Phishing en cripto

El phishing es uno de los tipos de fraude más extendidos de la industria cripto. Su poder reside en la simplicidad: al atacante solo le hace falta engañar a alguien para que haga clic en un enlace o firme una transacción. En 2023, los sitios web de phishing que usaban scripts de drainer de monederos robaron unos 295 millones de dólares de más de 320.000 monederos.

El phishing es cuando alguien te convence de abrir voluntariamente la puerta de tu monedero: entregando tu frase semilla, firmando una transacción o introduciendo tu contraseña en un sitio falso.

Cómo funciona el phishing

El phishing sigue siempre el mismo patrón: primero se atrae a la víctima a una trampa y luego se le extrae el acceso a los activos.

1. Canales de distribución

Phishing por correo electrónico

Correos que parecen mensajes oficiales de exchanges o monederos. Por ejemplo, «de KuCoin» con una advertencia sobre una «violación de seguridad», o un mensaje «de MetaMask». Más detalles de CISA.

Phishing web (sitios falsos)

Clones de plataformas populares. A menudo aparecen en lo alto de los resultados de búsqueda de Google gracias a los anuncios y son idénticos al original. La diferencia puede ser solo un carácter en el dominio. ScamSniffer publicó un análisis detallado.

Anuncios y redes sociales

Los enlaces de phishing se difunden mediante anuncios segmentados, publicaciones en redes sociales o bots de Telegram. Por ejemplo, notcoin-airdrop.world, donde se atraía a las víctimas con un «airdrop gratuito» y conectar el monedero acababa en el robo de los fondos. Un caso similar fue MS Drainer, que robó 59 M$ a través de Google Ads.

Phishing por SMS (smishing)

Mensajes «de un exchange» o «de un banco»: «Tu cuenta ha sido bloqueada, haz clic en el enlace». El enlace lleva a un formulario de inicio de sesión falso.

Aplicaciones falsas

Versiones falsificadas de monederos como Ledger Live o la advertencia oficial de Ledger. Una vez instaladas, estas apps piden la frase semilla o roban datos directamente.

Comunidades e influencers

Canales de Telegram, grupos de Discord, streams de YouTube y cuentas de Twitter falsas que suplantan a marcas o líderes de opinión. Promocionan «ofertas exclusivas» y «sorteos». Un ejemplo notorio: Group-IB informó del robo de 1,6 M$ en solo tres días. También lo confirmó BankInfoSecurity.

2. Mecánica del robo

Robo de datos: la víctima introduce una frase semilla, una clave privada o una contraseña en un formulario o aplicación falsos.

Phishing de firma: se persuade a la víctima para que firme una transacción «para confirmar la seguridad» o «para unirse a un airdrop». En realidad, la firma da al atacante permiso técnico para vaciar los tokens.

Casos reales de phishing

3,13 M$ perdidos con un clic

Un usuario conectó su monedero a un sitio de phishing, firmó una transacción, y perdió 3,13 M$ en WBTC.

Más detalles: nuestro desglose en Telegram.

Cuando el hacker se convierte en víctima

En febrero de 2025, un hacker robó 2.930 ETH (5,4 M$) de zkLend e intentó blanquearlos a través de Tornado Cash. Pero acabó en un clon de phishing de Tornado Cash, activo desde hacía más de cinco años. Otros estafadores se quedaron con sus fondos.

Más detalles: nuestra publicación.

Apps falsas en la App Store

En 2025 apareció en la App Store una app falsificada de Ledger Live para Mac. Los usuarios la instalaron, introdujeron sus frases semilla y perdieron sus fondos.

Streams de YouTube con Musk y Buterin

En 2022, una serie de falsos directos que usaban imágenes de Elon Musk y Vitalik Buterin reportó a los estafadores más de 1,6 M$ en solo tres días.

El phishing en cifras

Según ScamSniffer, en el primer semestre de 2025 hubo 43.628 víctimas que en conjunto perdieron 39,33 M$ (pérdida media ~902 $). En comparación con el primer semestre de 2024, la actividad de phishing disminuyó notablemente.

Cómo reconocer el phishing

• La URL del sitio web difiere en solo un carácter.
• El «servicio de atención al cliente» te escribe primero.
• El mensaje promete depósitos duplicados, tokens gratis u ofertas «demasiado buenas para ser verdad».
• Te piden una frase semilla o una clave privada: eso es 100 % fraude.

Cómo protegerte

• Comprueba siempre la dirección del sitio e instala apps solo desde fuentes oficiales.
• Nunca introduzcas frases semilla, claves privadas o contraseñas en sitios de terceros.
• Usa 2FA mediante apps de autenticación o claves hardware, no SMS.
• Evita hacer clic en enlaces de correos, anuncios o mensajes aleatorios.
• Guarda en marcadores los sitios oficiales de los servicios y exchanges que uses.
• Para la gestión de activos, usa un navegador aparte o incluso un dispositivo dedicado.