La ciberseguridad en el mundo de las criptomonedas

Un mensaje sobre un inicio de sesión sospechoso, un falso servicio de atención al cliente o un enlace malicioso pueden poner en peligro nuestras criptomonedas en un instante. El atacante no necesita vulnerar la blockchain ni obtener la clave privada. A veces le basta con convencernos de que nosotros mismos le comuniquemos nuestras credenciales, enviemos fondos o aprobemos una operación peligrosa.

Por eso, la seguridad de las criptomonedas no consiste solo en elegir un monedero. Igual de importante es proteger las cuentas, los dispositivos y las copias de seguridad, y entender lo que confirmamos al usar criptomonedas.

La seguridad de la blockchain y de nuestros fondos

El robo de criptomonedas no tiene por qué significar que se haya vulnerado la propia red blockchain. La causa puede ser una cuenta comprometida en un proveedor, una frase de recuperación revelada o una aplicación maliciosa. Cada uno de estos riesgos requiere un tipo de protección distinto.

Cuando dejamos las criptomonedas en custodia de un proveedor, dependemos también de su seguridad. Con un monedero propio, en cambio, somos nosotros los responsables de las claves y de sus copias de seguridad. La solución adecuada es aquella que entendemos y que somos capaces de usar y recuperar de forma segura.

Phishing: cuando el estafador se hace pasar por ayuda

El phishing es un fraude en el que el atacante imita a un servicio o una persona de confianza. Puede enviar un correo electrónico falso sobre el bloqueo de la cuenta, pedir un código de verificación o instarnos a transferir criptomonedas a un monedero supuestamente seguro.

Un mensaje sospechoso no lo verificamos a través del enlace que contiene. En su lugar, abrimos el servicio por nuestra cuenta y, si es necesario, contactamos con el soporte oficial. No comunicamos a nadie la frase de recuperación ni los códigos de verificación. Un logotipo creíble, un texto sin errores o una conexión segura HTTPS no garantizan por sí solos la fiabilidad de un sitio web.

Contraseñas, correo electrónico y autenticación multifactor

El buzón de correo electrónico es una parte importante de la seguridad, porque a través de él solemos recuperar el acceso a otras cuentas. Por eso, para cada servicio importante deberíamos usar una contraseña larga y única; un gestor de contraseñas puede ayudar.

La autenticación multifactor ofrece una protección adicional. Una aplicación de autenticación suele ser más segura que un SMS, pero tampoco debemos introducir su código en una página fraudulenta. Si el servicio admite passkeys o llaves de seguridad FIDO, estas pueden ofrecer una mayor resistencia al phishing. También es importante tener guardados de forma segura los códigos de respaldo para recuperar el acceso.

La frase de recuperación y el monedero de hardware

La frase de recuperación (seed) no es una contraseña cualquiera. En muchos monederos permite volver a derivar las claves y recuperar el acceso a los fondos. Quien la obtenga puede, en determinadas condiciones, controlar el monedero incluso sin el dispositivo original. Por eso no la guardamos como fotografía en el teléfono ni en un documento en la nube sin protección. La copia de seguridad debe ser segura, pero al mismo tiempo estar disponible en caso de recuperación.

Un monedero de hardware protege las claves privadas firmando las operaciones dentro del dispositivo. Sin embargo, no evitará la pérdida si nosotros mismos confirmamos una transferencia a un atacante o un permiso peligroso. Antes de confirmar, comprobamos siempre lo que muestra realmente el dispositivo.

Cuidado con las firmas y los permisos de las aplicaciones

Al utilizar aplicaciones descentralizadas, podemos aprobar no solo transferencias, sino también permisos para que los smart contracts dispongan de nuestros tokens. Si concedemos un permiso demasiado amplio a un contrato malicioso, también pueden quedar en peligro otros tokens a los que se aplique la autorización.

Conectar el monedero a un sitio web, firmar un mensaje y conceder un permiso no son lo mismo. Además, cerrar la página no tiene por qué cancelar una autorización concedida anteriormente. Si no entendemos la operación solicitada, no la confirmamos; los permisos antiguos pueden revisarse y revocarse en las redes compatibles mediante herramientas verificadas.

En una transferencia comprobamos la dirección y la red

Los atacantes pueden colar en el historial de transacciones una dirección similar a la que hemos utilizado antes. Esta práctica se conoce como address poisoning. Por eso, obtenemos la dirección del destinatario de una fuente verificada y la comprobamos entera antes de enviar.

Igual de importante es verificar la criptomoneda, la red blockchain y cualquier dato adicional, como un memo o un tag. Puede que una transferencia errónea no se pueda revertir. Con un destinatario nuevo, puede ayudar una transacción de prueba de un importe pequeño, pero tampoco sustituye la comprobación de la transferencia posterior.

Plataformas de inversión fraudulentas y protección de los dispositivos

No todos los fraudes requieren el robo de una contraseña. Una plataforma de inversión falsa puede mostrar beneficios ficticios y, al intentar retirar los fondos, exigir pagos adicionales por un supuesto impuesto o por desbloquear la cuenta. Son señales de alerta las promesas de altas rentabilidades garantizadas, la presión para decidir rápidamente y las ofertas de ayuda no solicitadas.

El riesgo también se reduce actualizando el teléfono y el ordenador, instalando aplicaciones de fuentes verificadas y rechazando el acceso remoto no solicitado al dispositivo. Si usamos aplicaciones blockchain con más frecuencia, puede ser razonable separar los activos mantenidos a largo plazo de los fondos destinados a experimentar.

Qué hacer ante la sospecha de un ataque

Dejamos de responder a la persona sospechosa y contactamos con el servicio exclusivamente a través de un canal verificado. En la cuenta afectada, cambiamos la contraseña desde un dispositivo de confianza, revisamos los inicios de sesión y avisamos al proveedor. Si el fraude está relacionado con un pago bancario, contactamos también con el banco.

En un monedero propio, todo depende de la causa. Puede ser necesario revocar un permiso malicioso, pero si se ha filtrado la clave privada o la seed, hay que pasar a un monedero nuevo con claves creadas de forma independiente y trasladar de forma segura los fondos restantes. Conservamos la comunicación y los identificadores de transacción, y denunciamos la sospecha de delito a la Policía checa. Cuidado también con los estafadores que prometen recuperar las criptomonedas a cambio de una comisión por adelantado.

Conclusión

La seguridad de las criptomonedas es una combinación de tecnologías adecuadas y hábitos cotidianos. Las contraseñas seguras, la autenticación multifactor, las copias de seguridad protegidas y la comprobación de las transacciones ayudan a limitar los riesgos, pero ninguna herramienta puede sustituir nuestras propias decisiones.

Antes de cada confirmación, deberíamos saber qué enviamos y a quién, qué red utilizamos y qué permisos concedemos. Si no entendemos una solicitud, es más seguro detener la operación y verificarla de forma independiente.

Este texto tiene fines exclusivamente informativos y educativos, y no constituye asesoramiento de inversión. Los criptoactivos son volátiles y puede perder la totalidad del importe invertido.