En esta lección
- aprenderás a verificar una dirección de recepción y de envío en la pantalla del dispositivo
- descubrirás cuándo vale la pena un pago de prueba
- entenderás por qué la firma a ciegas es peligrosa incluso para grandes empresas
La mayoría de las pérdidas al enviar no vienen de hackeos, sino de errores: una dirección equivocada, una red equivocada, una transacción sustituida. La buena noticia es que un solo hábito ayuda contra los tres: mira la pantalla del dispositivo y no te apresures.
Recibir#
- En la app, muestra tu dirección de recepción.
- Elige mostrar en el dispositivo y compara la dirección de su pantalla con la de tu monitor.
- Solo entonces envíasela a quien te va a pagar.
Una computadora infectada podría mostrarte la dirección de un atacante. La pantalla del dispositivo muestra tu dirección real.
Enviar#
- Toma la dirección de la fuente, no de tu historial de transacciones. Un ataque llamado envenenamiento de direcciones consiste en que alguien te envía una cantidad mínima desde una dirección cuyo principio y final coinciden con las direcciones que sueles usar.
- Vigila el portapapeles. Algunos programas maliciosos en una computadora cambian en silencio una dirección copiada por otra. Así que revisa la dirección después de pegarla y, sobre todo, en la pantalla del dispositivo.
- Revisa la red. El mismo token puede existir en varias redes; si lo envías por la equivocada, quizá no se pueda recuperar.
- Pago de prueba. Para un destinatario nuevo y para cantidades grandes, envía primero una cantidad pequeña y espera la confirmación. Cuesta una comisión extra.
Nunca firmes a ciegas#
En una transferencia simple, la pantalla muestra la dirección y el importe. Pero en transacciones más complejas, por ejemplo en apps de blockchain, algunos dispositivos solo muestran una cadena de caracteres incomprensible. Firmar una transacción así se llama firma a ciegas (blind signing): apruebas algo que no puedes ver.
En febrero de 2025, el exchange Bybit perdió unos 1.500 millones de dólares en Ether. Los atacantes manipularon la interfaz, así que los empleados que aprobaban la transacción vieron una transferencia normal. En realidad firmaron un cambio que entregó a los atacantes el control de la billetera. Fue uno de los mayores robos de la historia de las cripto.
Lo que se deduce para ti:
- mantén la firma a ciegas desactivada en el dispositivo y actívala solo rara vez y a propósito,
- si no entiendes lo que muestra la pantalla, rechaza la transacción,
- para las apps de blockchain, prefiere dispositivos y apps que muestren la transacción de forma legible.
Permisos para gastar tokens
En Ethereum y redes similares les das a las apps permiso para gastar tus tokens, a menudo sin límite. Ese permiso sigue vigente hasta que lo revocas. Revísalos de vez en cuando y revoca los que no necesites.
Mitos comunes#
- "Basta con revisar el principio y el final de la dirección." Justo en eso se apoya el envenenamiento de direcciones. Revisa también el centro.
- "Tengo una billetera de hardware, no necesito leer nada." Solo te protege cuando lees su pantalla.
- "Un pago de prueba es una comisión desperdiciada." Es el seguro más barato que existe.
Resumen
- Verifica siempre una dirección de recepción y de envío en la pantalla del dispositivo.
- Toma la dirección de la fuente, no del historial; revisa la red y envía una cantidad de prueba a un destinatario nuevo.
- Mantén la firma a ciegas desactivada: el hackeo de Bybit mostró adónde lleva aprobar lo que no puedes ver.
- En Ethereum y redes similares, revisa y revoca los permisos para gastar tus tokens.