Phishing cripto tras una filtración de datos: las señales de alerta del correo falso de un exchange

El phishing cripto se reconoce casi siempre en el mismo punto: en lo que el mensaje quiere de ti. Un exchange de criptomonedas auténtico nunca te pide tu frase semilla, nunca tu clave privada y nunca el código de tu aplicación de autenticación. Todo correo, todo SMS y todo mensaje por redes sociales que solicite una de esas tres cosas es un intento de estafa, por muy auténticos que parezcan el remitente y el diseño. Todo lo demás en este texto es el oficio con el que aplicas esa única frase de forma fiable en el día a día.

El motivo de esta guía es la situación del final del verano de 2026. Las grandes fugas de datos en proveedores financieros y fabricantes de monederos han hecho que los delincuentes ya no tengan que lanzar sus mensajes a ciegas. Conocen el nombre, la dirección, el número de teléfono y en ocasiones incluso el saldo de sus víctimas. El envío masivo y burdo se convierte así en un mensaje personalizado que convence a primera vista. El monitor de ciberseguridad 2026 de la Oficina Federal alemana de Seguridad de la Información cuantifica lo extendido que está: el once por ciento de los usuarios de internet sufrió un delito en la red solo durante el año anterior, en el doce por ciento de los casos se trató de phishing, y un tercio de todos los afectados informa de pérdidas económicas.

Qué distingue el phishing cripto del correo basura corriente

El phishing es el intento de moverte, mediante un mensaje falsificado, a entregar tus credenciales de acceso o a realizar un pago. El término procede del inglés fishing: el mensaje es el cebo y tu cuenta es la captura. El correo basura quiere venderte algo y te cuesta tiempo. El phishing quiere tu acceso y te cuesta dinero.

En el ámbito cripto el problema se agrava por una razón técnica. Una transferencia bancaria puede recuperarse en determinadas circunstancias, y un recibo domiciliado se devuelve sin más. Una transacción en una cadena de bloques pública es definitiva en cuanto queda confirmada. No existe ninguna instancia que la revierta, ni en Bitcoin ni en Ethereum. Quien ha firmado una vez lo que no debía ya no negocia, solo cuenta los daños. Por eso el phishing resulta tan rentable para los delincuentes en las criptomonedas y tan caro para ti.

A ello se suma una segunda particularidad. En un banco, los estafadores necesitan tus credenciales. En un monedero autocustodiado basta a menudo con tu firma al pie de una autorización de aspecto inofensivo. Ambas vías exigen contramedidas distintas, y este texto las trata por separado.

Por qué una filtración de datos en un proveedor desencadena correos de phishing en nombre de exchanges de criptomonedas completamente distintos

Una filtración de datos es la salida involuntaria de datos de clientes del sistema de un proveedor. Para ti, como usuario, lo decisivo es qué datos han salido. Si son copias de documentos de identidad, direcciones, números de teléfono y listados de transacciones, tus monedas están de momento a salvo, porque esos datos no abren ningún monedero. Solo se vuelven peligrosos como materia prima para el paso siguiente.

Porque quien sabe que eres cliente de un proveedor cripto, cómo te llamas y dónde vives, puede dirigirse a ti de forma creíble. Y no está limitado al proveedor en el que se originó la fuga. Una lista de clientes cripto alemanes sirve para cualquier treta: para la falsa advertencia de seguridad de un exchange totalmente distinto, para la supuesta llamada a revisión de un fabricante de monederos, para la llamada de un departamento antifraude inventado. Ese es el mecanismo que muchos subestiman. La fuga en un proveedor financia la oleada de phishing en nombre de todos los demás.

Un ejemplo de nuestra propia cobertura: el 12 de septiembre de 2026 describimos cómo pueden comprobar los clientes si les afecta la fuga de datos de Revolut. Según la información disponible entonces, quedaron expuestas copias de documentos de identidad, selfis de verificación, IBAN y listados completos de transacciones. Ninguno de esos campos es una contraseña. Aun así, justamente ese conjunto de datos fue la base de los correos dirigidos de forma personal que circularon en las semanas siguientes. El mismo desarrollo lo vimos en el verano de 2026 en varios fabricantes de monederos de hardware, cuyas direcciones de clientes salieron a través de una empresa de mensajería.

Señales típicas de phishing: siete avisos en el propio mensaje

Las señales de alerta que siguen proceden de los casos que nos han llegado a nosotros y a las organizaciones de consumidores durante 2026. Ninguna de ellas es por sí sola una prueba. Si se cumplen dos o más, trata el mensaje como una estafa.

1. La presión de tiempo. Un plazo de pocas horas, un bloqueo supuestamente inminente, un pago que de lo contrario caduca. Los proveedores serios conceden semanas y envían recordatorios.
2. Una gestión que solo funciona a través del enlace adjunto. Los asuntos auténticos siempre pueden resolverse escribiendo tú mismo la dirección del exchange e iniciando sesión allí.
3. La petición de un secreto. Frase semilla, clave privada, contraseña o los seis dígitos de la aplicación de autenticación. Enseguida volvemos sobre ello.
4. Una dirección de retirada que no has registrado tú. Si en el correo aparece una dirección de monedero a la que deberías transferir tus fondos «para ponerlos a salvo», el asunto está zanjado.
5. Un archivo adjunto. Los exchanges de criptomonedas entregan los informes fiscales y los extractos desde la cuenta con sesión iniciada, no como archivo en tu bandeja.
6. La dirección de correo equivocada en el campo del destinatario. Si el mensaje llega a una dirección con la que no tienes cuenta en ese proveedor, se ha enviado desde un conjunto de datos comprado.
7. Una oferta demasiado buena. Indemnizaciones por pérdidas de cotización, rentabilidades garantizadas, un airdrop para el que solo tendrías que firmar una autorización.

Lo que en cambio ya no puedes usar como señal de alerta son las faltas de ortografía y un diseño torcido. Los mensajes de 2026 son impecables en el idioma y exactos al píxel en su apariencia. Quien busca erratas busca en el sitio equivocado. Hasta dónde llega esto lo describimos a propósito de una falsa advertencia de seguridad que circuló por el verdadero canal de envío del fabricante y superó todas las comprobaciones técnicas de autenticidad.

Cómo comprobar si un enlace es phishing sin hacer clic en él

La prueba más fiable te cuesta diez segundos y consiste en no usar el enlace en absoluto. Abre en su lugar el exchange o la aplicación del monedero como haces siempre, desde tu propio marcador o desde la aplicación instalada. Si allí aparece el mismo aviso, el correo era auténtico. Si no aparece, tienes tu respuesta sin haber arriesgado nada.

Si aun así quieres juzgar el enlace, fíjate en el tramo situado justo antes de la primera barra suelta. Ese es el dominio real. Todo lo que va delante puede ser inventado. Una dirección de la forma nombredelexchange.seguridad-acceso.example no pertenece al exchange, sino a quien explota seguridad-acceso.example. Los delincuentes recurren además a caracteres de aspecto parecido y a guiones adicionales. En el móvil, una pulsación larga sobre el enlace muestra la dirección de destino sin abrirla.

Dos añadidos para el día a día cripto. Primero: un certificado y el símbolo del candado en el navegador solo dicen que la conexión está cifrada. Las páginas fraudulentas lo tienen igual. Segundo: si se te ofrece conectar el monedero antes incluso de haber leído nada, cierra la página. Los proveedores serios solicitan la conexión únicamente cuando has iniciado una acción concreta.

Qué datos no pide nunca por correo un exchange de criptomonedas

Tres datos son absolutos. Un proveedor serio no los solicita bajo ninguna circunstancia, ni por correo, ni por teléfono, ni en el chat del servicio de atención.

La frase semilla es la frase de recuperación de tu monedero, habitualmente doce o veinticuatro palabras en un orden fijo. A partir de ella puede volver a calcularse cualquier clave privada de tu monedero. Quien la tiene, tiene tus monedas, de inmediato y sin ningún paso adicional. Ningún fabricante, ningún servicio de atención y ninguna autoridad la necesita jamás. La clave privada es el valor criptográfico con el que una dirección concreta firma transacciones; para ella vale lo mismo. El código de doble factor de tu aplicación de autenticación tiene treinta segundos de validez y existe precisamente para que nadie salvo tú lo conozca. Quien te lo pide está sentado en ese preciso momento ante el formulario de acceso de tu exchange.

Un cuarto dato es más delicado porque parece inofensivo: la captura de pantalla como prueba. Un supuesto servicio de atención te pide que envíes una captura de tu cuenta o de la interfaz de tu monedero. De ahí los delincuentes leen saldos, redes utilizadas y a veces partes de direcciones, y con ello construyen el mensaje siguiente, todavía más creíble. No envíes capturas de pantalla a quien te haya contactado primero.

Falso soporte y vaciadores de monedero: las tretas que convierten los datos filtrados en dinero

En la práctica, de un conjunto de datos nacen cuatro tretas que conviene distinguir, porque cada una exige una defensa distinta.

El falso soporte. Recibes una llamada o un mensaje del supuesto departamento de seguridad de tu exchange. Conocen tu nombre y tu último ingreso, y mencionan una retirada sospechosa que nunca ocurrió. La solución que te ofrecen es siempre la misma: un código que deberías leer en voz alta, o una transferencia a una «cuenta de custodia segura». Cuelga y devuelve la llamada al número que figura en la web del proveedor.

La página de acceso falsificada. El clásico de los ataques de phishing. El enlace lleva a una copia del exchange, lo que escribes acaba en manos de los delincuentes, y estos lo usan para entrar en tiempo real en la cuenta auténtica. La única protección fiable es un segundo factor que no pueda transmitirse: una clave de acceso o una llave de seguridad ligada al dominio verdadero, que sencillamente no funciona sobre una copia.

El vaciador de monedero. Esta treta apunta a tu firma y no a tu contraseña. Llegas a una página, conectas tu monedero y confirmas una autorización. Los contratos inteligentes pueden estar diseñados de modo que esa única autorización permita a un contrato ajeno retirar tus tokens en cualquier momento. El monedero no te muestra entonces ningún importe, sino un permiso técnico, y con eso cuentan justamente los delincuentes. Lee en cada firma qué permiso se concede, e interrumpe si no lo entiendes.

La falsa llamada a revisión o sustitución. Especialmente popular tras las fugas en fabricantes de hardware. Te ofrecen sustituir gratis tu dispositivo, y el nuevo llega con una frase de recuperación ya preparada. Un dispositivo que te entrega una frase semilla hecha ha sido manipulado siempre. Un monedero auténtico genera la frase durante la configuración, delante de ti.

Estafas cripto más allá del phishing: con qué no debes confundir esta treta

Quien quiera reconocer un fraude cripto debe distinguir las estafas más habituales, porque exigen contramedidas distintas. El phishing se apodera de un acceso que ya posees. Las demás tretas extendidas confían en que ingreses voluntariamente dinero nuevo.

En el fraude de inversión, los estafadores construyen durante semanas una relación, casi siempre por mensajería o por portales de citas, y conducen al inversor a una plataforma de negociación inventada con cifras al alza. La primera retirada pequeña funciona y crea confianza; después aumentan las cantidades exigidas, y al final el supuesto proveedor reclama una comisión antes siquiera de pagar nada. En el rug pull, el equipo de un token recién lanzado desaparece junto con los fondos recaudados. En el falso sorteo, un perfil secuestrado promete duplicar la cantidad si antes envías algo a una dirección indicada.

La frontera entre ambos mundos es difusa, porque las mismas tácticas se apoyan en los mismos conjuntos de datos filtrados. Por eso la prudencia incluye una regla sencilla: en el phishing alguien quiere de ti algo que ya tienes. En el fraude de inversión alguien te promete algo que no existe. Los dos métodos terminan en la misma cadena de bloques, y en ambos casos el riesgo de pérdida total es real.

Justo después del clic: qué cuenta en la primera hora

Supongamos que ya ha ocurrido. Has hecho clic en el enlace, has introducido datos o has firmado una autorización. Entonces decide el orden de los pasos, y no la rapidez por sí sola.

1. Corta el acceso. Si has introducido credenciales, cambia la contraseña del exchange desde otro dispositivo y cierra todas las sesiones activas. Según el proveedor, esta función se llama «gestionar dispositivos» o «sesiones activas».
2. Mueve el saldo si hay un monedero afectado. Si has firmado una autorización, cambiar la contraseña no sirve de nada. Traslada los fondos restantes a un monedero recién creado con una frase semilla nueva. El monedero antiguo queda quemado a partir de ese momento.
3. Revoca los permisos concedidos. En las redes con contratos inteligentes puedes retirar las autorizaciones existentes. Eso no sustituye al segundo paso, pero impide nuevas salidas mientras terminas la mudanza.
4. Asegura las pruebas. Haz capturas del mensaje con las cabeceras completas y anota las transacciones con hora y dirección. Sin esa documentación, una denuncia no llega lejos.
5. Presenta denuncia e informa al proveedor. La denuncia se presenta en cualquier comisaría o en línea en el portal de denuncias de tu región. El proveedor puede marcar las direcciones receptoras si los fondos acaban en un exchange regulado.

A las expectativas pertenece una verdad incómoda: la vía de recuperación es estrecha. En la práctica solo existe si los importes robados llegan a una plataforma regulada con verificación de identidad y se congelan allí con suficiente rapidez. Cuanto más esperes, menos probable será.

Monedero de hardware, claves de acceso y listas de retirada: qué le quita valor al phishing de forma duradera

Las medidas más eficaces son las que dejan sin consecuencias un intento de estafa logrado, en lugar de obligar a detectarlo. Tres de ellas valen la pena para cualquiera que mantenga más de unos cientos de euros en criptomonedas.

Un monedero de hardware guarda la clave privada en un dispositivo que nunca habla con internet. Cada transacción debe confirmarse en el propio aparato pulsando un botón, y la pantalla muestra entonces el destinatario y el importe. Una página falsificada puede fingir mucho, pero no puede pulsar ese botón. Qué distingue a unos dispositivos de otros y en qué fijarse al comprar lo hemos reunido en nuestra comparativa de monederos de hardware. Compra un aparato así exclusivamente al fabricante de forma directa.

Una clave de acceso o una llave de seguridad sustituye el código de la aplicación de autenticación por un procedimiento ligado al dominio auténtico. En una página de acceso reconstruida sencillamente no se genera ninguna respuesta válida. Con ello desaparece la treta más frecuente contra las cuentas de los exchanges. Comprueba en los ajustes de seguridad de tu exchange si se ofrece, y actívalo antes de necesitarlo.

Una lista de direcciones de retirada autorizadas es el ajuste más subestimado que existe. Muchos exchanges de criptomonedas te permiten autorizar retiradas solo hacia direcciones registradas previamente, con un tiempo de espera de uno o dos días para cada dirección nueva. Incluso quien se haga con tu cuenta no llega entonces de inmediato a tu dinero, y tú tienes tiempo de reaccionar.

Para el día a día valen además algunos complementos: una dirección de correo propia solo para las cuentas cripto, un gestor de contraseñas con una contraseña distinta por proveedor, y ningún importe en criptomonedas a la vista en perfiles públicos de redes sociales. Quien no es identificable como tenedor figura en menos listas.

Cómo reconocer a un proveedor autorizado, y por qué eso ayuda contra el phishing

Desde el reglamento europeo de criptoactivos MiCA, los proveedores que se dirigen a clientes particulares en la Unión Europea necesitan una autorización, concedida y supervisada en Alemania por la BaFin. Para ti eso supone una protección frente al phishing por dos razones. Primero, el supervisor publica la lista de empresas autorizadas; quien no figure en ella no es candidato a recibir tu dinero. Segundo, los proveedores autorizados tienen reglas fijas para su comunicación con los clientes, lo que reduce el número de vías permitidas y las hace por tanto verificables. Qué obligaciones rigen en este terreno lo clasificamos de forma continua en nuestro panorama de la licencia MiCA.

La treta que se engancha a esto la conocemos ya desde 2025: los estafadores se hacen pasar por un proveedor sin autorización que supuestamente debe pedir a sus clientes europeos que retiren sus fondos. Cómo puede comprobarse una petición así lo describimos en una guía propia sobre las peticiones de retirada tras la fecha límite de MiCA. La vía de comprobación es la misma que en este texto: nunca por el enlace del mensaje, siempre por el acceso que has abierto tú.

Denunciar el phishing: organizaciones de consumidores, proveedor y autoridades

Un aviso te sirve de poco a ti y de mucho a todos los demás, porque las oleadas identificadas se bloquean antes. Tres direcciones valen la pena.

Las organizaciones alemanas de consumidores mantienen un buzón colectivo para mensajes sospechosos y publican de forma continua las tretas detectadas en su radar de phishing. Echar un vistazo allí merece la pena también de forma preventiva, cuando un mensaje te resulte extraño. El proveedor en cuyo nombre se envió el correo tiene casi siempre su propia dirección para denunciar abusos; figura en su sección de ayuda. Y la policía recibe denuncias en línea a través de los portales regionales, también cuando todavía no se ha producido ningún daño.

Phishing cripto: qué debes llevarte de aquí

1. Revisa hoy tus ajustes de seguridad, y no tras la próxima filtración. Pasar el segundo factor a una clave de acceso, activar la lista de retirada, cerrar las sesiones antiguas. Si tu proveedor ofrece siquiera todo esto lo ves en nuestra comparativa de exchanges de criptomonedas regulados.
2. Saca la clave del navegador. Quien mantiene fondos a largo plazo los custodia en un dispositivo con confirmación física. Las diferencias y los precios los encuentras en la comparativa de monederos de hardware.
3. Separa el día a día del almacén. Un monedero de software pequeño para compras y autorizaciones, y una dirección aparte, sin ninguna autorización de contrato, para los fondos. Qué monederos de software sirven para eso está en la comparativa de monederos de software.

(20 de septiembre de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)