Guía · Riesgo de wallet · · por Stefan Tsezarov · actualizado el
Las doce palabras
El mensaje más caro del mundo cripto, desmontado línea a línea.
El mensaje llega educado.
El logotipo coincide.
El enlace abre una página que se parece exactamente a la wallet que ya usas: los mismos colores, la misma tipografía, la misma ilustración discreta en la esquina.
Te pide, con calma, que confirmes tu frase de recuperación para poder restaurar el acceso.
No existe ninguna situación en la que esa petición sea legítima.
Ni soporte. Ni migración. Ni airdrop. Ni control de seguridad. Ni reembolso. Ni validación.
Ni una vez. Nunca. Nadie.
En realidad, ese es todo el artículo. Lo que sigue solo explica por qué la petición sigue funcionando tan a menudo.
1. Qué son de verdad las doce palabras
La mayoría trata su frase de recuperación como una contraseña. Ese único error de categoría está en el origen de casi todos los desastres posteriores.
Una contraseña protege una cuenta que ya gestiona otra persona. Si pierdes la contraseña, la restableces. La cuenta sigue ahí.
Una frase de recuperación es distinta.
Es el número maestro del que se generan todas tus claves privadas. Tu wallet toma esas doce (o veinticuatro) palabras, las convierte en un número enorme y deriva todas las direcciones que controlarás en todas las cadenas que admite la wallet, incluidas las que aún no has usado.
La frase no es la llave de una puerta.
Es el material con el que se hacen las propias puertas.
2. Por qué nadie legítimo la pide nunca
El soporte no puede usarla. Un proveedor de wallets nunca custodia tus fondos y por tanto no puede moverlos por ti; así está diseñado. Darle tu frase a un agente de soporte sería darle el control total de tu dinero. Ninguna empresa competente permite esa petición.
Una migración no puede exigirla. Pasar a un contrato nuevo o a una versión nueva de la app se hace en la cadena, o importando tú mismo la wallet en un dispositivo que controlas.
Un airdrop no puede exigirla. Para enviar tokens basta tu dirección pública, la que pegas en formularios. Recibir nunca exige demostrar que puedes gastar.
Un control de seguridad no puede exigirla. La propiedad se demuestra firmando un mensaje; la firma confirma el control sin revelar nunca las claves.
Un reembolso no puede exigirla, y menos aún el reembolso de una estafa anterior.
Todos esos productos existen. Ninguno ha necesitado nunca tu frase de recuperación, porque la frase no te identifica. Te sustituye.
No lo decimos solo nosotros. La propia documentación de soporte de MetaMask lo dice claramente: “if anyone asks for your Secret Recovery Phrase, they are trying to scam you” (en inglés: si alguien te pide tu frase secreta de recuperación, intenta estafarte): un proveedor de wallets dice, sobre su propio equipo de soporte, que la petición es la prueba.
3. Cinco disfraces, una petición
Las historias cambian. La última frase no.
4. Aquí tienes uno
Léelo como lo leerías a las once y media de la noche, en el móvil, después de que te digan que algo va mal con tu dinero.
Es representativo de campañas reales documentadas por investigadores de seguridad y proveedores de wallets. La redacción, la urgencia, las restricciones inventadas y la petición de la frase de recuperación aparecen una y otra vez en mensajes de phishing contra usuarios de MetaMask, Trust Wallet y wallets físicas, y contra destinatarios genéricos de «wallets cripto». Las versiones reales usan otras marcas y dominios; la petición de fondo no cambia. El ejemplo se deja en inglés, como la mayoría de los mensajes reales de este tipo.
Enséñame qué tiene de malo
La petición en sí es toda la respuesta. Todo lo demás es secundario. Aun así, vale la pena ver con qué cuidado está hecho el envoltorio:
- «Limited mode» (modo limitado) y «protective custody» (custodia protectora) son estados inventados. Las wallets reales no los tienen. Suenan a lenguaje bancario porque es en los bancos donde la gente ha aprendido a esperar ese lenguaje.
- «Within 24 hours» (en 24 horas) es el reloj, colocado ahí precisamente para que no preguntes a nadie más.
- La dirección se lee de izquierda a derecha como fiable.
wallet-supportes solo un subdominio y no tiene ninguna autoridad. Lo que decide de verdad adónde llegas esverify-restore.example.com. Lee siempre una URL desde la derecha. - La ortografía es perfecta. La gramática es correcta. En la superficie ya no queda nada que detectar.
Y una línea más rara de lo que parece al principio: «confirm ownership» (confirmar la propiedad). Tu frase de recuperación no confirma la propiedad a nadie. La transfiere.
5. Por qué dejó de funcionar la prueba de la ortografía
Durante dos décadas se enseñó a detectar el fraude por sus costuras: un inglés roto, un logotipo que no cuadra, un saludo que empieza por «Estimado cliente».
El consejo tenía sentido cuando producir una página convincente era caro.
Ahora es gratis. Se genera texto fluido en cualquier idioma en segundos. Copiar el aspecto exacto de una web nunca fue difícil; el diseño es público por definición.
Un mensaje de aspecto profesional, por tanto, no te dice nada sobre su legitimidad. Solo te dice que alguien ha dedicado unos minutos.
Lo que no ha cambiado, ni puede cambiar, es lo que necesita el atacante. Necesita las palabras. Invente lo que invente, al final tiene que pedirlas.
Deja de puntuar la presentación. Lee la petición.
6. Por qué siempre hay un reloj
Cada versión de este mensaje lleva un plazo: veinticuatro horas, fin del día, antes de que se suspenda la cuenta.
El reloj no está para meterte prisa. Está para impedir la única acción que desmonta el ataque de forma fiable: contárselo a otra persona. Dicha en voz alta a casi cualquiera —un amigo, un foro, un buscador—, la petición se esfuma. Un plazo obliga a decidir a solas.
El plazo no es un detalle de la historia. Es lo que la sostiene. Cuando ves uno pegado a una petición de secretos, eso mismo ya es el hallazgo.
7. Dónde debe vivir la frase
Brevemente, porque la regla es sencilla.
Escribes tu frase de recuperación en una única situación: al restaurar una wallet en un software que tú mismo has instalado, en un dispositivo que controlas.
Nunca en una página web.
Nunca en un formulario que llegó en un mensaje.
Nunca en un chat, un ticket de soporte, una hoja de cálculo, una foto, una nota de un gestor de contraseñas ni un asistente de IA.
Si usas una wallet física, la frase no debería escribirse nunca en un ordenador después del día en que la apuntaste.
8. Si ya la has introducido
Entonces solo importa esta sección, y la rapidez importa más que el orden.
Da por perdida esa wallet y actúa en consecuencia de inmediato. No esperes a una confirmación. No hagas una prueba con una transacción pequeña. No intentes cambiar una contraseña: no hay contraseña que cambiar.
Sobre el problema del gas, porque pilla a la gente en el peor momento: para mover un token hace falta la moneda nativa de la cadena para pagar la comisión. Si la wallet comprometida no tiene, tienes que enviar algo, y los barredores automáticos que vigilan la dirección suelen llevárselo en un solo bloque. La gente lo intenta tres veces, pierde el gas tres veces y concluye que no hay nada que hacer.
Hay soluciones, como agrupar la financiación y el rescate en una única transacción atómica que no se puede interrumpir. Son complicadas y dependen de la cadena. Si hay una cantidad importante en juego, pide ayuda a alguien con experiencia antes de gastar más intentos.
Y la secuela más cruel: a las personas a las que acaban de robar a menudo las contactan en cuestión de horas «especialistas en recuperación» que prometen rastrear y devolver los fondos. Piden otra vez la frase, o una comisión por adelantado. Es el mismo ataque, contra la misma persona, en su peor día. Nadie puede revertir una transacción en la blockchain. Quien diga lo contrario está vendiendo el segundo robo.
9. Qué puede y qué no puede decirte una comprobación
Pega un mensaje como el de arriba en nuestro escáner y devolverá FAIL, marcará como crítica la petición de la frase semilla y señalará la estructura sospechosa del enlace.
Esto es lo que no hace.
- Nunca visita el enlace. Examina la forma de la dirección —marcas en posiciones sin autoridad, caracteres parecidos, patrones de redirección—, pero no descarga la página. No puede decirte si el sitio del otro lado es un clon.
- No puede ver un mensaje que nunca pegas. La mayoría llegan cuando estás cansado y con prisa, justo cuando nadie comprueba nada.
- Un resultado limpio no es un veredicto sobre el remitente. Solo significa que ningún patrón cubierto ha coincidido.
- No puede deshacer nada. La sección 8 existe porque comprobar después no es un remedio.
Frente a este ataque en concreto, un escáner es una red de seguridad útil, no la defensa principal. La defensa ocupa una frase, y ya la tienes.
La regla
Nadie necesita tu frase de recuperación. Nunca. Por ningún motivo. Diga quien diga ser.
Cualquier mensaje que la pida es un intento de robo. No es una regla aproximada con excepciones; es la regla completa, y una de las pocas reglas de seguridad que de verdad no tiene casos raros.
Si alguna vez dudas, desconfía primero del plazo. Después pregunta a alguien. Ese único paso acaba con el ataque.
Relacionado: instrucciones escritas para una IA en lugar de para ti y texto que se muestra como nada. Este artículo es solo educativo y no es asesoramiento financiero. El mensaje de ejemplo es representativo de campañas reales, usa un dominio de ejemplo reservado y no se dirige a ninguna empresa real.
¿Lees un mensaje sospechoso en el navegador? El marcador para comprobar el texto seleccionado lo comprueba sin copiar y pegar, y el texto se queda en tu navegador.