Estafas con wallets DeFi

¿Qué son las estafas con wallets DeFi?

Las estafas con wallets DeFi son fraudes que engañan a los usuarios de criptomonedas para que revelen información confidencial de sus wallets, firmen mensajes dañinos, aprueben contratos inteligentes maliciosos o transfieran activos a un atacante.

Estas estafas se dirigen a quienes utilizan wallets de autocustodia para interactuar con aplicaciones de finanzas descentralizadas, tokens, pools de liquidez, protocolos de préstamo, sistemas de staking, bridges y otros servicios blockchain.

Un estafador no siempre necesita la frase de recuperación de la víctima para robar criptomonedas.

Una aprobación de tokens maliciosa, una firma de permit, una delegación de cuenta o una transacción blockchain normal pueden proporcionar autoridad suficiente para transferir activos de valor.

Algunas estafas con wallets DeFi se basan en sitios web, aplicaciones, extensiones de navegador, cuentas de atención al cliente, airdrops, anuncios, publicaciones en redes sociales o mensajes directos falsos.

Otras utilizan malware, sitios web comprometidos, contratos inteligentes engañosos, envenenamiento de direcciones o interfaces de transacción manipuladas.

La guía de seguridad y prevención de estafas de Ethereum advierte sobre el phishing, los falsos sorteos, la suplantación de identidad, las solicitudes maliciosas de las wallets y otras amenazas habituales relacionadas con las criptomonedas.

Las estafas con wallets DeFi son especialmente peligrosas porque, por lo general, a un usuario normal le resulta difícil o imposible revertir las transferencias blockchain confirmadas.

La autocustodia otorga al propietario el control directo de la wallet, pero también le hace responsable de proteger las claves y revisar las transacciones.

Cómo funciona una wallet DeFi

Una wallet DeFi almacena o gestiona claves criptográficas que autorizan la actividad de una cuenta blockchain.

Normalmente, las criptomonedas permanecen registradas en la blockchain, no dentro de la aplicación de la wallet.

La wallet utiliza la clave privada del usuario para crear firmas digitales.

Una firma válida puede autorizar una transferencia, una interacción con un contrato inteligente, una aprobación de tokens, un voto de gobernanza, una orden, una delegación de cuenta u otra acción.

La dirección pública de la wallet puede compartirse para que otras personas y aplicaciones sepan dónde enviar activos.

La clave privada y la frase de recuperación deben mantenerse en secreto, ya que cualquiera de ellas puede dar acceso a la cuenta.

Una aplicación de wallet puede mostrar una transacción propuesta, pero la blockchain ejecuta la instrucción codificada que se ha firmado realmente.

Una interfaz engañosa puede describir la acción como un inicio de sesión o una verificación, aunque la solicitud codificada conceda permisos de gran alcance.

Por qué se ataca a los usuarios de wallets DeFi

Las wallets DeFi pueden contener criptomonedas, activos de valor estable, posiciones de liquidez, tokens en staking, derechos de gobernanza y objetos digitales de colección en una misma cuenta.

Por tanto, el acceso no autorizado a una wallet puede permitir al atacante acceder a varios tipos de valor a la vez.

Las direcciones blockchain son públicas, lo que permite a los delincuentes identificar cuentas con saldos valiosos.

Además, los usuarios de DeFi interactúan con frecuencia con sitios web y contratos inteligentes desconocidos, lo que crea oportunidades para solicitudes de firma engañosas.

Los protocolos nuevos pueden requerir aprobaciones de tokens y transacciones complejas que resultan difíciles de entender para los principiantes.

Los estafadores explotan la urgencia, la codicia, el miedo, la curiosidad y la confusión, en vez de vulnerar directamente la criptografía de la blockchain.

Una víctima puede creer que todas las solicitudes que muestra una wallet son seguras por el mero hecho de que la aplicación las haya presentado.

La wallet confirma lo que autoriza el usuario, pero no siempre puede determinar si su decisión es acertada o si el sitio web es honesto.

Phishing de frases semilla

Una estafa de phishing de frase semilla pide a la víctima que introduzca la frase de recuperación de la wallet en un sitio web, una aplicación, un formulario o una conversación de asistencia falsos.

Normalmente, la frase de recuperación permite recrear todas las cuentas derivadas de esa wallet.

Un estafador que la consiga puede importar la wallet y transferir activos sin necesidad de obtener más permisos.

Entre las excusas habituales se encuentran la validación de la wallet, la sincronización, la migración, las comprobaciones de seguridad, los requisitos para recibir un airdrop, la verificación de identidad y la reparación de transacciones.

Una aplicación descentralizada legítima no necesita la frase de recuperación para conectarse a una wallet.

La información de recuperación solo debe introducirse en un proceso de recuperación de wallet de confianza que el propietario haya iniciado voluntariamente.

Nunca debe introducirse a través de un enlace enviado por un desconocido, un anuncio, un mensaje directo, un correo electrónico o una cuenta de atención al cliente.

Robo de claves privadas

Una clave privada controla directamente una cuenta blockchain o un conjunto relacionado de funciones de cuenta.

Un supuesto agente de asistencia puede pedir al usuario que exporte la clave para diagnosticar una transacción fallida.

El malware puede buscar claves expuestas en el almacenamiento del navegador, capturas de pantalla, datos del portapapeles, archivos de texto y copias de seguridad en la nube.

Nunca se debe pegar una clave privada en un sitio web para reclamar un token o reparar una wallet.

Quien obtenga la clave normalmente podrá firmar transacciones como si fuera el propietario de la cuenta.

Cambiar la contraseña de la wallet no invalida una clave privada blockchain que haya quedado expuesta.

En su lugar, los activos restantes deben trasladarse a una wallet nueva generada con material de claves que no se haya visto comprometido.

Sitios web DeFi falsos

Un sitio web DeFi falso copia el nombre, el diseño, los símbolos de los tokens y la interfaz de una aplicación legítima.

El dominio puede incluir una letra adicional, un carácter sustituido, un subdominio engañoso o una terminación distinta.

El sitio puede aparecer en anuncios de búsqueda, respuestas en redes sociales, publicaciones patrocinadas, cuentas comprometidas o mensajes que afirman que es necesaria una migración urgente.

Conectar una wallet no siempre transfiere activos, pero el sitio puede solicitar inmediatamente una firma o una aprobación dañina.

Los usuarios deben acceder a las aplicaciones mediante un marcador verificado o un enlace confirmado en la documentación oficial.

Hay que examinar el dominio completo, no solo el diseño de la página o el logotipo.

El icono del candado indica que existe una conexión cifrada con el dominio mostrado, pero no demuestra que dicho dominio sea legítimo.

Aplicaciones de wallet y extensiones de navegador falsas

Una aplicación de wallet fraudulenta puede imitar una wallet de autocustodia real mientras transmite en secreto las frases de recuperación a un atacante.

Las extensiones de navegador falsas pueden sustituir los datos de las transacciones, supervisar contraseñas, mostrar ventanas emergentes engañosas o robar claves almacenadas en el navegador.

Las aplicaciones solo deben instalarse desde la página verificada del editor oficial o desde una ficha de una tienda de aplicaciones de confianza enlazada por dicho editor.

Los usuarios deben comprobar el nombre del desarrollador, el historial de descargas, los permisos, la fecha de publicación, las reseñas y los enlaces oficiales.

Una puntuación alta en las reseñas no demuestra que una aplicación sea segura, ya que las opiniones pueden comprarse o copiarse.

Una solicitud inesperada para reinstalar o actualizar una wallet a través de un mensaje debe considerarse sospechosa.

Estafas de falsa atención al cliente

Por lo general, los protocolos DeFi no envían mensajes privados a los usuarios que publican sobre un problema.

Los estafadores vigilan las conversaciones públicas y se hacen pasar rápidamente por administradores, desarrolladores, moderadores, equipos de seguridad y agentes de asistencia de wallets.

El impostor puede pedir una frase de recuperación, una sesión para compartir pantalla, acceso remoto, un pago de verificación o que el usuario se conecte a un sitio web de reparación.

El personal de asistencia legítimo no necesita una clave privada ni una frase semilla para consultar una transacción pública.

Quien afirme que hay que trasladar los fondos a una wallet segura controlada por el equipo de asistencia está intentando hacerse con la custodia de los activos.

Los canales de asistencia deben abrirse directamente desde la documentación verificada del proyecto, no desde una respuesta o un mensaje no solicitado.

Wallet drainers

Un wallet drainer es un código o una infraestructura maliciosos diseñados para identificar activos valiosos y obtener autoridad para transferirlos.

El drainer puede solicitar varias firmas o combinar varios tipos de activos en una interacción engañosa.

Puede dirigirse a tokens fungibles, posiciones de staking, tokens de liquidez, objetos digitales de colección y criptomonedas nativas.

Un drainer sofisticado puede seleccionar los activos más valiosos después de consultar el saldo público de la wallet de la víctima.

Algunos drainers esperan antes de robar los activos para que la víctima no relacione de inmediato la pérdida con la firma maliciosa.

Desconectar una wallet de un sitio web no necesariamente cancela las aprobaciones ya registradas on-chain.

La guía de Ethereum para denunciar estafas explica que las aprobaciones maliciosas pueden permitir que continúe el robo de tokens hasta que se revoquen los permisos.

Aprobaciones maliciosas de tokens

Una aprobación de tokens concede a un contrato inteligente o a una dirección permiso para gastar una cantidad definida de los tokens del usuario.

Este permiso suele ser necesario para aplicaciones descentralizadas de trading, préstamos, liquidez y staking.

Según el estándar de tokens ERC-20, un propietario puede establecer una asignación que permita a un gastador transferir tokens en su nombre.

Una aplicación maliciosa puede solicitar una asignación ilimitada aunque la acción prevista solo requiera una cantidad pequeña.

La aprobación en sí puede no retirar tokens de inmediato.

El gastador autorizado puede utilizar el permiso más adelante, incluso cuando el usuario ya haya olvidado la interacción.

El informe Trillion Dollar Security de Ethereum señala que las aprobaciones ilimitadas sin fecha de caducidad pueden exponer a los usuarios cuando las aplicaciones o sus interfaces se vuelven maliciosas o quedan comprometidas.

Estafas con aprobaciones ilimitadas

Una aprobación ilimitada permite al gastador utilizar todo el saldo actual y futuro de un token concreto de la wallet.

El usuario puede conceder el permiso cuando solo tiene un saldo pequeño y depositar una cantidad mucho mayor más adelante.

Un contrato comprometido puede entonces transferir los nuevos tokens porque la aprobación sigue activa.

Cuando la aplicación y la wallet lo permitan, los usuarios deben limitar las aprobaciones a la cantidad necesaria.

Es recomendable revisar y revocar las aprobaciones antiguas cuando ya no sean necesarias.

La revocación es una transacción blockchain y normalmente requiere una comisión de red.

Revocar las aprobaciones de tokens no protege una wallet si la frase de recuperación o la clave privada ya se han expuesto.

Estafas con firmas de permit

Una firma de permit puede modificar la asignación de un token mediante un mensaje firmado off-chain, en lugar de una transacción de aprobación independiente.

El estándar permit ERC-2612 permite modificar una asignación ERC-20 mediante un mensaje firmado.

Un estafador puede describir la firma como un inicio de sesión, una reclamación gratuita, una verificación de cuenta o una conexión sin comisiones de gas.

Más adelante, otra parte puede enviar la firma a la blockchain.

Por tanto, es posible que la víctima no vea ninguna transacción on-chain inmediata cuando se crea el permiso.

Antes de aprobar una solicitud de permit, los usuarios deben revisar el token, el gastador, la cantidad permitida, la fecha límite y la red.

Un mensaje que no requiere comisión de red también puede autorizar el robo de activos valiosos.

Estafas de firma ciega

La firma ciega se produce cuando un usuario aprueba datos codificados sin entender la acción que representan.

Una wallet puede mostrar un mensaje hexadecimal largo o una función de contrato poco clara.

El usuario puede firmarlo porque el sitio web afirma que la solicitud demuestra que es el propietario de la wallet.

Sin embargo, la firma puede autorizar una transferencia, una orden, una aprobación de tokens o un permiso a nivel de cuenta.

Los estándares de firma estructurada pueden mejorar la legibilidad, pero una interfaz engañosa aún puede ofrecer explicaciones equívocas.

El formato de firma clara ERC-7730 se desarrolló para mejorar la información legible de las transacciones y reducir los riesgos relacionados con las interfaces y el phishing.

El usuario debe rechazar cualquier firma cuyas consecuencias no pueda comprender con seguridad.

Simulación de transacciones maliciosas

Algunas wallets simulan las transacciones y muestran los cambios de saldo previstos antes de que el usuario las confirme.

La simulación puede revelar transferencias, aprobaciones o llamadas a contratos sospechosas.

Es una medida de seguridad, no una garantía.

Los resultados de la simulación pueden ser incompletos si un contrato se comporta de forma diferente según el momento, el estado de la blockchain, las llamadas externas o las transacciones posteriores.

Además, un sitio malicioso puede mostrar su propia vista previa falsa, que no coincide con la transacción real de la wallet.

Los usuarios deben leer la pantalla de confirmación de la wallet, en lugar de confiar únicamente en la descripción del sitio web.

Estafas de delegación de cuenta EIP-7702

Las funciones modernas de delegación de cuentas de Ethereum pueden permitir que una cuenta de propiedad externa utilice código de contrato inteligente para ofrecer funciones avanzadas de wallet.

Esto puede facilitar funciones útiles como agrupar transacciones, patrocinar comisiones, usar sistemas de recuperación y programar permisos.

También introduce un importante riesgo de phishing si el usuario delega la cuenta a código malicioso.

Las actuales recomendaciones de seguridad de Ethereum para EIP-7702 advierten de que los contratos inteligentes pueden llegar a controlar por completo los activos tras la delegación.

Una delegación maliciosa puede ofrecer un control más amplio que una aprobación normal de tokens.

Los usuarios deben revisar el destino de la delegación y comprender si el permiso se aplica a una o varias redes.

No se debe firmar una solicitud para actualizar, activar, reparar o mejorar una wallet sin entender claramente cómo funciona la delegación.

Estafas de envenenamiento de direcciones

El envenenamiento de direcciones intenta introducir una dirección controlada por el atacante en el historial de transacciones de la víctima.

El atacante crea una dirección cuyos primeros o últimos caracteres coinciden con los de una dirección que la víctima utiliza habitualmente.

A continuación, envía a la cuenta de la víctima o desde ella una transacción de importe muy pequeño o nulo.

Más adelante, la víctima puede copiar del historial la dirección parecida y enviar criptomonedas al atacante.

Comprobar únicamente los cuatro primeros y los cuatro últimos caracteres no ofrece protección suficiente.

Antes de cada transferencia importante, se debe verificar la dirección de destino completa mediante una fuente de confianza.

Las agendas de direcciones guardadas y las listas de permitidos pueden reducir el riesgo si el proceso inicial para añadirlas es seguro.

Malware que sustituye direcciones del portapapeles

El malware del portapapeles supervisa las direcciones de criptomonedas copiadas y las sustituye por una dirección del atacante.

La dirección sustituida puede parecerse mucho a la original y pasar inadvertida a primera vista.

Entonces, el usuario firma una transferencia válida al destinatario equivocado.

Un dispositivo de firma hardware también puede autorizar el robo si el usuario no compara la dirección que aparece en la pantalla de confianza.

Hay que comprobar la dirección de destino completa y la cantidad después de pegarlas, y de nuevo antes de firmar.

Una pequeña transacción de prueba puede reducir las pérdidas derivadas de un error de dirección, aunque la transacción final debe verificarse por separado.

Malware que roba información

El malware que roba información puede recopilar archivos de wallets, datos del navegador, contraseñas, cookies de sesión, contenido del portapapeles, capturas de pantalla y frases de recuperación.

En 2025, CISA informó de que el ladrón de información LummaC2 se utilizaba para extraer credenciales e información de wallets de criptomonedas.

La alerta de CISA sobre LummaC2 recomienda medidas como actualizar el software, utilizar autenticación multifactor, aplicar controles de aplicaciones y supervisar los endpoints.

Los usuarios de wallets no deben instalar herramientas de trading desconocidas, programas para reclamar tokens, scripts de navegador, software pirateado ni archivos adjuntos enviados por grupos de chat.

Una aplicación de wallet limpia no puede proteger los secretos que haya expuesto un sistema operativo infectado.

Siempre que sea posible, las firmas de importes elevados deben separarse de la navegación habitual y de la instalación de software.

Estafas con códigos QR

Un código QR malicioso puede contener la dirección de una wallet del atacante, un sitio de phishing, una solicitud de conexión o una instrucción de transacción.

El código puede aparecer en un mensaje falso de asistencia, un sorteo de tokens, una factura, un cartel de un evento o una retransmisión de vídeo.

Escanear el código no demuestra que su destino sea seguro.

Antes de aprobar la solicitud, la wallet o el navegador deben mostrar el dominio, la dirección, la red y la acción solicitada ya decodificados.

Debe rechazarse un código QR que afirme verificar una wallet pero solicite una transferencia o una aprobación de tokens.

Estafas con airdrops falsos

Un airdrop falso promete tokens gratis para convencer a los usuarios de que visiten un sitio web o firmen una transacción.

El sitio web puede solicitar una aprobación ilimitada de tokens, una firma de permit, una delegación o una transferencia directa.

Los estafadores pueden enviar tokens sin valor a una wallet con un nombre que promocione un sitio web malicioso.

Recibir un token desconocido no obliga a su propietario a visitar su sitio web ni a interactuar con su contrato.

Los usuarios no deben aprobar, intercambiar ni reclamar un activo desconocido simplemente porque aparezca en la wallet.

Incluso un airdrop auténtico puede entrañar riesgos fiscales, de privacidad y relacionados con los contratos inteligentes.

Spam malicioso de NFT y tokens

Los tokens y objetos digitales de colección desconocidos pueden incluir nombres o metadatos que dirijan a los usuarios a sitios web fraudulentos.

El activo en sí puede ser inofensivo hasta que el usuario intenta venderlo, reclamarlo, desbloquearlo o canjearlo.

En ese momento, el sitio web relacionado solicita una transacción o firma dañina.

Los usuarios de wallets deben ocultar o ignorar los activos no solicitados, en lugar de seguir las instrucciones que incorporan.

El valor de mercado que se muestra puede ser falso debido a una liquidez manipulada o a metadatos engañosos.

Estafas con tokens honeypot

Un token honeypot permite comprar el activo, pero impide que los titulares normales lo vendan correctamente.

El contrato puede restringir las transferencias, aplicar una comisión de venta desorbitada, bloquear determinadas direcciones o permitir vender únicamente a cuentas autorizadas.

Un gráfico ascendente puede atraer a compradores aunque el precio mostrado no esté realmente disponible para ellos.

Las simulaciones de transacciones, el código verificado, la actividad de los titulares, las condiciones de liquidez y las pequeñas transacciones de prueba pueden ofrecer señales de alerta útiles.

Ningún comprobador automatizado puede garantizar por sí solo que un token sea seguro.

Estafas de liquidez y rendimiento falsos

Una aplicación DeFi fraudulenta puede anunciar recompensas de staking, préstamo, farming o provisión de liquidez inusualmente altas.

El usuario deposita criptomonedas en un contrato inteligente controlado por el estafador.

El panel puede mostrar ganancias inventadas mientras las retiradas permanecen desactivadas.

Otro tipo de estafa permite realizar pequeñas retiradas al principio para animar a la víctima a depositar una cantidad mayor.

Las rentabilidades garantizadas y la presión para depositar rápidamente son señales de alerta importantes.

Los recursos de la CFTC sobre fraudes con activos digitales advierten de ofertas fraudulentas, manipulación, sitios web falsos y promesas de obtener beneficios fáciles con criptomonedas.

Rug pulls frente a wallet drainers

Un rug pull se produce cuando los responsables de un proyecto abandonan un proyecto de criptomonedas, retiran liquidez, hacen un uso indebido de los activos de tesorería o aprovechan controles privilegiados del contrato.

Un wallet drainer roba activos mediante permisos o transacciones autorizados por usuarios individuales de wallets.

Ambos métodos pueden darse a la vez.

Un protocolo falso puede captar depósitos y después vaciar las wallets conectadas mediante aprobaciones maliciosas adicionales.

Los usuarios deben examinar tanto los riesgos del proyecto como los permisos de la wallet.

Compromiso de cuentas en redes sociales

Una cuenta legítima de un proyecto o de una figura pública puede verse comprometida y utilizarse para publicar un enlace malicioso.

El atacante puede anunciar una migración de emergencia, un reembolso, una reclamación de tokens o una recompensa por tiempo limitado.

El mensaje puede parecer auténtico porque procede de una cuenta conocida con un largo historial.

Los usuarios deben confirmar los anuncios importantes a través de varios canales oficiales independientes.

La urgencia debería aumentar la cautela, no reducirla.

Estafas de gobernanza y migración falsas

Un estafador puede afirmar que los titulares de tokens deben migrar sus activos por una actualización, una vulnerabilidad, una votación de gobernanza o la sustitución de un contrato.

La aplicación enlazada puede solicitar permiso para transferir los tokens antiguos y nuevos de la víctima.

Las migraciones reales deben documentarse mediante propuestas oficiales de gobernanza, direcciones de contratos verificadas e instrucciones técnicas públicas.

Los usuarios deben contrastar el anuncio con los registros de gobernanza on-chain y la documentación oficial.

Una migración nunca debe requerir revelar la frase de recuperación.

Aprobación frente a conexión de wallet

Normalmente, conectar una wallet permite que un sitio web vea la dirección pública seleccionada y solicite firmas.

Una conexión básica no permite automáticamente que el sitio web transfiera tokens.

Una aprobación, una firma de permit, una transacción o una delegación pueden conceder autoridad adicional.

Desconectar el sitio web cierra la sesión activa de la interfaz, pero puede dejar intactos los permisos on-chain.

Los usuarios deben revisar tanto las sesiones conectadas como las aprobaciones blockchain registradas.

Cómo revisar una solicitud de la wallet

Confirma la red blockchain antes de examinar la acción solicitada.

Comprueba el dominio exacto del sitio web y la dirección del contrato.

Determina si se trata de una transacción, una aprobación de tokens, una firma de permit, una firma de datos tipados, una delegación de cuenta o un mensaje normal.

Revisa el activo, la cantidad, el destinatario, el gastador, la fecha límite y la comisión de gas.

Desconfía si un simple inicio de sesión o una reclamación solicita autoridad de gasto ilimitada.

Rechaza la acción si la wallet muestra código desconocido o una transferencia inesperada de activos.

Verifica la misma información en la documentación oficial, no solo en la página que solicita la acción.

Cómo comprobar el riesgo de un contrato inteligente

Busca la dirección del contrato en la documentación oficial del proyecto y compárala con la que muestra la wallet.

Comprueba si el código fuente está verificado en un explorador de blockchain de confianza.

Revisa si el contrato se puede actualizar y quién controla la autoridad de actualización.

Identifica los permisos de propietario, administrador, pausa, acuñación, transferencia y emergencia.

Lee las auditorías disponibles, teniendo en cuenta que una auditoría no garantiza la seguridad.

La guía de seguridad de contratos inteligentes de Ethereum destaca el control de acceso, las pruebas, el desarrollo seguro y la planificación ante posibles fallos de los contratos.

Uso de wallets independientes

Separar las funciones de las wallets puede limitar los daños causados por una interacción perjudicial.

Una wallet de almacenamiento a largo plazo puede mantenerse desconectada de aplicaciones desconocidas.

Una wallet con menos fondos puede utilizarse para nuevos protocolos DeFi, reclamaciones de tokens y transacciones experimentales.

También puede utilizarse una wallet separada para la identidad pública, los videojuegos o los objetos digitales de colección.

Separar las wallets no protege los activos si todas utilizan la misma frase de recuperación expuesta.

Cada barrera de seguridad debe utilizar claves e información de recuperación debidamente separadas.

Hardware wallets

Una hardware wallet mantiene las claves de firma en un dispositivo específico diseñado para resistir la extracción de claves.

Puede proteger frente a cierto malware que intenta robar claves de un ordenador o un móvil.

No impide que el usuario apruebe una transacción maliciosa.

Se debe utilizar la pantalla de confianza del dispositivo para verificar la red, la dirección, la cantidad y la interacción con el contrato.

Aprobar ciegamente todas las solicitudes en un dispositivo hardware convierte una sólida protección de claves en una seguridad deficiente de las transacciones.

Wallets multifirma

Una wallet multifirma requiere que varias claves autorizadas aprueben una transacción.

Esto puede reducir el riesgo de que el robo de una sola clave provoque de inmediato la pérdida de fondos de tesorería.

El glosario de Ethereum describe las cuentas multifirma como aquellas que requieren varias aprobaciones para ejecutar transacciones.

La protección multifirma es más sólida cuando los firmantes utilizan dispositivos, ubicaciones y procedimientos de verificación independientes.

Aun así, varios firmantes pueden aprobar la misma transacción engañosa si todos confían en un único mensaje fraudulento.

Las organizaciones deben exigir revisiones independientes, no una serie de clics en las mismas instrucciones.

Qué hacer tras firmar una aprobación maliciosa

Deja de interactuar inmediatamente con el sitio web sospechoso.

Revisa la transacción o el mensaje firmado para identificar el token, el gastador, la cantidad, la red y el tipo de aprobación.

Si la clave privada sigue protegida, revoca la aprobación maliciosa de tokens mediante una interfaz de confianza.

Si no se conoce con certeza todo el alcance de la firma, traslada los activos de mayor valor a una wallet limpia.

Desconecta las sesiones activas de las aplicaciones y elimina las extensiones de navegador sospechosas.

Vigila la wallet por si se producen más transacciones y conserva las pruebas.

Una firma de permit que aún no se haya enviado puede seguir utilizándose hasta su fecha límite, por lo que puede ser más seguro trasladar los tokens afectados que esperar.

Qué hacer si has revelado una frase semilla

Considera toda la wallet comprometida en cuanto se revele la frase de recuperación.

Crea una wallet nueva en un dispositivo limpio y de confianza, con información de recuperación recién generada.

Traslada a la nueva wallet los activos restantes lo antes posible y con cuidado.

No vuelvas a utilizar la frase expuesta para ninguna cuenta.

Revocar las aprobaciones no basta, ya que el atacante puede firmar directamente nuevas transacciones.

Protege las cuentas de correo electrónico, el almacenamiento en la nube, los gestores de contraseñas y los dispositivos que puedan haber expuesto la frase.

Nunca aceptes ayuda de un desconocido que pida controlar la nueva wallet.

Qué hacer tras una infección de malware

Desconecta el dispositivo afectado de las cuentas y redes sensibles.

Utiliza otro dispositivo de confianza para proteger el correo electrónico, las cuentas financieras y las criptomonedas restantes.

Cambia las contraseñas y revoca las sesiones activas desde el dispositivo limpio.

Tras crear nuevas claves de wallet fuera del entorno sospechoso, traslada los activos.

Puede ser necesario que un profesional examine el dispositivo o reinstalar por completo el sistema operativo.

Restaurar el mismo perfil del navegador comprometido, sus extensiones o una copia de seguridad puede recuperar el malware o los datos de sesión robados.

Cómo denunciar una estafa con una wallet DeFi

Conserva las direcciones de las wallets, los hashes de las transacciones, las direcciones de contratos de tokens, los dominios, los correos electrónicos, los nombres de usuario, las capturas de pantalla, las fechas y las cantidades.

La página sobre criptomonedas del Centro de Denuncias de Delitos por Internet del FBI pide a las víctimas que incluyan hashes de transacciones, direcciones de wallets, detalles de las comunicaciones e identificadores relacionados.

Las víctimas en Estados Unidos también pueden enviar información sobre fraude al consumidor a través del sistema de denuncias de fraude de la FTC.

El dominio, la cuenta de redes sociales, la aplicación y el contrato inteligente maliciosos deben denunciarse a los servicios que los alojan o muestran.

Denunciar no garantiza la recuperación de los fondos, pero puede ayudar a los investigadores a relacionar delitos y alertar a otros usuarios.

Estafas de recuperación

Los estafadores de recuperación se dirigen a personas que ya han perdido criptomonedas.

Pueden afirmar que son investigadores de blockchain, abogados, hackers, empleados públicos o especialistas en recuperación de activos.

Piden a la víctima que pague por adelantado una comisión, un impuesto, una comisión de gas, costes judiciales o de software.

La advertencia de la CFTC sobre fraudes de recuperación señala que los organismos públicos no exigen pagos inusuales, como criptomonedas, para recuperar fondos perdidos.

El FBI también ha advertido de que delincuentes se hacen pasar por el Centro de Denuncias de Delitos por Internet y prometen falsamente servicios de recuperación.

Una denuncia legítima ante las fuerzas del orden no exige entregar una frase semilla ni pagar criptomonedas a la wallet de un investigador.

Señales de alerta habituales

Una solicitud de frase semilla, clave privada, contraseña o código de verificación es una señal de alerta crítica.

Las promesas de beneficios garantizados, estrategias secretas y rendimientos sin riesgo no son fiables.

Hay que tratar con cautela la urgencia inesperada relacionada con una migración, la suspensión de una cuenta o la reclamación de tokens.

Un dominio ligeramente distinto de la dirección oficial puede ser un sitio de phishing.

Una aprobación ilimitada para una transacción pequeña merece un examen adicional.

Una delegación de cuenta inexplicable o una firma de datos tipados pueden crear un riesgo grave.

La asistencia ofrecida inmediatamente mediante un mensaje privado suele ser una suplantación de identidad.

Un servicio de recuperación que exija un pago en criptomonedas por adelantado puede estar intentando volver a estafar al usuario.

Preguntas frecuentes

¿Qué son las estafas con wallets DeFi, explicado de forma sencilla?

Son fraudes que engañan a los usuarios de DeFi para que entreguen a los atacantes información confidencial de la wallet, criptomonedas, firmas o permisos de contratos inteligentes.

¿Puede un estafador robar mis criptomonedas sin mi frase semilla?

Sí. Una aprobación maliciosa, una firma de permit, una transacción o una delegación de cuenta pueden autorizar el robo sin revelar la frase semilla.

¿Conectar una wallet da el control al sitio web?

Una conexión básica normalmente revela la dirección seleccionada, pero las aprobaciones y firmas posteriores pueden conceder autoridad de gasto o de control de la cuenta.

¿Es seguro firmar un mensaje?

No necesariamente. Un mensaje firmado puede representar un permit, una orden, una delegación, una solicitud de autenticación u otra autorización de valor.

¿Qué es un wallet drainer?

Es un código malicioso diseñado para obtener permisos y transferir activos valiosos desde las wallets conectadas.

¿Qué es una aprobación de tokens?

Es un permiso que permite a una dirección o contrato inteligente especificado gastar tokens de la cuenta del propietario.

¿Qué es una aprobación ilimitada de tokens?

Es un permiso que permite al gastador utilizar todo el saldo actual y futuro de un token concreto de la wallet.

¿Desconectar un sitio web puede cancelar una aprobación?

No. Normalmente, desconectar la sesión de la interfaz no elimina una aprobación almacenada en la blockchain.

¿Cómo puedo cancelar una aprobación antigua?

Utiliza una interfaz de gestión de aprobaciones de confianza o una transacción directa al contrato para establecer la asignación en cero.

¿Revocar las aprobaciones protege una frase semilla expuesta?

No. Un atacante con la frase semilla puede crear directamente nuevas transacciones y aprobaciones.

¿Qué es una estafa de permit?

Engaña al usuario para que firme un mensaje que concede a otra dirección permiso para gastar tokens.

¿Una firma sin comisión de gas puede robar tokens?

Sí. Un atacante puede enviar la autorización firmada y pagar más adelante la comisión de la blockchain.

¿Qué es la firma ciega?

Consiste en aprobar datos codificados sin comprender su efecto real.

¿Qué es una estafa de delegación EIP-7702?

Engaña al usuario para que delegue el comportamiento de su cuenta a código malicioso de contrato inteligente que puede controlar activos o transacciones.

¿Qué es el envenenamiento de direcciones?

Consiste en colocar en el historial de transacciones una dirección del atacante que se parece a otra, para que la víctima pueda copiarla más adelante.

¿Cómo puedo evitar el envenenamiento de direcciones?

Verifica la dirección de destino completa mediante una fuente de confianza en lugar de copiarla sin comprobarla del historial de transacciones.

¿Qué es el malware del portapapeles?

Sustituye una dirección de wallet copiada por una dirección controlada por un atacante antes de que el usuario envíe criptomonedas.

¿Una hardware wallet puede detener todas las estafas?

No. Protege las claves privadas, pero puede firmar una transacción maliciosa si el usuario la aprueba.

¿Son peligrosos los tokens desconocidos recibidos en un airdrop?

Pueden utilizarse para promocionar sitios de phishing o interacciones dañinas con contratos, por lo que, en general, deben ignorarse los activos no solicitados.

¿Qué es un token honeypot?

Es un token que permite comprar, pero impide o penaliza gravemente la venta normal.

¿Un contrato inteligente verificado puede seguir siendo malicioso?

Sí. El código verificado solo hace visible el código fuente; no demuestra que el comportamiento del contrato sea justo o seguro.

¿Una auditoría de contrato inteligente garantiza la seguridad?

No. Las auditorías pueden pasar por alto vulnerabilidades y no cubrir actualizaciones posteriores, interfaces o acciones de administradores.

¿Puede verse comprometido un sitio web DeFi legítimo?

Sí. Los atacantes pueden comprometer dominios, interfaces, cuentas de redes sociales, dependencias o credenciales de administrador.

¿Debo confiar en los anuncios de búsqueda de sitios DeFi?

No. Los anuncios pueden llevar a sitios que suplantan identidades; los marcadores verificados y la documentación oficial son puntos de partida más seguros.

¿El servicio de asistencia de una wallet me pedirá la frase semilla?

No. Ningún proceso legítimo de asistencia requiere revelar la frase de recuperación completa o la clave privada.

¿Puede un estafador robar activos varios días después?

Sí. Una aprobación, un permit u otra autorización pueden seguir vigentes después de la interacción original.

¿Por qué ha desaparecido solo un token de mi wallet?

Es posible que el atacante obtuviera una aprobación para ese token concreto, en lugar de controlar toda la wallet.

¿Por qué han desaparecido todos mis activos?

Es posible que se hayan comprometido la frase semilla, la clave privada, una delegación amplia de la cuenta o los permisos de varios activos.

¿Debo crear una wallet nueva después de filtrar mi frase semilla?

Sí. Los activos restantes deben trasladarse a una wallet recién generada en un dispositivo limpio.

¿Puedo reutilizar una frase semilla expuesta después de cambiar la contraseña?

No. Cambiar la contraseña de la aplicación no invalida las claves blockchain derivadas de la frase.

¿Debo pagar a alguien para recuperar criptomonedas robadas?

Ten mucho cuidado, ya que las ofertas de recuperación que exigen pagos por adelantado suelen dirigirse a las víctimas para estafarlas de nuevo.

¿Se pueden revertir las transacciones blockchain?

Por lo general, los usuarios normales no pueden revertir una transferencia confirmada sin la cooperación del destinatario u otra intervención autorizada.

¿Qué información debo guardar después de una estafa?

Guarda los hashes de las transacciones, las direcciones, las direcciones de los contratos, los dominios, los mensajes, las capturas de pantalla, las fechas, las cantidades y los nombres de las cuentas.

¿Dónde puede denunciar una estafa con una wallet DeFi una víctima en Estados Unidos?

Puede denunciarla al Centro de Denuncias de Delitos por Internet del FBI, a la FTC, a los organismos reguladores pertinentes y a las fuerzas del orden locales.

¿Debo utilizar la misma wallet para mis ahorros y para DeFi?

Separar las tenencias a largo plazo de la actividad DeFi experimental puede reducir la cantidad expuesta a una sola interacción maliciosa.

¿Las wallets multifirma son inmunes a las estafas?

No. Varios firmantes aún pueden aprobar una transacción engañosa o perder el control de suficientes claves de firma.

¿La simulación de transacciones garantiza la seguridad?

No. Las simulaciones pueden pasar por alto cambios de estado, acciones retrasadas, interfaces engañosas o comportamientos inusuales de los contratos.

¿Qué debo comprobar antes de firmar?

Comprueba el dominio, la red, el contrato, el destinatario, el gastador, el token, la cantidad, la fecha límite, el alcance de la aprobación y los permisos a nivel de cuenta.

¿Cuál es la respuesta más segura ante una firma poco clara?

Recházala y verifica de forma independiente la acción solicitada antes de continuar.

Conclusión

Las estafas con wallets DeFi se dirigen a los usuarios de criptomonedas mediante el robo de información confidencial de las wallets, transacciones engañosas, contratos inteligentes maliciosos, aplicaciones falsas, suplantación de identidad, malware e ingeniería social.

Un estafador no necesita la frase de recuperación si una aprobación de tokens, una firma de permit o una delegación de cuenta le proporciona autoridad suficiente para robar activos.

Las conexiones de wallet, las aprobaciones de tokens, las firmas normales, los mensajes permit y los permisos de cuenta delegados tienen consecuencias de seguridad distintas.

Los usuarios deben comprender exactamente qué acción muestra la wallet antes de aprobarla.

Las frases semilla y las claves privadas nunca deben introducirse en sitios web DeFi, formularios de asistencia, mensajes directos ni páginas para reclamar tokens.

Se deben evitar las aprobaciones ilimitadas de tokens cuando sea suficiente una asignación menor.

Hay que revisar los permisos antiguos, ya que desconectar un sitio web no revoca la autoridad on-chain.

Las hardware wallets y las cuentas multifirma pueden mejorar la seguridad, pero no protegen a los usuarios que aprueban instrucciones engañosas sin verificarlas.

Separar las wallets, utilizar marcadores de confianza, mantener los dispositivos actualizados, limitar los permisos, comprobar las direcciones completas y verificar los contratos de forma independiente puede reducir la exposición.

Si se revela una frase semilla, es necesario migrar a una wallet completamente nueva; no basta con cambiar la contraseña o revocar las aprobaciones.

Las víctimas deben conservar las pruebas, denunciar el incidente cuanto antes y evitar los servicios de recuperación que exigen pagos anticipados en criptomonedas.

La mejor protección consiste en firmar de forma deliberada y verificar cada dominio, contrato, activo, cantidad, destinatario, permiso y delegación antes de autorizarlo.