Cómo detectar el phishing cripto: los wallet drainers robaron casi 84 millones de dólares en 2025

El phishing cripto se detecta por tres cosas: alguien se hace pasar por un exchange, un proveedor de wallets o una autoridad, te mete prisa y al final quiere tu frase semilla, tu contraseña o una firma en tu wallet. Ningún proveedor serio te pedirá jamás la frase de recuperación, ni por correo electrónico, ni por teléfono, ni en una web. Quien recuerda esta única regla esquiva la mayor parte de los ataques.

El problema no es menor. Según el informe anual del servicio de seguridad Scam Sniffer, los llamados wallet drainers robaron en 2025 unos 83,85 millones de dólares a 106.106 víctimas. Es un 83 % menos que en 2024, cuando la cifra rozó los 494 millones de dólares, pero los atacantes han cambiado de táctica: muchos importes pequeños en lugar de pocos golpes grandes. Quien custodia sus propias monedas, por ejemplo en una wallet de hardware de nuestra comparativa de carteras hardware, se protege frente a los hackeos de exchanges. Frente al phishing solo le protege su propia desconfianza, porque aquí es la víctima quien concede el acceso.

Esta guía repasa las estafas cripto con phishing más habituales, las señales de alarma en correos, llamadas y actualizaciones, y qué hacer si ya has introducido tu frase semilla.

Qué es el phishing cripto: un engaño con identidad ajena

El phishing es un fraude en el que los delincuentes se hacen pasar por un remitente de confianza para obtener credenciales o dinero. El término es un juego de palabras con el inglés «fishing», es decir, pescar: el cebo parece auténtico, pero lo que buscan es tu acceso. Con las criptomonedas el daño suele ser definitivo, porque una transacción en la blockchain no se puede revertir. Un banco puede, en determinadas circunstancias, recuperar una transferencia. Con bitcoin, ether o las stablecoins no existe esa instancia.

En el phishing cripto los estafadores buscan tres tipos de acceso:

• La frase semilla: las 12 o 24 palabras con las que se puede restaurar cualquier wallet. Quien las conoce es dueño de las monedas.
• La firma: una autorización en tu wallet con la que permites a un smart contract retirar tokens de tu dirección.
• La cuenta del exchange: correo electrónico, contraseña y código de doble factor con los que los atacantes entran en tu exchange y ordenan un retiro.

En la red de Bitcoin o en cualquier otra blockchain no se hackea nada. La blockchain funciona correctamente y solo ejecuta lo que se ha ordenado con una firma válida. Eso es justo lo que hace tan eficaz el phishing: el ataque se dirige contra la persona, no contra la tecnología.

Wallet drainers y firmas Permit: dónde se perdió más dinero por phishing cripto en 2025

Un wallet drainer es un programa de estafa listo para usar que los delincuentes alquilan e insertan en webs falsas. Si conectas tu wallet a una de esas páginas y confirmas la solicitud que aparece, el script vacía todos los tokens autorizados. Las páginas copian hasta el último detalle campañas reales de airdrops, proyectos NFT o plataformas DeFi.

Scam Sniffer ha desglosado con precisión qué firmas resultaron más caras en 2025. El mayor caso individual costó 6,5 millones de dólares en septiembre y se produjo mediante una firma Permit. Permit es una función de los tokens en Ethereum y redes compatibles con la que concedes un permiso de gasto con una simple firma, sin que aparezca una transacción propia en la blockchain. Once casos superaron en 2025 el millón de dólares, con 22,98 millones en total. Entre ellos hubo tres casos Permit por 8,72 millones de dólares y dos a través del nuevo formato de Ethereum EIP-7702, que desde la actualización Pectra permite autorizaciones en lote.

El trimestre más caro fue el tercero, con 31,04 millones de dólares, y el más tranquilo el cuarto, con 13,09 millones. En el cuarto trimestre cada víctima perdió de media 580 dólares. Las cifras solo recogen ataques de drainers a través de páginas de phishing. Las frases semilla robadas en chats de soporte falsos o en llamadas no aparecen, así que el daño real es mayor.

En la práctica, una solicitud que mencione «Permit», «Approve», «setApprovalForAll» o una cantidad ilimitada de tokens es una señal de alarma en una web desconocida. No confirmes nada que no entiendas palabra por palabra. Cómo funciona el phishing de firmas en las wallets DeFi lo explicamos en detalle en nuestra guía sobre la wallet DeFi del 13 de noviembre.

Correos de phishing de exchanges y wallets: las señales de alarma según el BSI

Los correos de phishing son el clásico. Según el informe federal alemán sobre cibercrimen de 2025, el centro de consumidores de Renania del Norte-Westfalia registró el año pasado 382.470 correos de phishing en Alemania, alrededor de un 10 % menos que el año anterior. Los exchanges cripto y los fabricantes de wallets son un objetivo muy buscado, porque sus clientes poseen activos que se pueden aprovechar de inmediato.

La Oficina Federal de Seguridad de la Información de Alemania (BSI) enumera señales de alarma típicas que se trasladan directamente a los correos cripto:

• El texto alega que hay que actuar con urgencia, por ejemplo por un supuesto bloqueo de la cuenta o un problema de seguridad.
• El correo amenaza con consecuencias si no respondes.
• El mensaje te pide introducir datos confidenciales o seguir un enlace.
• La petición resulta extraña para ese remitente, por ejemplo cuando un fabricante de wallets te pide «verificar» tus palabras.
• Detrás del nombre de remitente que se muestra hay otra dirección de correo.

Dos viejas reglas ya no sirven. Un texto sin faltas no prueba nada, porque con herramientas de IA los estafadores escriben hoy mejor que antes. Y un «https://» en la barra de direcciones no es, según el BSI, motivo para bajar la guardia, ya que cualquier página de phishing puede obtener ese certificado. Fíjate en el dominio exacto: números raros, guiones o terminaciones como .cam o .support detrás de una marca conocida son una clara señal de alarma. Un ejemplo reciente es la web falsa de la que informamos en el artículo sobre el phishing de Trust Wallet.

Falso soporte por teléfono: ningún proveedor de wallets llama por tu frase semilla

La segunda gran estafa es el falso soporte. Un supuesto empleado de atención al cliente te contacta por teléfono, por mensajería o por mensaje directo en redes sociales después de que hayas contado un problema en público, o sin motivo alguno. Suena competente, a veces conoce tu nombre y tu pedido gracias a una filtración de datos anterior y te presiona para «poner a salvo» tus monedas cuanto antes.

Ledger afirma expresamente en su página de avisos sobre campañas de phishing que nunca contacta a los usuarios por SMS ni por llamada telefónica y que tampoco envía mensajes directos en redes sociales. Si te llaman, Ledger recomienda colgar de inmediato e ignorar cualquier nuevo intento de contacto. Lo mismo vale, en esencia, para cualquier exchange o proveedor de wallets serio: el contacto parte de ti, a través de la app oficial o de la web que tú mismo tecleas.

Frases típicas del falso soporte son: «Tu cuenta ha sido comprometida, tenemos que mover las monedas a una dirección segura» o «Léeme las primeras palabras de tu frase para confirmar». No existe ningún exchange que te pida transferir monedas a una dirección nueva que alguien te dicta por teléfono. Cómo usan los delincuentes los datos de clientes procedentes de filtraciones para este tipo de llamadas y correos lo resumimos en septiembre en una guía propia sobre el phishing tras una filtración de datos.

Falsas actualizaciones de firmware y apps de wallet: phishing cripto que solo se evita con la app del fabricante

Las wallets de hardware se consideran la forma más segura de custodia, y precisamente por eso los estafadores van a por sus dueños. El método: un correo o una ventana emergente anuncia una actualización de firmware urgente y lleva a una página de descarga copiada. El programa falso pide entonces la frase de recuperación, supuestamente para volver a configurar la wallet tras la actualización.

Ledger aclara que no envía correos en los que pida a los usuarios actualizar el firmware, activar la verificación en dos pasos o dar pasos similares. Además, el fabricante advierte de versiones falsas de su app Ledger Wallet (antes Ledger Live), que a primera vista pueden resultar muy convincentes. La empresa de seguridad SlowMist detectó en octubre un ejemplo de estas páginas con una comprobación de autenticidad imitada; lo contamos en el artículo sobre las falsas actualizaciones de Ledger.

La regla es sencilla: las actualizaciones de firmware llegan solo a través de la app oficial del fabricante, instalada desde la tienda de aplicaciones oficial o desde la web del fabricante que tú mismo has tecleado. Según Ledger, la frase de recuperación no se introduce en ningún sitio salvo directamente en el propio dispositivo. Un programa en el ordenador o en el móvil que te pida las palabras es un intento de estafa.

Phishing por carta y código QR: el correo postal como nuevo canal

Los estafadores recurren ya también al correo postal de toda la vida. Los dueños de wallets de hardware reciben cartas en papel con membrete falsificado que anuncian una revisión obligatoria o una actualización de seguridad. Un código QR impreso lleva a una página de phishing que pide la frase semilla. Ledger menciona expresamente en su página de avisos el correo físico que invita a escanear un código QR o a visitar una web.

La carta parece más creíble que cualquier correo electrónico, porque incluye bien el nombre y la dirección. Esos datos proceden a menudo de filtraciones anteriores en comercios y proveedores de servicios. Describimos el desarrollo de una de estas campañas en la guía sobre el phishing de wallets por carta. Una carta que te pida introducir tus palabras en una web es siempre un fraude, sea cual sea el remitente o el membrete.

Pig butchering y recovery scam: cuando la estafa de inversión cripto se mezcla con el phishing

No todo engaño apunta de inmediato a la frase semilla. En el pig butchering (algo así como «matanza del cerdo»), los estafadores se ganan tu confianza durante semanas, a menudo a través de apps de citas, mensajería o mensajes supuestamente enviados por error. Más tarde recomiendan una plataforma de trading que parece real, muestra ganancias y, a la hora de retirar, exige de repente comisiones o «impuestos». Esta forma de estafa de inversión cripto usa las mismas herramientas que el phishing: webs falsas, identidades falsas y presión de tiempo.

Especialmente retorcido es el recovery scam: quien ya ha perdido dinero recibe ofertas de supuestos servicios de recuperación o de supuestos organismos supervisores. Las autoridades reales no cobran una tarifa por adelantado ni piden credenciales para recuperar criptoactivos.

Si un proveedor tiene autorización lo compruebas tú mismo en el registro de la autoridad europea de valores, la ESMA. Desde el reglamento cripto MiCA, los proveedores de servicios de criptoactivos necesitan una licencia en la UE; los detalles están en nuestro resumen sobre la licencia MiCA. Una plataforma que no aparece en ningún registro queda descartada para tus inversiones.

Comprobar el dominio y usar marcadores: medidas de protección contra el phishing cripto

La mejor protección son hábitos que configuras una vez y luego ya no cuestionas. Lo primero es el camino hasta el exchange: abre exchanges, wallets y aplicaciones DeFi solo desde un marcador que hayas creado tú o desde la app oficial, nunca desde un enlace de un correo, un anuncio en el buscador o un mensaje.

• Doble factor con app o llave de seguridad: los códigos por SMS se pueden interceptar a través de un número de teléfono secuestrado. Una app de autenticación o una llave física es más robusta.
• Código antiphishing en el exchange: muchos exchanges permiten un código personal que aparece en cada correo auténtico. Si falta, el correo no viene del exchange.
• Lista blanca de retiros: establece que los retiros solo vayan a direcciones confirmadas de antemano. Así, ni siquiera con tu contraseña podrán los atacantes retirar fondos a cualquier dirección.
• Wallets separadas: ten una wallet pequeña para experimentar con nuevas webs DeFi y airdrops y guarda la mayor parte aparte en una wallet de hardware que nunca se conecte a páginas desconocidas.
• Revoca autorizaciones con regularidad: las autorizaciones de tokens antiguas siguen activas hasta que las retiras. Los exploradores de bloques y las apps de wallet te muestran las que siguen abiertas.
• Compara las direcciones completas: en el address poisoning, los estafadores envían importes diminutos desde una dirección que se parece al principio y al final a tu dirección de destino real. Quien copia la dirección del historial envía el dinero a la dirección equivocada.

Si usas una wallet de software en el móvil, conviene además elegir un proveedor con aviso integrado de páginas de phishing conocidas y vista previa de transacciones. Qué apps lo ofrecen lo cuenta nuestra comparativa de wallets de software.

Frase semilla expuesta: las primeras horas tras un ataque de phishing cripto

Si has introducido tus palabras en una web ajena o se las has dicho a alguien por teléfono, cada minuto cuenta. Los estafadores suelen vaciar las wallets de forma automática, aunque a veces esperan horas o días para aprovechar nuevos depósitos. Lo sensato ahora es este orden:

1. Crear una wallet nueva: configura en un dispositivo limpio una wallet nueva con una frase semilla nueva. En una wallet de hardware, restableces el dispositivo y generas palabras nuevas.
2. Mover de inmediato lo que quede: transfiere todo lo que siga ahí a la nueva dirección. La frase antigua está quemada y no se vuelve a usar nunca.
3. Revocar autorizaciones: si confirmaste una firma en una web drainer pero no revelaste la frase, revoca la autorización en el explorador de bloques. Cuesta una pequeña comisión de red.
4. Proteger las cuentas de exchange: cambia la contraseña y los ajustes de doble factor, cierra todas las sesiones e informa al soporte del exchange a través de su web oficial.
5. Guardar pruebas: conserva correos, conversaciones de chat, la dirección de la web de phishing y los ID de transacción.

No hay ninguna garantía de recuperar las monedas robadas. Pero los importes grandes acaban a menudo en exchanges que pueden congelar cuentas a raíz de avisos de los investigadores. Cuanto antes estén disponibles los ID de transacción, mayores son las opciones.

Denuncia y aviso tras el phishing cripto: policía y centro de consumidores

Tras una estafa cripto, presentas denuncia ante la policía; en Alemania se puede hacer en todos los estados federados también a través de la comisaría online. Según el informe federal, la policía alemana registró en 2025 unos 334.000 casos de cibercrimen, y la cifra oculta es bastante mayor. Cada denuncia ayuda a reconocer patrones y a bloquear cuentas de los autores.

Los correos sospechosos sin daño puedes reenviarlos al radar de phishing del centro de consumidores de Renania del Norte-Westfalia (phishing@verbraucherzentrale.nrw). Allí aparecen también avisos actuales sobre campañas en curso. En caso de daños mayores, un abogado especializado en mercado de capitales puede comprobar si un exchange o un banco implicado es responsable. Los despachos serios no prometen de antemano ningún porcentaje de recuperación.

Si has detectado un correo de phishing o una llamada fraudulenta sin introducir nada, la cosa es sencilla: bórralo, no contestes y no abras ningún enlace. Una respuesta solo confirma a los estafadores que la dirección está activa.

Phishing cripto: tu frase semilla nunca va en un formulario

Casi todas las estafas cripto con phishing acaban en el mismo punto: alguien quiere tus palabras, tu contraseña o tu firma. Tres pasos te convierten en un objetivo mucho más difícil:

1. Separar la custodia: guarda la mayor parte de tus monedas en una wallet de hardware que nunca se conecte a webs desconocidas. Encontrarás dispositivos con pantalla propia en la comparativa de carteras hardware.
2. Elegir una wallet diaria con funciones de protección: para importes pequeños y DeFi sirve una app con vista previa de transacciones y aviso de phishing. Las diferencias las muestra la comparativa de wallets de software.
3. Operar solo en exchanges autorizados: un exchange con licencia MiCA está supervisado, y muchos ofrecen además código antiphishing y lista blanca de retiros. Qué proveedores están autorizados lo recoge la comparativa de exchanges cripto regulados.

(14 de noviembre de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)