Cómo pierde realmente la gente sus cripto: complejidad, deriva y aprobaciones olvidadas

El mito: los hackers rompen el código

Cuando la gente oye hablar de robo de cripto, imagina a una figura encapuchada explotando una vulnerabilidad de día cero en un smart contract. Es un buen titular, pero tergiversa hacia dónde va realmente el dinero.

En 2024, aproximadamente el 70% de las criptomonedas robadas provinieron de "ataques a la infraestructura": claves privadas y frases semilla comprometidas. Estos no son realmente hackeos en el sentido en que la mayoría entiende la palabra. Son fallos estructurales en cómo la gente almacena, gestiona e interactúa con sus cripto.

El código en la blockchain puede estar bien. La vulnerabilidad es la persona que tiene las claves: sus hábitos, sus atajos, su memoria y la brecha entre sus intenciones de seguridad y su comportamiento diario.

El verdadero asesino: la complejidad

Un consejo común en cripto es usar múltiples wallets: una para trading, una para almacenamiento en frío (cold storage), una para DeFi, una para NFTs. La lógica suena bien: compartimentar el riesgo. Pero en la práctica, pasar de 1 a 12 wallets no te hace más seguro. Hace que todo sea más difícil de gestionar.

Aprende más sobre los fundamentos de las wallets en nuestra guía: ¿Qué es una wallet cripto?

Deriva operativa: el asesino silencioso

Empiezas con una configuración de seguridad impecable. Portátil dedicado. Hardware wallet. Copia de seguridad de la frase semilla en papel guardada en una caja fuerte ignífuga. Te prometes que nunca tomarás atajos.

Luego pasan de 12 a 24 meses y ocurre la deriva:

• Fase 1: Instalas una extensión de navegador en el portátil dedicado para "solo una transacción rápida". Se queda ahí.
• Fase 2: Conectas la hardware wallet a una dApp no verificada porque mover fondos a través de tu proceso normal es demasiado lento y necesitas aprovechar una oportunidad de yield.
• Fase 3: Fotografías la frase semilla o la escribes en un gestor de contraseñas "temporalmente" porque necesitas acceso mientras viajas.

Ninguno de estos pasos activa una alarma. El sistema parece seguro porque aún no ha pasado nada. Confundes la ausencia de incidentes con la presencia de seguridad. Luego, un día, una extensión comprometida o una aprobación de phishing lo drena todo.

Para más información sobre hábitos prácticos de seguridad, consulta: Mantenerse seguro en cripto

Aprobaciones olvidadas: las puertas abiertas que desconoces

Cada vez que interactúas con un protocolo DeFi (intercambiar tokens, proveer liquidez, depositar en un vault), apruebas que el smart contract de ese protocolo gaste tus tokens. Así es como funciona DeFi: das permiso al contrato para mover tus activos en tu nombre.

El problema: la mayoría de las dApps solicitan una aprobación "infinita" (técnicamente 2²⁵⁶ - 1 tokens) para ahorrarte gas en futuras transacciones. Esa aprobación permanece activa para siempre, o hasta que la revoques explícitamente.

Si has usado 50 protocolos en 12 wallets durante 3 años, podrías tener cientos de aprobaciones infinitas abiertas. Cada una es una puerta hacia tu wallet. Si cualquiera de esos contratos es comprometido, tiene una ruta de actualización que es explotada o es modificado maliciosamente, puede drenar los tokens aprobados de tu wallet. Ya habías firmado previamente el robo.

Herramientas como Revoke.cash existen específicamente para este problema, pero el hecho de que necesiten existir demuestra que el sistema está roto. No deberías tener que usar una herramienta de terceros para cerrar puertas que se dejaron abiertas silenciosamente.

Phishing a través de aprobaciones

El phishing cripto moderno ha evolucionado. Los atacantes sofisticados ya no piden tu frase semilla; ese enfoque solo funciona con principiantes. En su lugar, usan suplantación de UI para engañarte y que firmes una transacción approve() disfrazada de algo inofensivo.

El ataque se ve así: visitas lo que parece ser una dApp legítima y haces clic en "Login" o "Verificar wallet". Lo que realmente estás firmando es una aprobación que otorga al contrato del atacante acceso ilimitado a tus tokens. Debido a que los usuarios están acostumbrados a firmar datos de transacciones complejos e ilegibles (un síntoma de la deriva operativa), hacen clic en "Confirmar" sin leer.

La suplantación de dominios amplifica esto. Los atacantes registran dominios como uni-swap.com o revokecash.net y compran anuncios de Google que colocan sus sitios por encima de los reales en los resultados de búsqueda. Si navegas a aplicaciones DeFi a través de un buscador en lugar de marcadores, estás apostando cada vez.

Para una visión más amplia de las amenazas y cómo defenderte de ellas, consulta: Mantenerse seguro en cripto

Mezcla de roles: ser tu propio banco es más difícil de lo que parece

En las finanzas tradicionales, diferentes personas manejan diferentes funciones. Un custodio guarda las claves. Un trader ejecuta transacciones. Un equipo de TI gestiona dispositivos e infraestructura. Un auditor revisa el historial. Estos roles están separados a propósito, porque ninguna persona debería tener acceso sin control a todas las funciones.

En la autocustodia cripto, tú eres todos estos roles simultáneamente. Guardas las claves, ejecutas operaciones, gestionas los dispositivos y auditas tu propio historial. El "Trader" en ti quiere velocidad y conveniencia. El "Custodio" quiere aislamiento y precaución. Cuando juegas ambos roles, el Trader suele ganar, y la seguridad paga el precio.

Esto conduce a dos modos de fallo críticos:

Aprende sobre hardware wallets para un almacenamiento en frío adecuado: ¿Qué es una hardware wallet?

La riqueza es estructura, no solo números

La solución no es tener más wallets, es tener una mejor estructura. Una configuración bien diseñada con tres wallets puede ser drásticamente más segura que una configuración caótica con doce.

Tres pilares importan:

• Estructura legal: Fideicomisos, planificación sucesoria, beneficiarios documentados. Si algo te sucede, ¿puede tu familia acceder a tus cripto? Sin estructura legal, tu riqueza puede volverse permanentemente inaccesible.
• Estructura técnica: Multisig: requiere 2 de 3 claves para firmar cualquier transacción, eliminando el punto único de fallo. La abstracción de cuenta permite la recuperación social y límites de gasto. Esto no es teórico, está desplegado y funcionando hoy.
• Estructura operativa: Procedimientos documentados, auditorías trimestrales de permisos, separación estricta de wallets de bóveda (frías, nunca conectadas) de wallets operativas (calientes, fondos limitados). Si no está escrito, no es un procedimiento, es un recuerdo, y los recuerdos se desvanecen.

Para contexto sobre la escala de las pérdidas que causan los fallos estructurales, consulta: Los mayores hackeos cripto

Qué puedes hacer ahora mismo

No necesitas cambiar todo a la vez. Empieza con las acciones de mayor impacto:

• Audita tus aprobaciones de tokens. CleanSky las muestra en todas tus wallets. Revoca cualquier cosa que no estés usando activamente.
• Usa multisig para tenencias significativas. Incluso una configuración simple de 2 de 3 elimina el punto único de fallo que causa la mayoría de las pérdidas.
• Mantén el almacenamiento en frío estrictamente frío. Nunca conectes una wallet fría a una dApp. Si tienes la tentación, es el Trader anulando al Custodio.
• Usa frases semilla separadas para diferentes niveles de riesgo. Tu semilla de bóveda y tu semilla de exploración DeFi no deben tener ninguna relación entre sí.
• Marca sitios de confianza. Nunca navegues a aplicaciones DeFi a través de buscadores. Una URL mal escrita o un anuncio de phishing promocionado es todo lo que se necesita.
• Revisa tu configuración cada trimestre. Revisa aprobaciones, verifica que tu almacenamiento en frío siga siendo frío, confirma que tus procedimientos de respaldo sigan funcionando.
• Escribe tus procedimientos operativos. No confíes en la memoria. La memoria se desvanece. El papel no.

Para una mirada más profunda a las categorías de riesgo en tu portafolio, consulta: Entender el riesgo en cripto