Custodia: ¿quién guarda tu dinero?
Este es el concepto de seguridad más importante en cripto. Existen dos modelos:
Custodial (alguien más lo guarda)
Cuando mantienes tus criptomonedas en un exchange como Coinbase o Binance, ellos guardan tus llaves. Es como un banco: conveniente, pero si la empresa es hackeada, quiebra o congela tu cuenta, podrías perder el acceso.
Autocustodia (tú lo guardas)
Cuando usas una billetera como MetaMask, Phantom o una billetera de hardware, tú posees tus propias llaves. Nadie puede congelar tus fondos, pero si pierdes tus llaves, nadie podrá recuperarlos tampoco.
La mayor parte de la actividad DeFi ocurre con billeteras de autocustodia. Esto te da control total y responsabilidad total.
Tu frase semilla lo es todo
Cuando creas una billetera de autocustodia, recibes unafrase semilla(también llamada frase de recuperación), generalmente de 12 o 24 palabras. Esta frase es la llave maestra de tu billetera. Cualquiera que la tenga controla tus fondos.
Reglas para tu frase semilla:
- Escríbela en papel. Nunca la guardes digitalmente (nada de capturas de pantalla, notas en la nube o correos electrónicos).
- Guárdala en un lugar seguro; idealmente en dos ubicaciones físicas separadas.
- Nunca la compartas con nadie. Ningún servicio legítimo te la pedirá jamás.
- Si alguien te pide tu frase semilla, es una estafa. Siempre. Sin excepciones.
Billeteras de hardware (Hardware wallets)
Unabilletera de hardware(como Ledger o Trezor) es un dispositivo físico que almacena tus llaves privadas fuera de línea (offline). Incluso si tu computadora está comprometida, tus llaves permanecen seguras en el dispositivo. Para firmar cualquier transacción, debes confirmarla físicamente en el dispositivo.
Para cualquier cantidad significativa de cripto, se recomienda encarecidamente una billetera de hardware. Piénsalo como una caja fuerte para tus documentos más importantes: menos conveniente que dejarlos sobre el escritorio, pero mucho más seguro.
Estafas comunes y cómo reconocerlas
Las estafas cripto siguen patrones predecibles. Conocerlos es tu mejor defensa:
Phishing
Sitios web falsos que se ven idénticos a los servicios reales (como un Uniswap o MetaMask falso). Te piden conectar tu billetera y aprobar una transacción que vacía tus fondos.Verifica siempre la URLantes de conectar tu billetera. Guarda en marcadores los sitios reales que utilizas.
Soporte técnico falso
Los estafadores se hacen pasar por agentes de soporte en Discord, Telegram o Twitter. Se ofrecen a "ayudar" con un problema y te piden compartir pantalla, ingresar tu frase semilla o visitar un enlace.Ningún proyecto legítimo te enviará un mensaje directo (DM) primero para ofrecerte ayuda.
Rendimientos demasiado buenos para ser verdad
Un nuevo token que ofrece un 1,000% de APY, un airdrop misterioso que vale miles, o un retorno de inversión garantizado. Si suena demasiado bueno para ser verdad, lo es. Los rendimientos sostenibles en DeFi suelen estar entre el 2% y el 8%. Cualquier cifra drásticamente superior conlleva un riesgo extremo o es una estafa directa.
Tokens y airdrops maliciosos
Los estafadores envían tokens aleatorios a tu billetera que parecen valer dinero. Cuando intentas venderlos o interactuar con ellos, apruebas una transacción que drena tus tokens reales.Ignora los tokens que no reconozcas.No interactúes con ellos.
Suplantación de identidad
Cuentas falsas en redes sociales que se hacen pasar por fundadores de proyectos, influencers o empresas. Promueven enlaces fraudulentos, sorteos falsos o contratos maliciosos. Verifica siempre las cuentas a través de canales oficiales.
Rug pulls y estafas de salida
Unrug pullocurre cuando los desarrolladores de un proyecto cripto lo abandonan repentinamente y desaparecen con los fondos de los inversores. Esto sucede a menudo con nuevos protocolos DeFi o lanzamientos de tokens: el equipo recauda dinero mediante ventas de tokens o pools de liquidez, luego vacía los contratos inteligentes y se esfuma. Las señales de advertencia incluyen equipos anónimos sin historial verificable, liquidez que no está bloqueada o tiene periodos de bloqueo muy cortos, ausencia de auditorías de seguridad independientes y un TVL (valor total bloqueado) inflado artificialmente para crear una falsa sensación de confianza. Los proyectos que promueven agresivamente retornos poco realistas mientras desalientan la debida diligencia son particularmente sospechosos. Investiga siempre al equipo del proyecto, el historial de auditorías y el estado del bloqueo de liquidez antes de depositar fondos.
Permisos y aprobaciones de tokens
Cada vez que usas un servicio DeFi, normalmente le otorgas permiso para mover un token específico en tu nombre. Estasaprobaciones persisten indefinidamente, incluso después de que hayas dejado de usar el servicio.
Si un servicio que aprobaste es hackeado más tarde, los atacantes pueden usar esa aprobación para mover tus tokens. Por eso, revisar y revocar periódicamente las aprobaciones antiguas es una buena práctica de seguridad.
La pestaña de Seguridad de CleanSkymuestra todos los permisos activos en tus billeteras: qué servicios tienen acceso a qué tokens y si alguno de ellos parece riesgoso. Esta es una de las comprobaciones de seguridad más importantes que puedes realizar.
Riesgo de contrato inteligente
Cuando depositas cripto en un servicio DeFi, tus tokens son retenidos por uncontrato inteligente(smart contract), un programa que se ejecuta en la blockchain. Si ese programa tiene un error o vulnerabilidad, tus fondos podrían estar en riesgo.
Cosas que reducen (pero no eliminan) el riesgo de los contratos inteligentes:
- Auditorías: los servicios reputados hacen que su código sea revisado por firmas de seguridad independientes. Busca los informes de auditoría en el sitio web del protocolo.
- Historial: los servicios que han estado funcionando durante años con un valor bloqueado significativo han sido probados en batalla.
- Código de fuente abierta (Open source): cuando el código es público, más ojos pueden encontrar problemas potenciales.
- Seguros: algunos servicios de seguros DeFi (como Nexus Mutual) ofrecen cobertura contra fallos de contratos inteligentes, aunque la cobertura es limitada y no es automática.
Los contratos no auditados son un ingrediente común en los rug pulls. Si un proyecto no tiene una auditoría pública de una firma reconocida, considéralo una señal de alerta importante antes de comprometer fondos.
Aprende cómo protegerte:Cómo verificar contratos inteligentes.
Riesgos de red y de puentes (bridges)
Mover tokens entre diferentes redes blockchain requierepuentes: servicios que bloquean tus tokens en una red y liberan tokens equivalentes en otra. Los puentes han sido históricamente uno de los componentes de mayor riesgo en cripto, habiendo sufrido algunos de los mayores hackeos en la historia de DeFi.
Si usas un puente para tus tokens, comprende que estás añadiendo una capa de riesgo adicional a lo que sea que hagas con esos tokens después. El análisis de riesgo de CleanSky considera la exposición a puentes como un factor de riesgo independiente.
Hábitos prácticos de seguridad
La seguridad más efectiva proviene de hábitos constantes:
- Usa un perfil de navegador dedicadopara cripto. No instales extensiones innecesarias.
- Guarda en marcadores los servicios que usasy navega siempre desde ellos, nunca desde resultados de búsqueda o enlaces en mensajes.
- Verifica antes de firmar.Lee lo que está haciendo una transacción antes de aprobarla en tu billetera.
- Empieza con poco.Al usar un servicio nuevo por primera vez, pruébalo con una cantidad pequeña antes de comprometer más.
- Revoca aprobaciones antiguas.Revisa periódicamente qué servicios tienen permiso para mover tus tokens.
- Mantén el software actualizado.Tu aplicación de billetera, navegador y sistema operativo deben estar siempre al día.
- No compartas tu configuración.Evita discutir públicamente qué servicios usas, cuánto posees o cuáles son tus billeteras.
Recuerda:En cripto no hay reembolsos, ni devoluciones de cargo, ni departamentos de fraude. Cada transacción es definitiva. El tiempo que dediques a la seguridad siempre vale la pena.
Escanea tu billetera en busca de aprobaciones de tokens riesgosas y permisos sospechosos; no requiere registro.