Guías · Actualizado el 26 de octubre de 2026
Cómo funcionan de verdad los trucos
No es una lista de advertencias. Es una explicación del mecanismo, para que lo reconozcas tú.
Cada guía trata una técnica que busca el escáner. Cada una explica cómo se construye el truco, por qué convence, cómo comprobarlo con más de un método y, en todos los casos, qué no puede decirte un resultado limpio.
Sin enlaces de afiliados. Sin recomendaciones de tokens. Nada de esto es asesoramiento financiero.
¿Prefieres practicar en lugar de leer? Spot the Trap tiene retos cortos: lee un mensaje inventado, elige tu siguiente paso y mira la explicación.
Publicado
Tokens honeypot: por qué puedes comprar pero no vender
La compra sale bien. La venta falla, siempre. La restricción no está en el precio: está escrita en el contrato del token y se puede comprobar en segundos antes de gastar nada.
El texto que no ves
Dos mensajes pueden verse exactamente igual y contener caracteres totalmente distintos. Caracteres de ancho cero, controles de dirección, el bloque Unicode Tags y letras parecidas, con un ejemplo preparado en la página que puedes copiar y comprobar tú mismo.
La instrucción que no escribiste
Pegas algo en un asistente de IA y contiene instrucciones que nunca escribiste. Los cuatro patrones que usan, por qué la inyección indirecta es la mitad más difícil del problema y por qué el mismo texto importa más cuanto más se le permite hacer a tu asistente.
Las doce palabras
El mensaje más caro del mundo cripto, desmontado línea a línea. Por qué ningún soporte, migración, airdrop ni control de seguridad ha necesitado nunca tu frase de recuperación, y qué hacer en los diez primeros minutos si ya la has introducido.
Léelo desde la derecha
Una dirección web dice exactamente adónde lleva, solo que no en el orden en que la lees. Cómo revisar un enlace sin abrirlo, los principales trucos para disfrazarlo y qué puede y qué no puede decirte un análisis estructural.
La dirección a la que no puedes pagar
Una wallet sancionada se ve como cualquier otra, y la blockchain le pagará sin pestañear. Qué significa estar en una lista, cómo puedes tocar una sin pedirlo, por qué «no lo sabía» no lo hace legal y qué puede ver y qué no una comprobación.
La dirección que se parece a la tuya
Empieza como la tuya. Termina como la tuya. No es la tuya. Cómo el envenenamiento de direcciones planta una copia en tu historial de transacciones, el caso de 68 millones de dólares y los cinco hábitos que lo vencen.
Restos de IA
El «Certainly! Here is a message you can send:» del chatbot que se coló en tu correo. Qué son los restos de IA, por qué tus ojos los saltan y cómo pillarlos antes de enviar, sin fingir que se puede detectar la IA.
Dale a tu agente una segunda opinión antes de que actúe
Tu agente de programación instala lo que le dice un README o un comentario en un issue. Cómo un guardián local comprueba antes cada npm install, por qué el análisis y la decisión se mantienen separados y qué sigue sin ver.
Qué firmas de verdad al aprobar un token
Una aprobación no es un pago, pero sí un permiso para gastar. Qué pueden autorizar approve, set approval for all, Permit y Permit2, cinco comprobaciones antes de firmar y cómo revisar y revocar lo que ya has concedido.
El dominio que parece correcto
Una dirección parecida solo tiene que resultar familiar un momento. Cómo encontrar el dominio que importa, los trucos de alfabeto y ortografía detrás de las copias, qué pueden y qué no pueden decirte las listas de amenazas y hábitos que reducen el riesgo.
¿Me están vigilando el móvil?
Alguien sabe cosas que no debería. El acceso a cuentas, los ajustes compartidos, las apps de vigilancia y el spyware mercenario necesitan respuestas distintas: qué merece una mirada más atenta, cómo pedir ayuda con seguridad y qué puede y qué no puede decirte nuestra comprobación de spyware.
Las sugerencias sobre qué tratar después son bienvenidas en el gestor de incidencias del proyecto (en inglés).