Guía anti-phishing para cripto: email, sitios falsos, wallet drainers y estafas sociales

El phishing es la forma más común en que los usuarios cripto pierden acceso a cuentas de exchange y wallets on-chain. A diferencia de los hacks que explotan vulnerabilidades de protocolos, el phishing te apunta directamente: funciona engañándote para que proporciones credenciales, firmes una transacción maliciosa o otorgues una aprobación peligrosa a un contrato. Entender cómo funciona realmente el phishing en plataformas como Binance y en BSC hace que las defensas sean obvias y fáciles de aplicar.

Phishing por email: cómo funcionan los emails falsos de Binance

Los emails de phishing que suplantan a Binance son el vector de ataque más común para usuarios de exchanges. El formato es consistente: un email con el diseño visual de Binance, logo y formato típico afirma que hay un problema con tu cuenta: inicio de sesión no autorizado, retiro suspendido, actividad sospechosa o una nueva función de seguridad que requiere tu acción. Un botón prominente enlaza a un sitio que parece exactamente Binance pero captura tu email, contraseña y código 2FA en el momento en que los introduces.

La defensa más importante es el código anti-phishing de Binance, disponible en Cuenta → Seguridad → Código Anti-Phishing. Una vez activado, cada email legítimo de Binance incluye tu código elegido en una posición visible. Un email de phishing no puede incluir este código porque el atacante no sabe cuál es. Si recibes un email que dice ser de Binance sin tu código visible, o con el código incorrecto, es un intento de phishing independientemente de lo legítimo que parezca.

Verificación secundaria: comprueba el dominio del remitente. Los emails legítimos de Binance provienen de @binance.com. Los atacantes falsifican direcciones que parecen similares: @binance-secure.com, @binance.support.com, o usan nombres para mostrar que dicen Binance Security mientras el dominio real de envío es algo sin relación. La mayoría de los clientes de email muestran la dirección completa del remitente cuando haces clic en el nombre para mostrar.

Phishing en sitios web: reconocer exchanges y frontends DEX falsos

Los ataques de phishing en sitios web replican el frontend de plataformas legítimas: Binance, PancakeSwap, MetaMask y otros sitios cripto de alto tráfico. El objetivo es capturar credenciales de inicio de sesión o presentar solicitudes de conexión de wallet que otorguen aprobaciones maliciosas o desencadenen transacciones de drenado.

Cómo llegan los usuarios a sitios falsos: anuncios en resultados de Google, enlaces en grupos de Telegram, tweets promocionados y mensajes en Discord de cuentas comprometidas son los cuatro canales principales. El canal de anuncios es particularmente efectivo porque los resultados de Google se clasifican por puja, no por autenticidad: un sitio PancakeSwap falso puede aparecer encima del real en resultados pagados.

La inspección del dominio es tu primera defensa. El Binance real está en binance.com: sin subdominio, sin variación de TLD, sin palabras añadidas. URLs base legítimas: pancakeswap.finance, metamask.io, bscscan.com, venus.io. Las variaciones de phishing usan caracteres homóglifos (reemplazando una l por un 1 o una I), TLDs adyacentes (.net, .io, .app en lugar del real) o palabras añadidas (pancakeswap-app.io, metamask-wallet.com). La única forma confiable de asegurarse de estar en el sitio correcto es acceder a través de un marcador que creaste navegando directamente a la URL verificada.

Una vez en un sitio de phishing, tu wallet muestra una solicitud de conexión idéntica a una legítima. El ataque comienza después de la conexión, cuando el sitio te pide aprobar una transacción. Lee lo que muestra tu wallet antes de confirmar cualquier cosa. Un swap debería mostrar montos específicos de tokens entrantes y salientes. Una solicitud de verificar wallet o una petición de aprobar ilimitado [token] a una dirección no reconocida debería rechazarse inmediatamente.

Ataques de wallet drainer y la firma Permit

Un wallet drainer es un contrato o servicio off-chain diseñado para transferir tokens de wallets que interactúan con él. El mecanismo más común es una aprobación ERC-20 estándar: firmas una transacción aprobando que el contrato drainer gaste cantidades ilimitadas de un token específico, y transfiere tu saldo completo inmediatamente o después.

Una variante más sofisticada usa la función Permit (EIP-2612), soportada por tokens como USDT, USDC y muchos tokens DeFi en BSC. Una firma Permit autoriza una transferencia de tokens sin una transacción de aprobación on-chain: la víctima firma un mensaje en su wallet, que parece una simple solicitud de inicio de sesión o verificación sin coste visible de gas, y el atacante envía esa firma on-chain para ejecutar la transferencia. MetaMask y otras wallets ahora muestran advertencias para firmas Permit, pero la advertencia es fácil de ignorar si tienes prisa.

La defensa: sé escéptico ante cualquier solicitud de Firma o Firmar Mensaje cuando esperas hacer un intercambio o un reclamo. Los swaps legítimos de DEX generan datos de transacción específicos que muestran montos exactos de entrada y salida. Si el cuerpo del mensaje contiene datos hexadecimales o un nombre de dominio que no reconoces, rechaza la solicitud.

Phishing en redes sociales y mensajes directos

El phishing en Discord y Telegram sigue un patrón consistente. Un usuario publica una pregunta sobre un protocolo, un problema con su wallet o un airdrop. En minutos, recibe mensajes privados de cuentas que se hacen pasar por personal de soporte oficial, moderadores de la comunidad o el equipo del proyecto. La conversación escala hacia uno de tres resultados: al usuario se le pide su frase semilla para restaurar la wallet, se le dirige a una herramienta de recuperación falsa que captura datos de la wallet, o se le indica firmar una transacción en un sitio falso.

Ningún equipo de soporte legítimo, protocolo o exchange iniciará un mensaje privado sobre una pregunta pública. Ningún equipo legítimo pedirá jamás tu frase semilla o clave privada: no en un ticket de soporte, no para verificar tu cuenta, no para procesar un reembolso. Una solicitud de acceso a la frase semilla es siempre un ataque, independientemente de lo oficial que parezca la cuenta.

Las cuentas verificadas en X/Twitter no son señales confiables de legitimidad. Las cuentas oficiales verificadas son frecuentemente comprometidas o suplantadas. Un tweet promocionado de una cuenta que parece verificada enlazando a un sitio de airdrop bonus no es evidencia de que el sitio o el airdrop sean reales.

Proteger extensiones de navegador e instalaciones de wallet

Los ataques a extensiones de navegador se han convertido en un vector significativo. Una extensión maliciosa instalada en tu navegador puede interceptar solicitudes de firma de wallet, modificar destinos de transacciones antes de enviarlas o leer tu portapapeles (donde viven las direcciones de wallet copiadas). El ataque es una extensión de wallet falsa (un MetaMask falsificado publicado en la Chrome Web Store) o una extensión legítima comprometida por una actualización maliciosa.

Instala extensiones de wallet solo desde la página de extensión vinculada del sitio oficial: MetaMask desde metamask.io, Trust Wallet desde trustwallet.com. Nunca instales desde un enlace recibido en un mensaje. Revisa tus extensiones instaladas periódicamente y elimina las que ya no uses. Las extensiones con permisos amplios para leer y cambiar todos los datos del sitio web merecen especial atención.

Configuración práctica para reducir la exposición al phishing

Activa el código anti-phishing de Binance de inmediato y elige una cadena que reconocerás a primera vista. Guarda en marcadores binance.com, pancakeswap.finance, bscscan.com y cualquier otra plataforma que uses regularmente, y accede a ellas solo a través de esos marcadores. Mantén un perfil de navegador o dispositivo dedicado para cripto, sin extensiones excepto tu wallet. Configura tu wallet para mostrar los detalles completos de la transacción y léelos antes de firmar: esto toma 10 segundos y detiene la mayoría de los ataques de drainer.

Revisa las aprobaciones activas de tokens en revoke.cash cada pocos meses para identificar y eliminar aprobaciones de interacciones antiguas. Una aprobación otorgada hace meses a un contrato que luego fue comprometido permanece activa hasta que la revoques explícitamente. Esta revisión periódica es el complemento a la firma cuidadosa: maneja los casos donde pudiste haber aprobado algo sin entender completamente su alcance.

Si recibes un email alarmante sobre tu cuenta de Binance, no hagas clic en ningún enlace del email. Navega a binance.com directamente a través de tu marcador y verifica el estado de tu cuenta allí. El email puede ser phishing; el estado de tu cuenta en el sitio real es la verdad.