Los sitios de phishing son una de las formas de ataque más comunes y que mayores pérdidas causan en el ámbito de las criptomonedas. Los hackers crean sitios web falsos casi idénticos a proyectos reales para engañar a los usuarios y que conecten sus billeteras, introduzcan frases semilla o firmen transacciones maliciosas. Según SlowMist, solo las pérdidas por ataques de phishing en 2025 superaron los mil millones de dólares. Aprender a identificar sitios de phishing es una asignatura obligatoria para todo usuario de criptomonedas.
¿Cuáles son los tipos comunes de sitios de phishing?
Los sitios de phishing en el ámbito cripto se dividen principalmente en las siguientes categorías:
1. Sitios de exchanges falsificados Imitan las páginas de inicio de sesión de Binance, OKX y otros exchanges para robar sus credenciales y códigos 2FA.
2. Sitios de billeteras falsificados Suplantan los sitios oficiales de MetaMask, Trust Wallet y otras billeteras, engañándole para que descargue apps falsas o introduzca su frase semilla en la web.
3. Frontends de DApps falsos Imitan DApps conocidas como Uniswap u OpenSea. Cuando conecta su billetera y confirma una transacción, en realidad está firmando una autorización maliciosa.
4. Páginas falsas de reclamación de airdrops Afirman que tiene tokens de airdrop no reclamados, guiándole a conectar su billetera y firmar para "reclamarlos", cuando en realidad autoriza un contrato malicioso para transferir sus activos.
5. Páginas falsas de soporte técnico Se hacen pasar por páginas de soporte de billeteras o exchanges, pidiéndole que "verifique su billetera" introduciendo su frase semilla.
¿Cómo identificar el dominio de un sitio de phishing?
El dominio es el método más eficaz para identificar sitios de phishing. Los hackers emplean las siguientes técnicas para falsificar dominios:
Sustitución de letras: usar letras similares, como "rn" en lugar de "m" (rnetamask.io parece metamask.io), o el número "0" en lugar de la letra "o".
Añadir prefijos o sufijos: como metamask-wallet.io, metamask-app.com, login-binance.com, etc.
Dominios de nivel superior diferentes: usar .xyz, .net, .co, etc. en lugar del .io o .com oficial.
Ataques Punycode: usar caracteres Unicode para crear dominios visualmente idénticos, como reemplazar la letra latina "a" por la letra cirílica "а".
Lista de dominios oficiales correctos:
- MetaMask: metamask.io
- Uniswap: app.uniswap.org
- OpenSea: opensea.io
- Binance: binance.com
Se recomienda añadir los sitios frecuentes a los favoritos del navegador y acceder siempre a través de favoritos, sin usar motores de búsqueda ni hacer clic en enlaces externos.
¿Cuáles son los canales de distribución de los sitios de phishing?
Conocer las vías de distribución de los sitios de phishing permite prevenirlos desde el origen:
- Anuncios en motores de búsqueda: los sitios de phishing compran anuncios en Google/Bing y aparecen en los primeros resultados
- Mensajes privados en redes sociales: falsos agentes de soporte en Twitter y Discord envían enlaces de "ayuda"
- Correos fraudulentos: correos que suplantan a exchanges o proyectos con "verificaciones de seguridad"
- Grupos de Telegram: enlaces falsos enviados por bots dentro de grupos
- Airdrops de NFTs: NFTs airdropeados que contienen enlaces de phishing
- Cuentas oficiales hackeadas: enlaces publicados tras la vulneración de cuentas oficiales en Twitter/Discord
¿Cómo protegerse al conectar la billetera?
Incluso si el sitio es legítimo, mantenga la vigilancia al conectar la billetera y firmar:
- Leer cuidadosamente el contenido de la firma: la ventana emergente de MetaMask muestra el contenido específico que va a firmar; no confirme a ciegas
- Estar alerta ante solicitudes de autorización anómalas: si una operación sencilla solicita autorización para todos los tokens, algo está mal
- Prestar atención al tipo de firma: las firmas de tipo eth_sign son muy peligrosas; pueden firmar cualquier mensaje y las DApps legítimas raramente las usan
- Verificar los detalles de la transacción: confirmar que la dirección de destino, el monto y las tarifas de Gas son razonables
- Usar herramientas de simulación de transacciones: extensiones de navegador como Pocket Universe o Fire pueden simular resultados antes de confirmar
Consejos de seguridad
La protección contra phishing requiere desarrollar buenos hábitos de navegación; las siguientes recomendaciones le ayudarán a reducir significativamente el riesgo:
- Guardar las URLs oficiales en favoritos: acceda a todos los sitios frecuentes a través de favoritos; no los busque cada vez
- Instalar extensiones anti-phishing: como Pocket Universe, ScamSniffer, etc.
- No hacer clic en enlaces desconocidos: especialmente en mensajes privados de redes sociales y correos electrónicos
- Verificar el certificado SSL: confirmar que la barra de direcciones muestra el icono de candado (pero esto no es criterio único; los sitios de phishing también pueden tener SSL)
- Configurar un código anti-phishing en el exchange: tras configurar el código anti-phishing en Binance y otros exchanges, todos los correos oficiales incluirán su código exclusivo
- Mantener una actitud escéptica: cualquier solicitud de "acción urgente" o "reclamación con tiempo limitado" es altamente sospechosa
Utilice las criptomonedas de forma segura, comenzando por elegir plataformas fiables. Sitio oficial de Binance para experimentar una protección de seguridad profesional, o descargue la aplicación oficial de Binance. Los usuarios de Apple pueden consultar el tutorial de instalación para iOS para una mejor experiencia.
¿Qué hacer si un sitio de phishing parece idéntico al sitio real?
Concéntrese en el dominio, no en la apariencia. Los sitios de phishing pueden copiar al 100% la apariencia del sitio real, pero el dominio no puede ser exactamente igual. Desarrolle el hábito de acceder a través de favoritos y escribir el dominio manualmente, sin depender del juicio visual.
Si me estafaron en un sitio de phishing, ¿puedo recuperar mis fondos?
Es muy difícil. Si introdujo su frase semilla en un sitio de phishing, debe importarla inmediatamente en la billetera real y transferir todos los activos. Si firmó una autorización maliciosa, use inmediatamente Revoke.cash para revocar la autorización. Los activos transferidos generalmente no se pueden recuperar.
¿Pueden ocurrir ataques de phishing en dispositivos móviles?
Sí. Los ataques de phishing en móviles son igualmente comunes, incluyendo apps falsas, enlaces de phishing por SMS, enlaces maliciosos en redes sociales, etc. Además, la pantalla más pequeña del móvil dificulta ver la URL completa, lo que requiere mayor precaución.
¿Usar VPN previene el phishing?
Una VPN no puede prevenir ataques de phishing. La VPN protege la seguridad de la transmisión de datos, pero si usted visita voluntariamente un sitio de phishing e introduce su información, la VPN no puede impedirlo. La clave contra el phishing es identificar y evitar los sitios falsos.