¿Qué es el phishing en cripto y cómo lo detectas?

¿Cómo se ve el phishing de cripto?

El movimiento clásico: algo crea urgencia — un correo sobre un inicio de sesión desde el extranjero, un DM sobre un airdrop para el que calificaste, un anuncio de búsqueda “Binance” que en realidad es binnance-secure.com — y luego una copia perfecta al píxel del sitio real. Ingresas tu contraseña y código 2FA en el falso; la automatización del atacante los retransmite al sitio real en segundos e inicia sesión como tú. Los kits de phishing modernos derrotan todo instinto de “revisa el diseño”, porque el diseño es real. La URL es la única huella que no puede falsificarse, por lo que la disciplina de navegación supera a la vigilancia: no evalúes enlaces, rehúsate a hacer clic en ellos.

La variante más avanzada salta las contraseñas por completo: un sitio DeFi pide a tu billetera firmar una “aprobación” que concede a un contrato derechos ilimitados sobre un token, y el drenaje ocurre después mientras duermes — a veces semanas después, cuando has olvidado que alguna vez firmaste. Ambos corren en el mismo motor: un momento de atención desviada.

La biblioteca de patrones, condensada

Cada jugada de phishing en cripto es una de un puñado de formas:

Nota el hilo común: cada fila requiere que tú actúes en su cronograma. La lentitud — escribir la URL tú mismo, esperar un día antes de reclamar nada, preguntar “¿por qué el soporte necesita esto?” — disuelve casi todo.

¿Qué defensas funcionan realmente?

Tres, en capas. Disciplina de navegación: nunca hagas clic en un sitio financiero desde correo, DM o anuncios de búsqueda — escribe la dirección o usa tu propio marcador, cada vez. Higiene de frase: en el momento en que cualquiera, en cualquier canal, pida tu frase semilla, la conversación terminó; la respuesta es siempre no. Conciencia de firma: cuando una billetera muestra una confirmación, lee el permiso real que se solicita, no solo la marca a su alrededor — las aprobaciones ilimitadas de token son una bandera roja sobre la que la mayoría de las billeteras ahora advierte, y la revocación periódica de aprobaciones es seguro barato.

Hiciste clic. ¿Ahora qué?

La velocidad importa porque los atacantes automatizan el retiro de efectivo. Para una cuenta de exchange: cambia la contraseña de inmediato, revoca sesiones activas y claves API, y contacta al soporte real del exchange — los congelamientos a veces funcionan si eres rápido. Para una firma de billetera: mueve los fondos restantes a una billetera fresca (nuevas claves, nueva frase), y luego revoca aprobaciones antiguas usando una herramienta de asignación de tokens. Y acepta la pérdida honestamente si los fondos se fueron — los “servicios de recuperación” que te mensajean después son el segundo escorpión de la estafa de phishing, y pedirán una comisión y tu frase semilla.

Higiene de aprobaciones: auditando lo que ya has firmado

La defensa de phishing normalmente se enfoca en el próximo clic, pero los clics peligrosos que ya hiciste pueden perdurar por meses. Las aprobaciones de tokens — permisos concedidos a contratos para mover tus tokens — no expiran, y las aprobaciones ilimitadas son lo bastante comunes para que muchos usuarios lleven una docena de invitaciones permanentes sin saberlo.

La rutina trimestral:

1. Abre un verificador de asignaciones (revoke.cash, o la vista de aprobaciones integrada de tu billetera) y conecta la billetera — solo lectura, sin firmar nada.
2. Lee la lista. Cada fila es un contrato autorizado a gastar un token. Prueba de reconocimiento: cualquier cosa que no recuerdes aprobar se revoca.
3. Revoca por defecto. Revocar cuesta una pequeña comisión y nada más; siempre puedes re-aprobar cuando realmente necesites el protocolo de nuevo.
4. Prioriza aprobaciones ilimitadas en tokens con valor real — esos son los saldos permanentes que los atacantes monetizan cuando cualquier contrato que gasta resulta malicioso después.

Este hábito cierra el drenaje de “semanas después”: el exploit que se publica para un protocolo que usaste en marzo no puede lastimar al tú de noviembre si el tú de noviembre revocó la aprobación de marzo. Son diez minutos por trimestre, y es la única defensa que opera sobre errores pasados en lugar de futuros.