar daños mayores, aunque no se puede garantizar el resultado.

Lo que hagamos a continuación dependerá de las medidas ya tomadas. Si se ha revelado una contraseña o un código de verificación, protegemos la cuenta utilizando un dispositivo de confianza y revisamos los dispositivos conectados y la dirección de correo electrónico de recuperación. Si se ha comprometido un ordenador, no utilizamos ese mismo dispositivo potencialmente inseguro ni esa vía de acceso para modificar los datos de la cuenta.

Si hemos concedido una autorización mediante token, debemos revisar y, cuando proceda, revocar ese permiso específico en la red correspondiente. En el caso de los mensajes firmados, la solución depende del tipo de firma: es posible que una revocación estándar de la autorización no resuelva todas las solicitudes firmadas. Consultamos la documentación verificada de la cartera que utilizamos en lugar de seguir un enlace de «recuperación» recién facilitado.

Si se ha filtrado una frase de recuperación o una clave privada, no basta con cambiar la contraseña de la aplicación. Es posible que haya que proteger los fondos restantes utilizando claves nuevas, generadas de forma independiente en un entorno de confianza, y debemos dejar de utilizar el monedero comprometido. Si los fondos entrantes desaparecen inmediatamente, no enviamos a ciegas más criptomonedas para cubrir las comisiones de transacción: un programa automatizado controlado por el atacante podría estar vaciando el monedero.

Conservamos los mensajes, las direcciones de los sitios web y los datos de pago, incluidos los identificadores de las transacciones de criptomonedas. Denunciamos cualquier actividad delictiva sospechosa a la Policía de la República Checa. No esperamos un reembolso prometido ni una respuesta del supuesto asesor. La vergüenza no debe retrasar las medidas que puedan ayudar a evitar más pérdidas.

Conclusión

Las estafas con criptomonedas suelen tener éxito cuando alguien acepta la explicación de un atacante sin examinar las consecuencias de sus propias acciones. La supuesta protección de la cuenta puede suponer transferir dinero a un desconocido; una promesa de rentabilidad puede conducir a una plataforma falsa; y una verificación del monedero aparentemente rutinaria puede otorgar permisos peligrosos.

La defensa más eficaz consiste en detenerse antes de dar el paso decisivo y verificarlo de forma independiente. Un logotipo familiar, una voz convincente o un saldo que aumenta en la pantalla no son suficientes. Debemos saber quién está realizando realmente la solicitud y qué estamos permitiendo al confirmarla.

Si ya hemos compartido información o enviado fondos, nuestros siguientes pasos deben reflejar la naturaleza del riesgo. Proteger la cuenta de inmediato, ponerse en contacto con el banco o el proveedor de servicios y conservar las pruebas es más valioso que pagar otra comisión más por una recuperación prometida.