La ciberseguridad en el mundo de las criptomonedas

Imaginemos que recibimos un mensaje de la empresa a través de la cual compramos criptomonedas. Nos advierte de un inicio de sesión sospechoso y nos insta a proteger la cuenta de inmediato. Abrimos el enlace e introducimos nuestras credenciales y también el código de verificación. Todo parece un control de seguridad habitual. Pero el mensaje no lo ha enviado nuestro exchange. El enlace llevaba a un sitio web fraudulento y un atacante acaba de obtener nuestros datos.

En otra situación, tenemos criptomonedas en nuestro propio monedero de hardware. Las claves están protegidas en el dispositivo y no hemos compartido la frase de recuperación con nadie. Aun así, podemos perder parte de los fondos si, al usar una aplicación blockchain, aprobamos nosotros mismos una operación maliciosa. El atacante no necesita obtener nuestra clave. Le basta con convencernos de que firmemos nosotros mismos la operación maliciosa.

Por eso, la ciberseguridad en el mundo de las criptomonedas abarca mucho más que la elección de un monedero. Necesitamos entender cómo proteger el acceso a la cuenta, qué permite disponer de nuestros activos y qué consecuencias puede tener la confirmación de una determinada operación. Precisamente comprender estas diferencias nos ayudará a reconocer las situaciones en las que un paso aparentemente rutinario puede tener graves consecuencias financieras.

La seguridad de la blockchain y la seguridad de nuestros fondos

Cuando aparece una noticia sobre criptomonedas robadas, es fácil tener la impresión de que alguien ha vulnerado toda la blockchain. En realidad, puede tratarse de varios sucesos distintos. Una cuenta comprometida en un proveedor, una clave privada revelada o un error en una aplicación no son lo mismo que un fallo de las reglas de la propia red. Para el usuario, todas estas situaciones pueden terminar en una pérdida de dinero, pero requieren una prevención y una respuesta diferentes.

Por eso, es útil entender la seguridad en varias capas. Una la forman la red blockchain y sus reglas. Otra la constituyen las aplicaciones, los smart contracts y las empresas a través de las cuales operamos con criptomonedas. No menos importantes son nuestro buzón de correo electrónico, el teléfono, el ordenador, las credenciales de acceso y la forma de aprobar las operaciones. Una buena protección de una capa no sustituye la protección de las demás.

También importa quién gestiona las claves. Cuando la custodia está en manos de un proveedor, protegemos el acceso a nuestra cuenta y, al mismo tiempo, confiamos en la seguridad y el funcionamiento de esa empresa. Con un monedero propio, asumimos la responsabilidad de gestionar las claves y las copias de seguridad. La división entre monederos de hardware y de software es, además, algo distinto de la distinción según si gestionamos las claves nosotros mismos o las confiamos a un proveedor. Un monedero de software también puede permitir la autocustodia.

Por tanto, la elección del método de custodia debería corresponder a lo que entendemos y a lo que somos capaces de gestionar a largo plazo. Una configuración más compleja no tiene por qué ser más segura para una persona concreta si más adelante no es capaz de recuperar el acceso o de reconocer un posible error.

Cuando un ataque parece una ayuda

El phishing es un fraude en el que el atacante se hace pasar por una persona o un servicio de confianza para obtener datos sensibles o inducir a alguien a realizar una acción peligrosa. En el mundo de las criptomonedas, puede tratarse de un correo electrónico falso de un exchange, una aplicación imitada o un mensaje del supuesto soporte de un monedero. El estafador también puede ponerse en contacto por teléfono o mediante un mensaje privado en una red social.

Imaginemos un aviso de que debemos transferir nuestros fondos en un plazo de treinta minutos a un «monedero seguro». La instrucción puede ir acompañada de nuestro nombre, un logotipo conocido y una explicación aparentemente creíble. Sin embargo, lo decisivo es quién controla la dirección de destino y si hemos verificado la solicitud de forma independiente del mensaje recibido. Si el lugar donde guardar los activos lo ha determinado un estafador, podemos acabar enviándole nuestros fondos nosotros mismos.

De forma similar funciona la solicitud de «verificar» la frase de recuperación. Trezor, por ejemplo, advierte expresamente de que su soporte no la necesita y de que el usuario no debe compartirla con nadie. El aspecto profesional de un mensaje no prueba su verdadero origen. Hoy en día, la inteligencia artificial permite crear textos convincentes e incluso imitar la voz o la imagen. Los errores lingüísticos pueden ser una señal de alerta, pero su ausencia no confirma la fiabilidad del mensaje.

Una defensa práctica consiste en interrumpir el camino que el atacante nos ha preparado. En lugar de hacer clic en el enlace del mensaje, abrimos la aplicación conocida o la dirección verificada del servicio y comprobamos allí directamente el posible problema. Contactamos con el servicio de atención al cliente a través de sus canales oficiales. Ni siquiera HTTPS o el símbolo de conexión segura confirman la fiabilidad del operador. Una conexión cifrada también puede utilizarla un sitio web fraudulento.

El buzón de correo electrónico forma parte de la protección de la cuenta

Al proteger una aplicación de inversión, es fácil pasar por alto el buzón de correo electrónico a través del cual recuperamos el acceso. Si alguien se hace con su control, puede recibir avisos de seguridad o iniciar la recuperación de la contraseña en los servicios vinculados. Las posibilidades del atacante dependen de la protección concreta, pero la protección del buzón de correo electrónico es una parte importante de todo el sistema.

Para cada cuenta importante tiene sentido utilizar una contraseña larga y única. Reutilizar la misma contraseña vincula la seguridad de distintos servicios. Así, una filtración en uno de ellos puede poner en peligro también los demás. Un gestor de contraseñas ayuda a crear y guardar credenciales diferentes sin necesidad de recordarlas todas. Sin embargo, el propio gestor de contraseñas también necesita una protección sólida y un método bien pensado de recuperación del acceso.

Otra capa de protección es la autenticación multifactor, que además de la contraseña utiliza otra forma de demostrar la identidad. Un código de un solo uso de una aplicación de autenticación suele ofrecer mejor protección que un SMS, pero también podemos introducirlo en una página falsa. Allí donde el servicio admite claves de acceso (passkeys) correctamente implementadas o llaves de seguridad del estándar FIDO, se puede obtener una protección más resistente al phishing. Sin embargo, ninguno de estos métodos elimina todos los riesgos asociados a la cuenta.

La protección también debe incluir una forma segura de recuperar el acceso. La pérdida del teléfono o de la llave de seguridad no debería pillarnos por sorpresa justo en el momento en que se produzca. Guardamos los códigos de respaldo en un lugar protegido según las instrucciones del servicio. Introducimos el código de verificación solo en una operación que hayamos iniciado nosotros mismos en un servicio verificado. Nunca se lo comunicamos a una persona que nos ha llamado inesperadamente.

La frase de recuperación tiene una función distinta a la de la contraseña

La contraseña de la aplicación, el PIN del monedero de hardware y la frase de recuperación no son datos intercambiables. La contraseña o el PIN pueden proteger el uso de una aplicación o de un dispositivo concretos. La clave privada permite crear las firmas digitales necesarias para disponer de los activos. En los monederos habituales basados en una seed, la frase de recuperación sirve como copia de seguridad a partir de la cual se pueden volver a derivar las claves correspondientes.

Esto explica por qué revelar la frase de recuperación es tan grave. Un atacante que obtenga la copia de seguridad necesaria puede restaurar el monedero en otro dispositivo. Para ello no necesita conocer el PIN del dispositivo original. En algunas configuraciones, la recuperación requiere además otro dato, por ejemplo una passphrase, o varias partes de la copia de seguridad. Las reglas exactas dependen de la solución utilizada y es necesario entenderlas antes de guardar un volumen mayor de fondos.

En la autocustodia estándar, una base razonable es guardar la copia de seguridad fuera del entorno digital habitual. Una fotografía en el teléfono, un documento sin cifrar o una nota sincronizada en la nube suponen vías adicionales para su robo. Al mismo tiempo, la copia de seguridad debe seguir siendo legible y estar protegida contra pérdidas o daños. Aquí, la seguridad no significa solo impedir el acceso no autorizado, sino también conservar la posibilidad de recuperar el monedero.

Por eso, la gestión de las copias de seguridad también es importante desde el punto de vista de la herencia. Una copia de seguridad guardada de forma que ninguna persona no autorizada la encuentre no nos servirá de nada si, tras perder el dispositivo, tampoco la encontramos nosotros. Unas instrucciones pensadas de antemano pueden conciliar la protección del patrimonio en vida con la posibilidad de su transmisión legítima. Sin embargo, para ello no es necesario enviar la propia frase de recuperación a la familia por correo electrónico.

Qué puede hacer un monedero de hardware

Un monedero de hardware, como el checo Trezor, separa el trabajo con las claves privadas del teléfono o del ordenador habituales. En un dispositivo utilizado correctamente, la firma se realiza dentro del monedero y las claves no se envían a la aplicación conectada. Esto limita el riesgo de que sean robadas mediante software malicioso en el ordenador. Los activos en sí siguen registrados en la blockchain. El dispositivo protege los medios necesarios para controlarlos.

Sin embargo, esta protección no significa que cada operación confirmada vaya a ser en nuestro interés. Si aprobamos nosotros mismos una transferencia a un atacante o un permiso peligroso, la firma puede ser técnicamente correcta y, aun así, tener consecuencias perjudiciales. Por eso es importante comprobar los datos en la pantalla de confianza del dispositivo y entender lo que estamos confirmando. Además, en las operaciones más complejas, varía la claridad con la que cada monedero es capaz de mostrarlas.

Así, podemos imaginar el monedero de hardware como una herramienta que protege el proceso de firma. Pero la decisión sobre qué firmamos sigue siendo nuestra. Si la interfaz muestra solo datos incomprensibles o la solicitud no corresponde a la acción prevista, lo seguro es detener la operación y verificar su significado. Ni siquiera un dispositivo caro sustituye esta comprobación. Tampoco nos protegerá si nosotros mismos introducimos la frase de recuperación en un sitio web fraudulento.

Una firma digital también puede significar un permiso

Al utilizar aplicaciones blockchain, no solo confirmamos transferencias inmediatas. Algunos tokens requieren que primero permitamos a un smart contract disponer de una determinada cantidad de nuestros tokens. Este permiso, denominado approval, puede ser una parte habitual de un intercambio descentralizado. Sin embargo, todo depende de a quién se lo concedemos y de qué alcance tiene.

Consideremos una situación hipotética en la que queremos intercambiar tokens por valor de cincuenta euros, pero la aplicación solicita poder disponer de una cantidad considerablemente mayor. La diferencia entre la operación prevista y el alcance del permiso solicitado es motivo para revisarla. Si concedemos un permiso ilimitado a un contrato malicioso, podemos poner en peligro también otros tokens a los que se aplique la autorización. No obstante, eso no significa automáticamente dar acceso a todos los activos en todas las blockchains.

También hay que distinguir entre conectar el monedero, firmar un mensaje y aprobar un permiso concreto. La simple conexión habitual del monedero a un sitio web no suele significar que el sitio obtenga el derecho a disponer de nuestros fondos. Sin embargo, una firma posterior puede tener otro efecto, incluso cuando no pagamos ninguna comisión de red por la operación. Además, cerrar la página no tiene por qué cancelar un permiso concedido anteriormente para disponer de los tokens. Desconectar la aplicación y revocar la autorización son dos acciones distintas.

De ello se desprende un hábito útil: antes de cada confirmación, comprobamos si la operación solicitada corresponde a lo que realmente queríamos hacer. Si no entendemos el destinatario, el contrato, el importe o el alcance de la autorización, no confirmamos la operación. Los permisos antiguos pueden revisarse y revocarse en las redes compatibles mediante herramientas verificadas. Pero también debemos verificar su dirección. Un supuesto servicio para «limpiar el monedero» puede ser otra trampa fraudulenta.

En una transferencia son decisivas la dirección y la red

Las direcciones de criptomonedas son largas, por lo que en el uso habitual solemos copiarlas. Precisamente a esta costumbre apunta el ataque conocido como address poisoning. El estafador introduce en el historial de transacciones una dirección similar a la que ya hemos utilizado y confía en que la próxima vez la copiemos. El principio y el final de la dirección pueden parecer familiares, mientras que su parte central es diferente y la dirección pertenece en realidad a otra persona. Una transacción entrante de este tipo no significa por sí sola que se hayan filtrado nuestras claves.

Por eso, obtenemos la dirección de una fuente verificada del destinatario y la comprobamos entera antes de confirmar. El historial de transacciones no debería servir como una agenda automáticamente fiable. Con un destinatario nuevo, puede ayudar una transferencia de prueba de un importe pequeño y la posterior verificación de su recepción. No obstante, hay que tener en cuenta la comisión de la transacción y el posible importe mínimo necesario para que se abone el depósito. Ni siquiera una prueba satisfactoria sustituye la comprobación de los datos en la siguiente transferencia de mayor importe.

Además de la dirección, también deben coincidir el activo y la red blockchain. Algunos tokens existen en varias redes y el servicio receptor puede no admitirlas todas. Por eso, una dirección de aspecto idéntico no garantiza por sí sola la correcta entrega de los fondos. Antes de enviar, leemos siempre las instrucciones actuales del destinatario, incluido cualquier identificador adicional, como un memo o un tag. Es posible que una transferencia errónea no pueda corregirse y la eventual recuperación de los fondos puede estar sujeta a condiciones adicionales.

Así, una parte importante de la protección consiste en dedicar unos momentos a comprobar los datos antes de confirmar una transacción. En un pago habitual estamos acostumbrados a verificar el número de cuenta y el importe. Con las criptomonedas, añadimos la red, el tipo de activo y otros posibles requisitos.

La seguridad también exige proteger los dispositivos y tener buenos hábitos

El ordenador, el teléfono y el navegador de internet constituyen el entorno en el que trabajamos con cuentas y monederos. Las actualizaciones periódicas corrigen vulnerabilidades de seguridad conocidas y, por ello, deberían formar parte habitual de su mantenimiento. Igualmente importante es evitar instalar programas desconocidos y extensiones de navegador innecesarias. Buscamos la aplicación del monedero a través del sitio web verificado de su desarrollador y comprobamos quién es su verdadero editor.

Una clara señal de alerta es una oferta de ayuda no solicitada que requiere acceso remoto al dispositivo. Una persona que se hace pasar por asesor de inversiones puede, durante la supuesta «configuración de la inversión», observar nuestra pantalla, inducirnos a confirmar pagos u obtener otros datos sensibles. La Policía checa advierte repetidamente de esta práctica en los fraudes con criptomonedas.

Con un uso más activo de las criptomonedas, también se puede separar el patrimonio mantenido a largo plazo de los fondos destinados a probar distintas aplicaciones. El objetivo es limitar el valor de los activos expuestos a un error concreto. Sin embargo, esta separación debe corresponder a la forma real de gestionar las claves. Otra cuenta creada a partir de la misma frase de recuperación revelada no resuelve su compromiso. Del mismo modo, varios monederos en un ordenador comprometido pueden no constituir una protección independiente.

Cuando la rentabilidad solo existe en la pantalla

Algunos fraudes con criptomonedas prescinden tanto del robo de contraseñas como del ataque al monedero. El autor convence a una persona para que ella misma envíe dinero a una supuesta plataforma de inversión. En la aplicación, la víctima ve crecer un saldo que, sin embargo, puede no corresponder a ningún activo real. Cuando quiere retirar el dinero, llega la exigencia de un pago adicional para desbloquear la cuenta, verificar la identidad o abonar un supuesto impuesto.

Imaginemos que hemos depositado treinta mil coronas y, al cabo de unas semanas, vemos en la cuenta un valor de sesenta mil. Pero la cifra en la pantalla por sí sola no explica quién custodia los activos ni si realmente se pueden retirar. Incluso una retirada inicial de un importe pequeño puede formar parte de la construcción de confianza. Así, un nuevo depósito puede limitarse a agravar la pérdida en lugar de permitir obtener la rentabilidad prometida.

Por eso, al evaluar un servicio, necesitamos conocer a su verdadero operador, sus condiciones y la forma en que gestiona los fondos. La promesa de una alta rentabilidad garantizada, la presión para decidir rápidamente o la instrucción de ocultar la inversión a nuestro entorno son motivos para actuar con cautela y examinar a fondo la oferta. Ni siquiera el manejo seguro del monedero nos protege por sí solo de enviar dinero a un proyecto fraudulento.

Cómo reaccionar ante la sospecha de un ataque

La primera reacción depende de lo que realmente haya ocurrido. Dejamos de seguir las instrucciones de la persona sospechosa y realizamos los siguientes pasos exclusivamente a través de canales verificados. Si sospechamos que el ordenador está comprometido, protegemos las cuentas desde otro dispositivo de confianza. En la cuenta afectada, cambiamos las credenciales de acceso y revisamos las sesiones activas y la configuración de seguridad disponible. También contactamos sin demora con el proveedor del servicio y le pedimos ayuda para limitar el acceso no autorizado. Si el fraude afecta también a un pago bancario o a una tarjeta de pago, acudimos también al banco.

En un monedero propio, es importante distinguir entre un permiso malicioso y una filtración de las claves. Puede ser necesario revocar una autorización sospechosa en la red correspondiente. Sin embargo, si alguien ha obtenido la frase de recuperación o la clave privada, ni revocar la autorización ni cambiar la contraseña de la aplicación eliminará su acceso. En ese caso, hay que dejar de usar el monedero comprometido y trasladar de forma segura los fondos restantes a un monedero nuevo, creado de forma independiente.

En esta situación, un monedero nuevo significa claves realmente nuevas y una copia de seguridad segura creada en un entorno de confianza. No basta con añadir otra cuenta bajo la misma seed. No obstante, el procedimiento concreto depende de la red y del tipo de ataque. Si los fondos entrantes desaparecen de inmediato, puede haber detrás un programa automatizado del atacante. Seguir enviando criptomonedas para pagar comisiones de transacción puede entonces conducir solo a más pérdidas. Por eso, resolvemos esta situación según las instrucciones verificadas del soporte del monedero en cuestión.

Al mismo tiempo, es importante conservar las pruebas. Son útiles las direcciones, los identificadores de transacción, los importes, las horas, las direcciones web y toda la comunicación. Notificamos el incidente al servicio afectado y, si sospechamos de un delito, también a la Policía checa. El movimiento de fondos públicamente rastreable en la blockchain puede ayudar a la investigación, pero por sí solo no garantiza su devolución. También conviene tener especial cuidado con las personas que se ponen en contacto después prometiendo «rescatar las criptomonedas» a cambio de un pago por adelantado. El FBI también advierte de este tipo de fraudes posteriores.

La seguridad como parte del uso cotidiano

Antes de confirmar cualquier operación, vale la pena hacerse unas sencillas preguntas:

• – ¿Hemos iniciado nosotros mismos esta operación y estamos en una aplicación verificada o en el sitio web correcto?
• – ¿Entendemos lo que va a ocurrir con nuestros fondos?
• – ¿Corresponden el destinatario, la dirección completa, el activo, la red y el importe a nuestra intención?
• – ¿Concedemos solo el permiso que necesita la operación prevista?
• – ¿Siguen protegidas nuestras claves, la frase de recuperación y los códigos de verificación?
• – ¿Disponemos de una forma segura y comprensible de recuperar el acceso?

Conclusión

Las criptomonedas pueden dar a las personas un mayor control sobre su patrimonio digital. Sin embargo, esta posibilidad conlleva también la responsabilidad sobre la forma en que protegen el acceso a sus fondos y verifican cada operación. Ni la seguridad de la blockchain ni un monedero de hardware de calidad resuelven por sí solos una frase de recuperación revelada, una cuenta comprometida o un permiso malicioso que aprobemos nosotros mismos.

Por eso, una protección eficaz consiste en combinar herramientas adecuadas y hábitos cotidianos. Las contraseñas únicas, la autenticación multifactor, las copias de seguridad guardadas de forma segura y la comprobación rigurosa de las transacciones ayudan a limitar distintos tipos de riesgos. Pero igual de importante es saber detenerse cuando una solicitud no tiene sentido para nosotros y verificarla de forma independiente de la persona o el mensaje que nos ha llevado a ella.

La protección también debe funcionar en caso de pérdida del teléfono, cambio de dispositivo o recuperación del acceso. Por eso, la mejor solución para un usuario concreto es aquella que entiende y que es capaz de utilizar a largo plazo. Dedicar tiempo a configurarla correctamente es tan importante como decidir la propia compra de criptomonedas.

Este texto tiene fines exclusivamente informativos y educativos, y no constituye asesoramiento de inversión. Los criptoactivos son volátiles y puede perder la totalidad del importe invertido.