Phishing de Trust Wallet: una web falsa .cam también apunta a Phantom y OKX Wallet

El phishing de Trust Wallet tiene una nueva dirección: la web falsa trastwallet[.]cam se hace pasar por Trust Wallet y te pide que conectes tu cartera. La dirección auténtica es trustwallet.com. Quien no compara las dos direcciones letra por letra acaba en una página cuyo código lee los saldos y prepara transferencias a destinatarios fijados de antemano. El fundador de Binance, Changpeng Zhao, alertó públicamente el 5 de noviembre con una frase escueta: «.cam is not .com».

Para ti, como inversor en criptomonedas en Alemania, esto es algo más que una anécdota del sector. Según el análisis, la web no solo apunta a Trust Wallet, sino también a Phantom y OKX Wallet. Eso abarca a los usuarios de las tres carteras de software más extendidas para Ethereum, BNB Chain y Solana. Si usas alguna de estas aplicaciones, conviene que sepas cómo reconocer la falsificación y qué puedes hacer si ya has pulsado «Conectar». Tienes un resumen de aplicaciones fiables en nuestra comparativa de carteras de software.

Phishing de Trust Wallet: lo que se sabe de la web trastwallet[.]cam

La web la descubrió el investigador de seguridad Anurag, que publica en X con el nombre de Malwarehunter. Según la fuente, la encontró el 4 o el 5 de noviembre. Publicó capturas de pantalla y fragmentos del código JavaScript de la página, y Zhao compartió los hallazgos con sus seguidores poco después. El portal especializado crypto.news describió el análisis en detalle.

La página lleva el título «Review your wallet transfers», que viene a ser «Revisa las transferencias de tu cartera». Muestra un diseño en forma de tarjeta y un gran botón para conectar la cartera. Supuestamente, un servicio automático revisa tus transferencias, con un límite por activo de 1 a 5.000 dólares, comisiones de red y una autorización de la cartera. Trust Wallet no ofrece ningún servicio de ese tipo. La puesta en escena solo sirve para explicar por qué deberías conectar tu cartera.

Un dato importante para situar el caso: cuando el investigador examinó la web, la función de firma estaba desactivada. El código contenía todas las piezas para un robo, pero en esa versión no podía hacer que se ejecutaran las transacciones preparadas. No está claro si los operadores aún estaban haciendo pruebas o pensaban activar la función más adelante. Hasta ahora no hay constancia de importes robados atribuibles con claridad a esta web.

Trust Wallet es desde hace tiempo un objetivo habitual

Trust Wallet es una de las carteras de software más utilizadas y, por eso, sirve a menudo de modelo para falsificaciones. En diciembre de 2025, la versión 2.68 de su extensión para Chrome contenía código malicioso; los usuarios perdieron entonces unos 7 millones de dólares y Zhao prometió una compensación. El 28 de octubre de 2026, la propia Trust Wallet advirtió además de una web falsa de tarjeta cripto que no tiene nada que ver con la empresa. Cómo se comporta la cartera en el día a día lo cuenta nuestra opinión sobre Trust Wallet.

Typosquatting: una letra cambiada y la terminación .cam en lugar de .com

El truco detrás de la dirección se llama typosquatting. Se trata de un dominio que se parece mucho a una dirección conocida y se aprovecha de las erratas o de una lectura apresurada. En trastwallet[.]cam hay dos diferencias en el nombre: la «u» de «trust» se convierte en una «a», y la terminación .com pasa a ser .cam. En la pequeña pantalla de un móvil ninguna de las dos llama la atención, sobre todo si pulsas un enlace recibido en un mensaje y ni siquiera lees la barra de direcciones.

La terminación .cam es un dominio de primer nivel normal que cualquiera puede registrar. A la vista se parece a .com, pero no tiene nada que ver con Trust Wallet. Los estafadores aplican el mismo principio con guiones («trust-wallet-support»), añadidos como «-fix» o «-verify» y subdominios en los que la marca auténtica aparece delante y el dominio real solo al final. Lo decisivo es siempre la parte situada justo antes de la primera barra simple, es decir, el dominio registrado con su terminación.

Una protección que funciona de forma fiable: no abras nunca webs de carteras desde enlaces, sino solo desde un marcador que hayas creado tú mismo o directamente en la aplicación instalada. Los anuncios de los buscadores tampoco son una vía segura, porque en ellos aparecen una y otra vez webs falsas de carteras.

Wallet drainer: cómo el script lee los saldos y prepara las transferencias

Técnicamente, la web pertenece a la familia de los wallet drainers. Un wallet drainer es un programa alojado en una página web que, tras conectar tu cartera, lee tus saldos y te presenta para firmar transacciones que envían tus monedas y tokens a los atacantes. Según el análisis, el código de trastwallet[.]cam tiene exactamente esas dos partes: una interfaz que consulta los saldos y un archivo que establece la conexión con Trust Wallet, Phantom y OKX Wallet.

El proceso es casi siempre el mismo en este tipo de webs. Primero conectas la cartera y la web ve tu dirección pública. Después lee qué monedas y tokens hay en esa dirección y los ordena por valor. A continuación aparece en tu cartera una solicitud de firma, a menudo disfrazada de «revisión», «confirmación» o «activación». Quien firma autoriza la transferencia a las direcciones de destino fijadas en el código. Que la web admita varias carteras y analice los saldos de antemano indica que los operadores quieren escoger las cuentas más rentables.

Conectar la cartera y firmar una transacción son dos permisos distintos

Muchos usuarios creen que conectar la cartera ya es el paso peligroso. Eso solo es cierto en parte. Al conectarla sin más, revelas a la web tu dirección pública, una información que cualquiera puede consultar en un explorador de blockchain. Con ella, la web todavía no puede mover nada. Es molesto, porque los operadores ya saben qué dirección merece la pena, pero aún no supone una pérdida.

El peligro llega con la firma. Una firma es tu rúbrica digital en una transacción o un mensaje, generada con tu clave privada. En Ethereum y BNB Chain puede tratarse de una autorización de tokens, un approval, con el que permites a un smart contract ajeno mover tokens de tu cartera. En Solana, varias transferencias pueden agruparse en una sola transacción. Desde la actualización Pectra de Ethereum existe además otra variante, la delegación según EIP-7702, que vincula temporalmente tu dirección a código ajeno. Qué hay que tener en cuenta lo explica nuestro artículo sobre la delegación EIP-7702.

La regla práctica: lee cada solicitud de firma antes de confirmar. Si tu cartera muestra una transferencia, una autorización ilimitada o un aviso sobre un contrato desconocido cuando solo querías «revisar» algo, cancela. Una web que supuestamente solo revisa transferencias no necesita tu firma.

Frase semilla y clave privada: ninguna web auténtica de carteras las pide

La segunda gran variante del phishing de carteras funciona sin firma. La falsificación te pide que conectes o «restaures» tu cartera «manualmente» y muestra para ello campos para introducir la frase semilla o la clave privada. La frase semilla, también llamada frase de recuperación, es la lista de 12 o 24 palabras de la que se derivan todas las claves de tu cartera. Quien la conoce posee tus monedas, da igual en qué dispositivo la introduzca.

La propia Trust Wallet subraya que nunca pide tu frase de recuperación, ni en la aplicación ni por correo electrónico. Lo mismo vale para Phantom, OKX Wallet y cualquier otro proveedor serio de carteras de autocustodia. Autocustodia significa que solo tú tienes las claves y ninguna empresa las guarda por ti. Precisamente por eso ningún agente de soporte puede sustituir una frase perdida ni recuperar una transferencia. Por qué la frase de recuperación nunca debe ir a la nube ni a un campo del navegador lo explicamos en nuestro artículo sobre los tres errores más habituales al configurar Trust Wallet.

Cómo reconocer una falsificación por su forma de actuar

• La web genera prisa, por ejemplo con una supuesta brecha de seguridad, un bloqueo o un plazo.
• La web pide una firma para algo que no la necesita, como una «revisión» o una «sincronización».
• La web ofrece un campo para la frase semilla, la clave privada o un archivo keystore.
• Has llegado a través de un mensaje, un anuncio o una publicación en redes sociales, no desde tu marcador.

Comprobar la URL en el navegador: la barra de direcciones delata la falsificación antes de conectar

La barra de direcciones es tu herramienta más importante. En el móvil, pulsa una vez sobre ella para que aparezca la dirección completa y léela de derecha a izquierda: primero la terminación y después el nombre que la precede. En el caso de Trust Wallet debe poner trustwallet.com, sin guion, sin añadidos y sin otra terminación. El candado no demuestra nada, porque las webs fraudulentas también tienen un certificado de cifrado válido.

La Oficina Federal de Seguridad de la Información de Alemania, el BSI, recoge en su guía para reconocer el phishing las mismas reglas básicas que valen para las criptomonedas: desconfiar de los enlaces en los mensajes, escribir uno mismo las direcciones y no introducir credenciales en páginas que no hayas abierto tú. En las carteras se añade una particularidad. En una cuenta bancaria, una transferencia fraudulenta a veces puede revertirse; en una blockchain, una transacción confirmada es definitiva.

También ayuda una separación sencilla. Usa una cartera aparte con poco saldo para probar webs y aplicaciones nuevas, y guarda las cantidades mayores por separado, idealmente en una cartera de hardware. Una cartera de hardware es un pequeño dispositivo que guarda tus claves privadas sin conexión y muestra cada transacción en su propia pantalla antes de que la confirmes. También ahí tienes que leer lo que firmas, pero las claves nunca salen del dispositivo. Más abajo presentamos modelos adecuados.

La supuesta brecha de iOS: la noticia de 1,1 millones de dólares no está confirmada

El mismo día del aviso de Zhao, la cuenta de X Emperor.SOL difundió que un atacante desconocido había robado unos 1,1 millones de dólares a usuarios de Trust Wallet a través de una vulnerabilidad de iOS 18.5, extrayendo las frases semilla de los dispositivos. La publicación mostraba capturas de transferencias en USDT de 500.000, 100.000 y 190.000 Tether a direcciones de depósito de Binance. Según la cuenta, el soporte de Trust Wallet habría aconsejado actualizar iOS de inmediato.

Poco de esto está acreditado. Las capturas no muestran qué relación tienen las transferencias con una brecha del iPhone, y las informaciones especializadas presentan la afirmación como no confirmada. Por lo que se sabe, no tiene nada que ver con la web falsa .cam. En cualquier caso, tener el sistema operativo al día siempre tiene sentido: las actualizaciones cierran brechas de seguridad, y versiones antiguas de iOS ya han sido objetivo de ataques contra aplicaciones cripto. Una cartera en un teléfono que ya no recibe actualizaciones no es buen sitio para cantidades importantes.

Revocar autorizaciones de tokens: tras una firma accidental, el tiempo cuenta

Si ya has firmado algo en una web sospechosa, actúa de inmediato. El primer paso es trasladar los saldos que queden a una cartera nueva y limpia, cuya frase semilla nunca haya estado en contacto con la web sospechosa. Si introdujiste la propia frase semilla, la cartera antigua está perdida para siempre: cualquier dirección derivada de esa frase debe considerarse comprometida desde ese momento, aunque todavía tenga saldo.

Si solo concediste una autorización de tokens, puedes revocarla. En Ethereum y redes compatibles, herramientas como Revoke.cash o el apartado de autorizaciones de un explorador de blockchain muestran a qué contratos has dado acceso y te permiten retirar la autorización con una transacción propia. Cuesta una pequeña comisión de red y solo surte efecto hacia el futuro. La revocación no devuelve los tokens que ya han salido. Importante: abre también estas herramientas solo escribiendo tú mismo la dirección, porque los estafadores falsifican a propósito incluso las webs de revocación.

Denunciar en Alemania: policía, centros de consumidores y BSI recogen casos de phishing

Si has perdido dinero, conviene presentar denuncia. En cada estado federado alemán hay una comisaría en línea de la policía a través de la cual puedes presentar una denuncia por estafa o fraude informático. Ten preparados la dirección de la web de phishing, los identificadores de transacción, la dirección de tu cartera afectada y las direcciones de destino. El identificador de transacción lo encontrarás en tu cartera o en el explorador de blockchain. Las capturas de pantalla de la web y del mensaje por el que llegaste también ayudan a los investigadores.

Además, puedes notificar webs y correos falsos al Phishing-Radar de la central de consumidores, que recopila y publica avisos. Si interviene un exchange al que se desviaron las monedas robadas, merece la pena avisar a su equipo de seguridad con los identificadores de transacción: los exchanges centralizados pueden, en ciertos casos, congelar los fondos entrantes. Los exchanges cripto con autorización MiCA cuentan para ello con canales de notificación establecidos y un interlocutor en la UE. Si un exchange tiene esa autorización lo indica el registro público de la Autoridad Europea de Valores y Mercados, ESMA.

Cuidado después del daño: poco después de una pérdida suelen aparecer supuestos servicios de recuperación que prometen devolver las monedas a cambio de un pago por adelantado. Casi siempre es la segunda oleada de estafa. Los investigadores y abogados serios no piden ni tu frase semilla ni un pago en cripto. Cómo son en detalle estos correos de phishing tras una filtración de datos lo muestra nuestra guía para reconocer el phishing cripto tras una filtración de datos.

Phishing de Trust Wallet: tres hábitos contra las webs falsas de carteras

La web trastwallet[.]cam no es un caso aislado, sino un patrón que se repite con cada nuevo dominio. Frente a esta estafa ayudan menos las herramientas especializadas que unos hábitos firmes:

1. Una aplicación verificada como punto de partida. Descarga tu cartera solo de la tienda oficial de aplicaciones o de la web del fabricante y abre las aplicaciones desde ella. Qué carteras de software sirven para el día a día lo muestra la comparativa de carteras de software.
2. Las cantidades mayores, sin conexión. Lo que no necesitas a diario debe estar en un dispositivo cuyas claves nunca entren en contacto con una web. Encontrarás dispositivos adecuados en nuestra comparativa de carteras de hardware.
3. Comprar y vender con proveedores regulados. Para operar, usa un exchange autorizado en la UE y pasa a tu cartera solo lo que quieras custodiar tú mismo. Hay una selección en la lista de exchanges cripto regulados.

(6 de noviembre de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)