Cómo evitar estafas cripto en BNB Chain: rug pulls, honeypots, drainers y phishing

BNB Smart Chain combina liquidez profunda y comisiones bajas con un entorno permisionless donde cualquiera puede desplegar contratos. Esa misma apertura crea un entorno lleno de objetivos para los estafadores. Entender la mecánica de los tipos de ataque más comunes en BSC es más efectivo que cualquier checklist. Una vez que sabes cómo funciona un rug pull o un wallet drainer, identificarlos se vuelve mucho más fácil.

Las principales categorías de estafa en BNB Smart Chain

Las estafas en BSC caen en unas pocas categorías estructurales, cada una con mecánicas y señales de alerta distintas.

Los rug pulls ocurren cuando los desplegadores de tokens atraen liquidez a través de marketing y luego la retiran abruptamente, normalmente sacando los LP tokens que guardaron tras proveer la liquidez inicial. Desde fuera, el gráfico de precio parece un cohete seguido de un colapso instantáneo a casi cero. La firma técnica es simple: el desplegador retuvo LP tokens que nunca fueron bloqueados y luego los quemó o transfirió para vaciar el pool. En BscScan, un rug pull deja un rastro claro: unas pocas transacciones grandes de Remove Liquidity inmediatamente después de un pico de precio.

Los honeypots son contratos que permiten comprar pero bloquean la venta. El código del contrato incluye una función de transferencia modificada, una comisión del 100% sobre ventas, o una whitelist oculta que excluye a todos excepto al desplegador. Los usuarios pueden comprar, ver subir el precio, pero no pueden salir. Herramientas como TokenSniffer y Honeypot.is escanean estos patrones automáticamente. Si alguna lanza una advertencia, no compres independientemente de cómo se vea el precio.

Los ataques de drenado por aprobación ocurren cuando firmas una transacción que otorga a un contrato autoridad ilimitada de gasto sobre uno de tus tokens. La aprobación parece una interacción rutinaria: conectarse a un DEX, participar en una competición, reclamar una recompensa. El contrato silenciosamente transfiere tu saldo de tokens en cualquier momento posterior, a veces semanas después de que hayas olvidado la aprobación. La solución es revoke.cash, que conecta tu wallet y muestra cada aprobación activa con un botón para revocarla. Revisar las aprobaciones mensualmente y antes de mover saldos grandes es una disciplina útil.

Las estafas de soporte falso apuntan a usuarios que publican preguntas en grupos públicos de Telegram o Discord. Minutos después llega un mensaje privado de alguien que dice ser soporte oficial. Eventualmente pedirán tu frase semilla, ofrecerán verificar tu wallet o te dirigirán a una herramienta de recuperación falsa. Los equipos de soporte legítimos de Binance, MetaMask, PancakeSwap u otro protocolo importante nunca inician un mensaje privado y nunca piden tu frase semilla, clave privada o contraseña bajo ninguna circunstancia.

Los sitios web de phishing replican el diseño visual de plataformas legítimas: PancakeSwap, Binance, MetaMask y otros sitios cripto de alto tráfico. Llegas a uno haciendo clic en un anuncio en los resultados de Google, un enlace compartido en un canal de Telegram o un tweet promocionado. El sitio puede funcionar normalmente mientras captura tus credenciales o presenta una solicitud de conexión de wallet que ejecuta un drenado. Guardar las URLs oficiales en marcadores y acceder únicamente a través de ellos es la protección más simple.

Los esquemas de airdrop y recompensas falsas atraen a usuarios con promesas de tokens gratis. Para reclamarlos, conectas tu wallet a un sitio o firmas una transacción. El acto de reclamar es el drenado en sí mismo. La transacción que firmas aprueba gasto ilimitado de tokens o transfiere activos directamente. Los airdrops legítimos de protocolos que ya usas no requieren más interacción on-chain que una transacción de claim a la dirección oficial del contrato, que debes verificar directamente en el sitio oficial del proyecto.

Cómo verificar un token o contrato antes de interactuar

BscScan es tu punto de partida. Abre la dirección del contrato en bscscan.com y revisa cuatro cosas antes de cualquier otra acción.

Primero, ¿qué antigüedad tiene el contrato? Los contratos desplegados horas o días antes de un empuje en redes sociales tienen mayor riesgo. Los protocolos establecidos tienen contratos de meses o años con extensos historiales de transacciones.

Segundo, ¿está bloqueada la liquidez? En la página BscScan del contrato, mira la lista de poseedores de LP tokens. Si el principal poseedor es una dirección de quema (0x000...dead o 0x000...0000), la liquidez está bloqueada permanentemente. Si el principal poseedor de LP es la wallet del desplegador, puede retirarla en cualquier momento. Los servicios de bloqueo de terceros como PinkLock o Unicrypt también aparecen como grandes poseedores de LP cuando se usan.

Tercero, ¿ha sido auditado el contrato? Los proyectos reputados enlazan a auditorías de firmas como CertiK, Hacken, PeckShield o SlowMist. Una auditoría no elimina el riesgo, pero un contrato sin auditar, sin equipo público y con liquidez bloqueada por menos de $50.000 es una combinación de señales de alerta.

Cuarto, ¿qué tan distribuidos están los holdings? Si los diez primeros wallets controlan el 50% o más del suministro, y esos wallets están claramente vinculados entre sí o al desplegador, el riesgo de un dump coordinado es alto.

TokenSniffer y la pestaña de seguridad de DexScreener realizan estas verificaciones automáticamente. Son imperfectos: pueden perder patrones de exploit novedosos. Pero filtran rápidamente las estafas más comunes basadas en plantillas.

La anatomía de un ataque de phishing en BSC

Entender cómo están estructurados los ataques de phishing los hace más fáciles de identificar en la práctica. Una secuencia de ataque típica: el atacante registra un dominio visualmente similar al legítimo (pancakeswaap.finance, pancakeswap-app.io), copia el código del frontend y modifica la lógica de conexión de wallet para redirigir a un contrato drainer o registrar las credenciales introducidas.

Cuando conectas tu wallet a este sitio falso, tu wallet muestra una solicitud de conexión idéntica a la legítima. Luego el sitio te pide aprobar una transacción, que puede estar etiquetada como reclamar tokens, verificar wallet o habilitar trading. La transacción real es una aprobación que otorga al contrato drainer acceso ilimitado a tus tokens, o en ataques más sofisticados, una firma Permit (EIP-2612) que no requiere ninguna transacción de aprobación on-chain, solo una firma que el atacante envía on-chain después.

La defensa es leer lo que muestra tu wallet antes de confirmar. Una interacción legítima de DEX para un swap mostrará los montos específicos de tokens entrantes y salientes. Si tu wallet muestra aprobar USDT ilimitado a una dirección desconocida cuando solo querías hacer un swap, es una señal de alerta para rechazar inmediatamente.

Hábitos prácticos para usuarios de BSC

Usar un perfil de navegador dedicado exclusivamente para cripto, sin extensiones excepto tu wallet, reduce tu superficie de ataque. Las extensiones de navegador, especialmente las no oficiales o recientemente actualizadas, pueden interceptar interacciones con la wallet.

La separación entre hot wallet y cold wallet reduce tu exposición. Mantén un saldo de trabajo pequeño en la wallet que conectas a DeFi y una wallet separada (idealmente hardware) para holdings más grandes. Una aprobación comprometida en tu hot wallet solo puede drenar lo que está en esa wallet, no tu cold storage.

Probar contratos nuevos con montos pequeños primero, antes de comprometer fondos significativos, es una disciplina simple que detecta muchos problemas. Si el contrato no se comporta como se espera con un monto pequeño, no se comportará mejor con uno grande.

Revisar revoke.cash antes de mover saldos grandes identifica aprobaciones persistentes de interacciones que pudiste haber olvidado. Una aprobación otorgada meses atrás a un contrato que desde entonces fue comprometido es un riesgo silencioso que una revisión periódica detecta.

Qué hacer si ya fuiste víctima de una estafa

Si crees que fuiste objetivo de una estafa, el orden de prioridades es: revocar todas las aprobaciones inmediatamente via revoke.cash; mover los activos restantes del wallet afectado a un nuevo wallet con una frase semilla nueva (el wallet actual debe considerarse comprometido); no interactuar más con el wallet comprometido ni con los contratos asociados a la estafa; documentar los hashes de transacción, direcciones de contratos y montos para cualquier reporte futuro.

Reportar contratos estafadores on-chain a la lista de vigilancia comunitaria de BscScan, y a la API de seguridad de AvengerDAO utilizada por la base de datos de seguridad oficial de BNB Chain, ayuda a marcar el contrato para otros usuarios. Aunque la recuperación de fondos robados generalmente no es posible en un entorno no custodial, los reportes reducen el alcance del mismo ataque sobre el próximo usuario.