Cómo se hackean las carteras cripto (y cómo reconocerlo)

Puntos clave

• Las carteras cripto se comprometen a través de las personas y los dispositivos que las rodean, no a través de la blockchain en sí. La cadena permanece intacta, mientras que lo que cede son las claves, el dispositivo o la atención del usuario.
• La mayoría de los compromisos empiezan en silencio. Para cuando una víctima ve una transacción no autorizada, el atacante suele llevar ya un tiempo con acceso.
• Las señales de alerta más claras son una transacción saliente que no hiciste, una aprobación que no recuerdas haber concedido y pequeños depósitos inesperados desde direcciones que parecen casi familiares.
• Reconocer un compromiso a tiempo es la diferencia entre perder una cartera y perder todo lo conectado a ella. Una vez que sospechas un problema, la velocidad importa más que cualquier otra cosa.
• La recuperación es posible en muchos casos, especialmente cuando el robo se detecta con rapidez y los fondos se rastrean antes de que se conviertan o se muevan a través de un exchange no cooperativo.
• Match Systems rastrea incidentes de carteras comprometidas a través de las cadenas, trabaja con exchanges y fuerzas del orden y ha recuperado activos robados en casos que van desde carteras individuales hasta robos de ocho cifras.

En este artículo

• La cartera es el objetivo, no la blockchain
• Cómo se comprometen realmente las carteras
• Cómo reconocer una cartera comprometida
• Por qué las víctimas suelen darse cuenta demasiado tarde
• Qué hacer en el momento en que sospechas un compromiso
• Preguntas frecuentes

La cartera es el objetivo, no la blockchain

La frase «me hackearon la cartera» casi nunca significa lo que la gente cree. Rara vez implica que alguien rompa la criptografía que asegura la blockchain. En casi todos los casos que investigamos, la cadena hizo exactamente lo que debía hacer. Lo que falló fue la cartera que la rodea: el dispositivo que guarda las claves, el software en el que el propietario confiaba, o el momento de atención que el atacante estaba esperando.

Esta distinción importa porque te dice dónde mirar. Una cartera es un gestor de claves. Quien controla la clave privada controla los fondos, y esa clave vive en algún lugar vulnerable: en una app, una extensión del navegador, un archivo, una captura de pantalla o la memoria de una persona. Los atacantes no atacan las matemáticas. Atacan los lugares donde la clave está expuesta, y se han vuelto muy buenos en ello.

Entender cómo ocurre esa exposición, y aprender a reconocer las señales de que ya ha ocurrido, es la habilidad de seguridad más práctica que un tenedor de cripto puede desarrollar.

Cómo se comprometen realmente las carteras

No hay una única forma en que cae una cartera. Los casos que vemos se agrupan en un puñado de patrones recurrentes, y la mayoría de ellos ni siquiera tocan las defensas de la blockchain.

Malware e infostealers en el dispositivo

El malware infostealer es el caballo de batalla silencioso del robo de carteras. Una vez que está en un dispositivo, escanea todo lo de valor: contraseñas guardadas en el navegador, cookies de sesión, archivos de cartera y cualquier archivo de texto o captura de pantalla que pueda contener una frase semilla. La escala es lo que la mayoría subestima. Según un informe de Kaspersky, las detecciones de infostealers en PC crecieron un 59 % a nivel global entre 2024 y 2025, y más de un millón de cuentas bancarias se comprometieron de esta forma en un solo año. Los datos de las carteras cripto son un objetivo principal de estas herramientas, y la víctima normalmente no tiene ni idea de que el software está en ejecución.

El método de entrega suele ser algo que parece inofensivo. En marzo de 2025, la oficina del FBI en Denver advirtió de que se estaban usando herramientas gratuitas de conversión de archivos en línea para cargar malware que extrae datos sensibles, incluidas frases semilla de criptomonedas y detalles de carteras. La herramienta hace el trabajo que anuncia, el archivo se convierte y el malware se instala en segundo plano mientras el usuario sigue con lo suyo.

Apps de cartera falsas y extensiones maliciosas

Un usuario busca una cartera popular, instala algo que parece idéntico y, o bien introduce una frase semilla existente para «importar» su cartera, o bien confía en una recién generada que el atacante ya controla. La interfaz es convincente porque a menudo es un clon casi perfecto. Lo único que cambia es quién recibe las claves.

Exposición de la frase semilla

Esto merece su propia mención, porque es la causa raíz más común y la más difícil de deshacer. Una frase semilla fotografiada por comodidad, guardada en una copia de seguridad en la nube, tecleada en un chat de soporte o guardada en una app de notas es una frase semilla que puede robarse sin que nadie toque tu dispositivo. Una vez que sale, la cartera ya no es tuya, aunque todavía no se haya movido nada.

Aprobaciones y firmas maliciosas

Estas comprometen una cartera sin llegar a capturar nunca la clave. Al firmar lo que parece una transacción rutinaria en un sitio malicioso, un usuario puede conceder a un contrato permiso permanente para mover sus tokens. La cartera en sí nunca es «hackeada» en el sentido tradicional. Simplemente hace lo que se le autorizó a hacer, a veces días después de que se diera la firma.

Address poisoning

Este es el patrón psicológicamente más ingenioso, porque vuelve la propia cautela de la víctima en su contra. El atacante envía una diminuta transacción desde una dirección diseñada para imitar una que la víctima usa a menudo, coincidiendo con los primeros y últimos caracteres. La dirección envenenada aparece en el historial de transacciones y, la próxima vez que la víctima copia una dirección de ese historial, copia la del atacante. En mayo de 2024, un tenedor perdió aproximadamente $68 millones en Bitcoin envuelto de esta forma, enviando los fondos a una dirección clon extraída de su propio historial. Match Systems investigó ese caso junto con el exchange Cryptex, usando huellas de dispositivo y evidencia conductual para identificar al atacante e iniciar negociaciones. En aproximadamente una semana, los fondos fueron devueltos. El truco técnico era simple. El margen que recuperó el dinero no lo era.

Cómo reconocer una cartera comprometida

Esta es la parte que la mayoría de las guías de seguridad se salta, y es la parte que decide los desenlaces. Saber cómo se compromete una cartera es útil. Reconocer que la tuya lo ha sido es lo que te da la oportunidad de actuar a tiempo.

Presta atención a estas señales:

• Una transacción saliente que no autorizaste. Esta es la inequívoca. Si salieron fondos de tu cartera y tú no los enviaste, la cartera está comprometida, punto. Compruébalo en un explorador de blockchain en lugar de fiarte solo de lo que muestra la propia cartera, que un atacante sofisticado puede manipular.
• Una aprobación que no recuerdas haber concedido. Si la lista de sitios conectados o de aprobaciones de tokens de tu cartera muestra permisos a contratos que no reconoces, trátalo como una amenaza activa. Una aprobación permanente es una puerta que queda abierta, y puede usarse mucho después de que la firmaras.
• Pequeños depósitos inesperados desde direcciones casi familiares. Una diminuta transferencia entrante desde una dirección que se parece casi a una en la que confías es la firma de un intento de address poisoning. No es «dust» inofensivo. Es un cebo plantado en tu historial.
• Tu dispositivo comportándose de forma distinta. Alertas del antivirus, procesos desconocidos, un navegador que redirige o una máquina que se ralentiza tras instalar algo pueden indicar un infostealer en acción. Por sí solo no es prueba, pero combinado con tenencias cripto es motivo para detenerse y comprobar.
• Alertas de inicio de sesión o restablecimientos de contraseña que no activaste. Las notificaciones sobre acceso desde dispositivos desconocidos, o solicitudes de restablecimiento que nunca hiciste, a menudo significan que un atacante ya está avanzando a través de tus cuentas conectadas hacia tus fondos.
• Un teléfono que de repente pierde señal. Si tu servicio móvil se cae sin explicación y sigue caído, trátalo como un posible SIM swap en curso, sobre todo si usas autenticación por SMS en algún punto de tu configuración cripto.

Señales de alerta de un vistazo

Por qué las víctimas suelen darse cuenta demasiado tarde

Casi todas las víctimas con las que trabajamos dicen alguna versión de lo mismo: notaron que algo iba mal antes de la pérdida, y se convencieron a sí mismas de no actuar. Un depósito extraño, una indicación ligeramente rara, una peculiaridad del dispositivo. El compromiso a menudo comienza mucho antes de que el dinero se mueva, y precisamente por eso las señales tempranas importan tanto. Un atacante que tiene tu frase semilla puede esperar a que el saldo crezca. Uno que tiene una aprobación puede quedarse quieto hasta que llegue un token de alto valor. La brecha entre el compromiso y el robo es la ventana que tienes, y la mayoría de la gente la pasa tranquilizándose de que no ocurre nada.

Qué hacer en el momento en que sospechas un compromiso

El instinto de seguir usando la cartera, volver a iniciar sesión o mover fondos presa del pánico suele empeorar las cosas. La secuencia correcta es acotada y específica.

• Deja de usar la cartera de inmediato y asume que las claves están expuestas. Si todavía tienes acceso y la cartera no está ya vaciada, mueve los activos restantes solo desde un dispositivo limpio a una cartera totalmente nueva cuyas claves nunca hayan tocado el entorno comprometido. Ten en cuenta que si la frase semilla está comprometida, los atacantes a menudo ejecutan scripts que barren los fondos entrantes al instante, así que esto no siempre es posible.
• Captura la evidencia. Registra el hash de la transacción no autorizada, la dirección receptora del atacante, los importes y las marcas de tiempo desde un explorador de blockchain. Es de donde parte toda investigación.
• Contacta a una firma de investigación especializada lo antes posible. La estrategia de denuncia correcta depende de los detalles: qué activos se tomaron, por qué cadenas y servicios se movieron los fondos y hacia dónde se dirigen. Cuanto antes vea Match Systems los detalles, antes podremos analizar el caso y determinar la respuesta más eficaz, incluidas qué autoridades y equipos de compliance de exchanges implicar y cómo cronometrar una solicitud de congelación mientras los fondos aún son alcanzables. Si los activos robados incluyen stablecoins como USDT o USDC, esto importa aún más, porque los emisores pueden restringir direcciones concretas a petición de las fuerzas del orden, y esa ventana se cierra una vez que los fondos se convierten.

Una cartera comprometida es una carrera, y el atacante lleva ventaja.

Una vez que los fondos robados se intercambian, se mueven por puentes o se retiran a través de canales OTC, la recuperación se vuelve significativamente más difícil. Match Systems investiga incidentes de carteras comprometidas y robos de cripto, rastreando activos robados a través de las cadenas y trabajando con exchanges y fuerzas del orden para apoyar la recuperación legal, apoyándose en una base de datos propia de etiquetado de direcciones y en relaciones directas de compliance construidas a lo largo de años de investigaciones activas.

Inicia una evaluación de tu caso: https://matchsystems.com