¿Qué son el phishing y las estafas en cripto?

Phishing y estafas en palabras sencillas

Imagina una llamada «del banco». La persona sabe tu nombre, habla con seguridad y te pide que le dictes el código del SMS para «frenar un pago sospechoso». Nadie tocó el sistema del banco, y el dinero se va porque el código lo dijiste tú. El phishing phishing en cripto funciona igual. El estafador falsifica algo en lo que ya confías, como la página de un exchange, la app de una billetera o un aviso que dice venir del soporte, y espera que el paso que necesita lo des tú. El nombre suena como el inglés fishing, pescar, y el phishing funciona de forma parecida. Se tira el anzuelo a miles de personas y se espera a ver quién pica.

Estafa estafa (scam) es una palabra más amplia. Se llama así a cualquier esquema fraudulento que busca tu dinero, aunque en él no se falsifique nada. Un sitio que promete duplicar el bitcoin que le envíes o una «plataforma de inversión» que no figura en ningún registro pueden no hacerse pasar por ninguna marca conocida y aun así ser una estafa. A los estafadores les conviene que no tengas tiempo de pensar, por eso muchos esquemas te apuran: «la oferta vence en una hora», «te bloquean la cuenta si no confirmas ahora».

La cripto les resulta cómoda a los estafadores porque una transferencia confirmada en la blockchain no se puede anular, y tu propia billetera no tiene un banco que frene un pago sospechoso. La cripto enviada a un estafador normalmente solo se recupera si quien la recibió la devuelve por su cuenta¹. Solo en Estados Unidos, en 2025, la gente le reportó al FBI pérdidas por estafas con cripto por alrededor de 11 400 millones de dólares².

Cómo son los esquemas de engaño más comunes en cripto

Sitios clon y anuncios falsos

Un sitio clon sitio clon (sitio de phishing) copia el diseño de un exchange o de una billetera, y su dirección se diferencia de la verdadera en una letra, una palabra de más o una terminación distinta. El enlace llega por correo o por mensaje, y a veces se pagan anuncios en el buscador para promocionarlo. En 2022 el FBI advirtió que esos anuncios pueden aparecer al principio de todo en los resultados de búsqueda y hacerse pasar por sitios de exchanges cripto para robar los datos de acceso³.

Contra el sitio clon te protege la costumbre de no abrir el exchange ni la billetera desde enlaces. Escribe la dirección del sitio a mano o ábrelo desde un marcador que hayas guardado tú³. La frase semilla solo hace falta para restaurar la billetera dentro de su propia app (qué es una frase semilla), así que un sitio que te pide escribirla es fraudulento, por muy conocido que parezca.

Soporte falso

El soporte falso te escribe primero o te llama, dice trabajar para un exchange o una billetera y se ofrece a resolver tu problema. Después te pide la frase semilla o una transferencia de cripto «para verificar». Los estafadores se hacen pasar por empresas conocidas, y también por organismos públicos y por la policía¹. El soporte auténtico de la billetera MetaMask, por ejemplo, nunca pide la frase semilla ni escribe primero ofreciendo ayuda. Quien te llama por teléfono en su nombre está intentando engañarte⁴.

Si necesitas ayuda, contacta tú al soporte, desde el sitio oficial o la app. A los «empleados» que te encontraron primero no les respondas.

«Repartos» y duplicación de cripto

Un «reparto» promete cripto gratis o duplicar la suma que envíes. En julio de 2020 unos hackers tomaron cuentas de Twitter de políticos y famosos, prometieron en su nombre duplicar el bitcoin que les enviaran y así se quedaron con más de 100 000 dólares⁵. La promesa de duplicar la cripto que envías, es decir, de «dinero gratis», siempre es falsa¹. Los repartos reales de tokens existen, pero no te piden que primero envíes cripto ni que escribas tu frase semilla.

También hay «repartos» que no te piden enviar nada. En tu billetera aparece un token desconocido, es decir, una cripto emitida sobre una red ajena, y te invitan a un sitio donde supuestamente puedes cobrarlo o cambiarlo. Un token que llega a tu dirección no le da a nadie, por sí solo, acceso a tu dinero: el engaño ocurre en el sitio al que lleva el anzuelo⁶. Por eso un token desconocido no lo vendas ni lo cambies, y no abras los sitios que lo mencionan. El sitio del «reparto» puede no pedir la frase semilla y pedirte en cambio que toques «Confirmar» en la billetera, y con eso puedes darle permiso para llevarse tus tokens. Qué revisar en la ventana de firma y cómo revocar ese permiso lo explica el artículo seguridad al conectar la billetera.

Suplantación de direcciones en el historial de transferencias

La suplantación de direcciones suplantación de direcciones (address poisoning, envenenamiento de direcciones) se aprovecha de la costumbre de copiar la dirección del destinatario, el número de su «cuenta» en la red, desde el historial de transferencias. El estafador crea una dirección cuyo principio y final coinciden con los de una dirección a la que transferiste hace poco, y le manda a tu billetera una transferencia por un monto insignificante, normalmente cero. En el historial aparece una dirección parecida, y en la siguiente transferencia es fácil copiarla por error⁷.

Es como una llamada desde un número que solo se diferencia del de un conocido en un par de cifras del medio. El número queda en el historial de llamadas, y si devuelves la llamada desde ahí sin mirar, te atiende un desconocido.

Así que no tomes la dirección del destinatario del historial. Guarda las direcciones verificadas en la libreta de direcciones de la billetera y, antes de enviar, compara la dirección completa, sobre todo los caracteres del medio⁷. Cómo hacer una transferencia sin errores de red ni de dirección lo explica la guía para enviar criptomonedas.

Inversiones falsas y relaciones por internet

Una plataforma de inversión falsa muestra en pantalla un crecimiento que no existe y no devuelve el dinero cuando quieres retirarlo. A ella suele llevar una relación por internet de mucho tiempo. El estafador escribe como si se hubiera equivocado de destinatario, o te conoce en una red social o en una app de citas. Durante semanas se gana tu confianza y después te invita a un sitio o una app de inversión que parecen reales y que él controla por completo. La plataforma muestra ganancias inusualmente altas, y cuando la persona intenta retirar su dinero, le exige pagar un «impuesto» o una «comisión por retiro anticipado»⁸. No mezcles las relaciones por internet con los consejos de inversión. Solo los estafadores garantizan ganancias o grandes rendimientos¹.

Antes de invertir a través de una empresa o plataforma, comprueba si tiene autorización del regulador financiero de tu país, es decir, el organismo público que autoriza a las empresas financieras, y si no figura en su lista de empresas ilegales. No estar en esa lista no garantiza nada, pero estar en ella ya responde la pregunta.

Servicios de «recuperación» de cripto robada

Después del engaño, a las víctimas muchas veces las encuentra una segunda ola de estafadores. Se presentan como abogados, como un «servicio de recuperación» o como empleados de un organismo público, prometen devolver lo robado y piden un pago por adelantado. En 2024 y 2025 el FBI advirtió sobre bufetes de abogados falsos. Les escriben primero a las víctimas, dicen tener vínculos con organismos públicos, conocen los montos y las fechas exactas de las transferencias anteriores y exigen el pago en cripto o en tarjetas de regalo⁹¹⁰. En 2025 le reportaron al FBI pérdidas por estos esquemas por alrededor de 1400 millones de dólares². En Estados Unidos la policía no les cobra a las víctimas por investigar⁹.

Reglas que protegen del phishing y las estafas

Qué hacer si ya caíste en un engaño

1. Frena las transferencias y deja de responderle al estafador.
2. Si el estafador conoció tu frase semilla o tu clave privada, crea una billetera nueva con una frase semilla nueva y pasa enseguida allí todo lo que quedó en la vieja.
3. Si firmaste un permiso en un sitio sospechoso, revócalo siguiendo la guía para revocar permisos de la billetera.
4. Si escribiste la contraseña del exchange en un sitio clon, cámbiala desde la app oficial del exchange, revisa la configuración de la verificación en dos pasos (2FA, el segundo código al iniciar sesión) y escríbele al soporte del exchange.
5. Guarda las direcciones de las billeteras, los hashes de las transferencias hash de la transacción, es decir, sus números en la red, las direcciones de los sitios, los chats y las capturas de pantalla. En la denuncia incluye todos los detalles de la transferencia².
6. Denuncia el engaño. Si la transferencia salió de un exchange, escríbele a su soporte¹. Si pagaste con tarjeta o con transferencia bancaria, contacta enseguida al banco y pide que revierta el pago, porque aquí la rapidez cuenta². En cualquier caso, haz la denuncia ante la policía de tu país. dónde consultar: en Estados Unidos las denuncias las reciben el centro IC3 del FBI en ic3.gov y la Comisión Federal de Comercio (FTC) en ReportFraud.ftc.gov
7. No respondas a las ofertas de recuperar el dinero a cambio de un pago.

¿Se puede recuperar la cripto que se llevaron los estafadores?

Normalmente no, si la transferencia fue a una billetera que controla solo el estafador. Hay alguna posibilidad cuando lo robado llega a un exchange o a una empresa que puede bloquear el dinero a pedido de la policía. Así, en noviembre de 2023 la empresa Tether, que emite USDT, congeló alrededor de 225 millones de dólares en USDT vinculados a inversiones falsas¹¹. A la policía conviene acudir con cualquier monto perdido, aunque sea pequeño².

Más detalles sobre un caso de anuncios falsos de una billetera

En 2021, los investigadores de Check Point Research encontraron en anuncios de Google sitios falsos de la billetera Phantom, a través de los cuales se les sacaron a las personas más de 500 000 dólares¹².

Preguntas frecuentes