En esta lección
- reconocerás los ataques más comunes contra quienes tienen cripto
- descubrirás por qué las filtraciones de datos de clientes de los fabricantes también son un riesgo para ti
- prepararás defensas contra los SIM swaps y la extorsión física
Los atacantes rara vez vulneran una billetera de hardware. Es caro y lento. Es mucho más fácil convencer al dueño de que entregue las claves: por correo, con una app falsa, con una llamada o, en el peor de los casos, por la fuerza.
Phishing tras las filtraciones de datos#
Los fabricantes de billeteras y las tiendas que venden para ellos han sufrido filtraciones de datos de clientes:
- Ledger (2020): se filtraron los nombres, números de teléfono y direcciones postales de unos 272.000 clientes.
- Trezor (2024): los atacantes entraron en el sistema de atención al cliente y obtuvieron los contactos de unas 66.000 personas.
Las billeteras en sí no estuvieron en riesgo. Pero las personas de las listas filtradas recibieron correos y mensajes de texto convincentes: "incidente de seguridad, verifica tu frase semilla", "actualiza tu dispositivo en este enlace". La regla de todo el curso también vale aquí: nadie honesto te pedirá nunca tu frase semilla, jamás.
Al comprar una billetera, considera la entrega en un punto de recogida en lugar de en tu domicilio.
Apps y sitios web falsos#
- Apps falsas en las tiendas de apps y extensiones del navegador falsas que parecen las oficiales.
- Anuncios en buscadores que llevan a una copia del sitio web del fabricante.
Defensa: descarga las apps solo mediante un enlace del sitio web oficial; escribe la dirección del sitio a mano o guárdala en tus marcadores.
SIM swap#
En un ataque llamado SIM swap, un atacante convence a tu operador móvil de asignar tu número a su tarjeta SIM. Tus mensajes de texto le llegan entonces a él, incluidos los códigos para restablecer la contraseña de tu exchange.
- Para la autenticación en dos pasos usa una app o una llave de seguridad, no SMS.
- Configura un PIN o una contraseña con tu operador para los cambios en tu número.
- En un exchange, activa la lista blanca de direcciones de retiro si la ofrece.
Extorsión física#
La forma más oscura es la violencia. Se llama ataque de llave inglesa (wrench attack), por el chiste de que la criptografía no se puede romper, pero al dueño sí se le puede intimidar. En enero de 2025, un cofundador de Ledger fue secuestrado en Francia, y los secuestradores exigieron un rescate en cripto. Casos similares se volvieron más frecuentes en los meses siguientes.
La defensa se basa sobre todo en ser discreto:
- no presumas, ni en redes sociales ni en el bar,
- no muestres saldos ni direcciones vinculados a tu nombre,
- guarda los grandes ahorros de forma que no se pueda llegar a ellos al instante, por ejemplo con multisig y claves en distintos lugares, de modo que moverlos requiera varios lugares o personas.
Tu seguridad importa más que el dinero
Ante una amenaza directa, no te hagas el héroe. El dinero se puede perder; la salud y la vida, no. La prevención (ser discreto y cuidar tu privacidad) es mucho más eficaz que cualquier cosa que hagas en el momento de un ataque.
Mitos comunes#
- "El correo es del fabricante, tiene su logo y mi nombre." Tras las filtraciones de datos, los atacantes tienen ambas cosas.
- "Un código por SMS es seguridad suficiente." Un número se puede pasar a otra tarjeta SIM.
- "Nadie vendrá por mí, no soy millonario." Los atacantes suelen ir por quien presume, no por quien más tiene.
Resumen
- Tras las filtraciones de datos de los fabricantes llega un phishing convincente: nadie honesto te pide tu frase semilla.
- Descarga las apps solo desde el sitio web oficial; cuidado con los anuncios y las extensiones falsas.
- Contra los SIM swaps: 2FA con una app o una llave, un PIN con tu operador y listas blancas de direcciones de retiro.
- Contra la extorsión física, lo que más ayuda es ser discreto y mantener los ahorros fuera del alcance inmediato.