La regla más útil: no analices primero la criptomoneda, analiza quién te pide actuar
Un error habitual es pensar que para detectar una estafa hay que saber analizar smart contracts, tokenomics o código. A veces ayuda, pero muchas estafas se pueden descartar bastante antes.
Si alguien se pone en contacto contigo y quiere que hagas algo con tu dinero, plantéate estas preguntas:
| Comprueba esto | Señal de alerta | Qué haría |
|---|---|---|
| ¿Quién inició el contacto? | Te escribieron sin haberlo solicitado. | Buscaría la empresa o persona de forma independiente y usaría únicamente sus canales oficiales. |
| ¿Qué rentabilidad prometen? | Beneficios altos, constantes o garantizados. | No enviaría dinero hasta entender exactamente de dónde sale el rendimiento. |
| ¿Te meten prisa? | “Solo hoy”, “últimas plazas”, “tu cuenta será bloqueada”. | Detendría la operación. La urgencia artificial es una técnica clásica de ingeniería social. |
| ¿Puedes retirar? | Te exigen otro depósito, impuesto o comisión inesperada para liberar el saldo. | No enviaría más dinero y contactaría con la plataforma por canales verificados. |
| ¿Te piden información sensible? | Seed phrase, clave privada, contraseña o código 2FA. | Cortaría el contacto inmediatamente. |
| ¿Dónde estás entrando? | Dominio extraño, aplicación recibida por enlace o QR, web casi idéntica a otra conocida. | Entraría manualmente desde la web o aplicación oficial. |
| ¿La empresa está autorizada? | No aparece donde debería o utiliza datos de otra entidad. | Comprobaría la entidad jurídica exacta en registros oficiales. |
Hay una idea especialmente importante: una web profesional no demuestra absolutamente nada. Un estafador puede copiar el diseño de un exchange, mostrar gráficos, inventar operaciones y fabricar un panel donde aparentemente tienes 30.000 €. Lo difícil no es dibujar un saldo en una pantalla; lo que importa es si ese dinero existe realmente y puedes disponer de él.
Tampoco una pequeña retirada inicial prueba que una plataforma sea legítima. En las falsas inversiones es posible que los delincuentes permitan recuperar cantidades pequeñas para aumentar la confianza y conseguir después depósitos mucho mayores. Si quieres aprender a revisar el activo además de la plataforma, nuestra guía sobre cómo analizar una criptomoneda antes de invertir entra en los aspectos que sí deberían poder verificarse.
Las estafas con criptomonedas más habituales
No todas funcionan igual. Algunas intentan que envíes voluntariamente tus criptomonedas; otras buscan tus credenciales; otras consiguen que firmes una autorización desde tu wallet. Saber dónde está la trampa cambia por completo la forma de protegerte.
Falsas plataformas de inversión
Es uno de los formatos más peligrosos porque puede prolongarse durante semanas o meses. Llegas mediante un anuncio, una recomendación en redes sociales, un supuesto asesor o alguien que te contacta directamente. Creas una cuenta y el panel comienza a mostrar ganancias.
Después suelen pedirte que aumentes la inversión. El problema aparece cuando intentas retirar una cantidad importante: necesitas pagar una nueva comisión, un supuesto impuesto, un depósito de garantía, una tasa contra el blanqueo o cualquier otro concepto que justifique ingresar más dinero.
Un saldo que solo existe en la web del supuesto broker no demuestra que exista una inversión detrás. Si has depositado 5.000 € y la plataforma afirma que ahora tienes 12.000 €, esos 12.000 € no son una ganancia real mientras la información proceda únicamente de una interfaz que controla la propia plataforma.
La Policía y la Guardia Civil han investigado en España esquemas de este tipo con webs de inversión aparentemente legítimas y procesos de captación prolongados. La sofisticación visual, por tanto, no debería entrar entre tus criterios para decidir si una inversión es fiable.
Phishing y falso soporte técnico
Recibes un mensaje que parece proceder de tu exchange o wallet. Hay un problema de seguridad, una transacción pendiente o una actualización urgente. El enlace conduce a una web muy parecida a la original, pero está diseñada para robar credenciales.
Otra variante empieza cuando tú mismo buscas ayuda. Publicas en Telegram, Discord, Reddit o X que tienes un problema y aparece inmediatamente una cuenta llamada algo parecido a “Support”, “Admin” o “Help Desk”. Después te propone “sincronizar”, “validar” o “recuperar” la wallet.
Si quieres ver cómo funciona esta técnica con más detalle, tenemos una guía específica sobre phishing en criptomonedas.
La regla aquí es sencilla: ningún soporte legítimo necesita tu seed phrase o clave privada para ayudarte. La frase semilla puede permitir reconstruir las claves de tu wallet; entregarla equivale a entregar el control de los activos asociados. ESMA también identifica la petición de claves privadas o frases semilla como una señal directa de alerta.
Esquemas Ponzi y pirámides disfrazados de inversión cripto
Un Ponzi puede pagar de verdad al principio. Precisamente ahí está la trampa.
Los primeros participantes reciben supuestos rendimientos procedentes del dinero aportado por participantes posteriores. Los pagos iniciales crean confianza, aparecen testimonios positivos y algunas víctimas terminan recomendando la plataforma a familiares o amigos.
El problema es que no existe una actividad económica sostenible que genere esos rendimientos. Cuando disminuye la entrada de capital nuevo, el sistema deja de poder mantener los pagos.
Por eso, haber cobrado durante tres meses no demuestra que el negocio sea legítimo. Puedes profundizar en cómo funcionan los esquemas Ponzi con criptomonedas. Las autoridades europeas describen exactamente este mecanismo: las aportaciones recientes financian los pagos a participantes anteriores hasta que el esquema termina derrumbándose.
Rug pulls, tokens creados para engañar y pump and dump
Aquí sí existe una criptomoneda o token, pero eso no garantiza que exista un proyecto legítimo detrás.
En un rug pull, quienes controlan el proyecto pueden retirar liquidez, vender masivamente sus tokens, manipular elementos del contrato o abandonar el proyecto después de atraer capital. En un pump and dump, un grupo impulsa artificialmente el precio y el interés por un activo para vender sus posiciones contra los compradores que llegan después.
Este riesgo aparece con especial frecuencia en activos pequeños donde hay poca liquidez y una fuerte concentración de tokens. Es una de las razones por las que conviene extremar las precauciones con memecoins y proyectos que dependen casi exclusivamente del ruido en redes sociales.
Ahora bien, que un token caiga un 90 % no demuestra por sí solo que haya existido una estafa. Una inversión puede salir desastrosamente mal sin que exista fraude. Lo relevante es buscar evidencias de engaño, manipulación, apropiación de fondos o falsas afirmaciones, no etiquetar como estafa cualquier proyecto que pierda valor.
ICO y preventas fraudulentas
Una preventa puede montar todos los elementos que asociamos con un proyecto serio: whitepaper, roadmap, tokenomics, perfiles de equipo y una web trabajada. Ninguno de ellos es suficiente de forma aislada.
Antes de participar, habría que comprobar quién controla realmente el proyecto, qué derechos concede el token, cómo se distribuye la oferta, cuándo desbloquea el equipo sus tokens, dónde estará la liquidez y si las afirmaciones realizadas son verificables.
Nuestra guía sobre qué es una ICO y qué riesgos tiene explica estas diferencias con más detalle.
Falsos sorteos y suplantación de famosos
El mensaje es atractivo por su sencillez: “Envía 0,1 BTC y recibirás 0,2 BTC”, “conecta tu wallet para reclamar el airdrop” o “esta persona famosa está regalando criptomonedas”.
Las imágenes, vídeos o retransmisiones pueden estar manipulados. La aparición de una persona conocida no sustituye la verificación, aunque el vídeo parezca convincente.
ESMA incluye expresamente entre las estafas cripto los falsos giveaways que utilizan la imagen de personas o marcas conocidas para prometer que multiplicarán los criptoactivos enviados.
Estafas sentimentales y falsas inversiones de alguien que conoces por Internet
No siempre hay una propuesta de inversión el primer día. De hecho, las más elaboradas hacen exactamente lo contrario.
Una persona inicia una conversación aparentemente normal a través de redes sociales, WhatsApp o una aplicación de citas. La relación se desarrolla durante días o semanas hasta que aparece el tema de las inversiones. Entonces te muestra sus supuestos beneficios y te ayuda a abrir una cuenta en una plataforma determinada.
Puede incluso acompañarte durante todo el proceso y parecer genuinamente preocupada por tus resultados. La relación personal es precisamente el mecanismo de la estafa.
Las autoridades europeas advierten de estas estafas afectivas de inversión, en las que primero se construye confianza y solo después se introduce la falsa oportunidad financiera.
Airdrops y firmas maliciosas desde la wallet
Esta modalidad es diferente porque el atacante no siempre necesita que le envíes directamente los fondos.
Puede aparecer un token inesperado en tu wallet, un NFT, una web que promete un airdrop o una aplicación que te pide conectar el monedero. El peligro llega al aprobar una operación cuyo efecto real no entiendes.
Conectar una wallet no significa automáticamente perder tus activos. El problema es qué permisos concedes y qué firmas posteriormente. Determinadas autorizaciones pueden permitir a un contrato gastar tokens de tu dirección.
Esto también explica por qué usar un exchange descentralizado exige prestar especial atención a contratos, permisos y direcciones. La autocustodia elimina ciertos riesgos de intermediario, pero también desplaza más responsabilidad hacia ti.
Address poisoning: una dirección casi idéntica en tu historial
Esta estafa explota un hábito muy concreto: copiar la dirección de una transferencia anterior desde el historial de la wallet.
El atacante genera una dirección visualmente parecida a otra con la que ya has operado y realiza una pequeña transacción para conseguir que aparezca entre tus movimientos recientes. En una transferencia posterior puedes copiar por error la dirección falsa.
ESMA alerta específicamente de esta técnica. La defensa práctica es sencilla: no compruebes únicamente los cuatro primeros y últimos caracteres; verifica la dirección de destino con una fuente fiable antes de confirmar transferencias importantes.
Ocho señales que pesan más que cualquier logo o testimonio
Una señal aislada puede tener una explicación. Varias juntas deberían hacer que no envíes un euro hasta haber aclarado lo que sucede.
- Rentabilidad garantizada o prácticamente sin riesgo. Los criptoactivos tienen riesgo y nadie puede garantizarte de forma creíble grandes beneficios futuros simplemente porque utilice trading, arbitraje, minería, IA o bots.
- Presión para actuar inmediatamente. Una inversión que deja de existir porque has esperado unas horas para verificarla no merece que sacrifiques controles básicos de seguridad.
- Contacto inesperado. Desconfía especialmente de supuestos asesores, agentes de soporte, empleados de exchanges o inversores profesionales que se presentan sin que tú los hayas buscado.
- Petición de seed phrase, clave privada, contraseña o código 2FA. No los compartas. Quien obtiene determinadas credenciales puede asumir el control de tu cuenta o wallet.
- Nuevos pagos para retirar dinero. Si cada intento de retirar genera un nuevo impuesto, seguro, depósito o desbloqueo, no sigas aportando fondos sin verificar de forma independiente lo que está ocurriendo.
- Información que solo puedes comprobar dentro de su propia web. Testimonios, rentabilidades, certificados, operaciones y saldos pueden fabricarse. Busca evidencia independiente.
- Reclutamiento como parte esencial del negocio. Si el sistema necesita constantemente nuevos participantes y recompensa especialmente traer gente, hay que entender de dónde procede realmente el dinero.
- Web, aplicación o entidad difíciles de verificar. Un nombre comercial conocido tampoco basta: los delincuentes pueden suplantar empresas que sí existen.
Estas señales encajan con las advertencias publicadas tanto por ESMA como por la CNMV: ofertas no solicitadas, grandes rentabilidades, urgencia, webs sospechosas y presión para continuar aportando capital son patrones que merecen especial cautela.
Cómo comprobar una plataforma cripto desde España
Aquí hay un cambio importante frente a muchas guías antiguas. En España, el periodo transitorio de MiCA terminó el 30 de junio de 2026. Para prestar servicios de criptoactivos en la UE, los proveedores sujetos a MiCA deben cumplir el régimen de autorización o notificación aplicable.
Antes de utilizar una plataforma, puedes consultar el registro de proveedores de servicios de criptoactivos de la CNMV y los registros europeos de ESMA. La propia CNMV recomienda comprobar tanto la autorización como la entidad jurídica concreta que te presta el servicio, porque una misma marca puede operar mediante distintas sociedades.
También conviene revisar el buscador de advertencias de la CNMV. Que una entidad no aparezca en una lista de advertencias no demuestra que sea legítima: las listas no pueden contener automáticamente cada fraude nuevo que aparece en Internet.
Y hay otro matiz fundamental: una autorización no convierte cualquier operación en segura. No evita pérdidas por precio, no certifica automáticamente cada token que se negocia y tampoco impide que un delincuente suplante a una empresa autorizada. Si todavía no tienes claras estas capas de riesgo, nuestra guía sobre los riesgos de invertir en criptomonedas las separa entre mercado, custodia, contraparte, tecnología y fraude.
Antes de enviar dinero, haz esta comprobación de cinco minutos
No necesitas realizar una investigación forense. Basta con introducir fricción justo en el momento en que la estafa necesita que actúes deprisa.
- Cierra el enlace que te han enviado. Busca tú mismo la web o aplicación oficial.
- Comprueba el nombre legal de la empresa. No te limites a verificar la marca o el logo.
- Consulta los registros de CNMV y ESMA. Confirma que la entidad concreta está autorizada para prestar los servicios correspondientes.
- Busca advertencias independientes. Comprueba el nombre de la empresa, dominio, teléfono y personas implicadas junto con términos como “estafa”, “fraude” o “scam”.
- Pregunta de dónde sale el rendimiento. “Bot de IA”, “arbitraje automático” o “trading profesional” no explican un modelo económico.
- Revisa cómo funcionan las retiradas. Especialmente si existen bloqueos, permanencias o pagos adicionales.
- No instales aplicaciones de control remoto. Un supuesto asesor no necesita controlar tu ordenador para ayudarte a invertir.
- Haz que otra persona revise la situación. Explicar la oferta en voz alta a alguien que no está involucrado ayuda a detectar contradicciones que la presión emocional puede ocultar.
Esta disciplina vale más que buscar la inversión perfecta. De hecho, muchos de los errores de principiantes al invertir en criptomonedas tienen la misma raíz: tomar decisiones antes de haber entendido qué se está comprando y qué riesgo se está asumiendo.
Me han estafado con criptomonedas: qué hacer ahora
Si sospechas que ya has caído, el objetivo cambia. Ya no se trata de analizar si la oportunidad era buena, sino de evitar que la pérdida aumente y conservar información útil.
1. No envíes más dinero
Que ya hayas depositado 2.000 € no convierte en razonable enviar otros 500 € para “desbloquearlos”. El dinero anterior es una pérdida potencial; no debe empujarte a asumir una exposición mayor.
Si la plataforma afirma que necesitas realizar otro pago para retirar, detente y verifica la situación por otra vía.
2. Corta el contacto, pero conserva las pruebas
No borres conversaciones antes de guardar lo que pueda ser relevante.
Conserva:
- Capturas de pantalla de conversaciones y perfiles.
- Direcciones de wallet implicadas.
- Hashes o identificadores de las transacciones.
- Correos electrónicos y números de teléfono.
- Dominio y URL de la plataforma.
- Justificantes bancarios o de tarjeta.
- Documentos, contratos y publicidad recibida.
- Fechas, cantidades y criptomonedas transferidas.
El historial de una blockchain puede ayudar a seguir movimientos, pero eso no significa que tú puedas recuperar unilateralmente una transferencia.
3. Contacta cuanto antes con el banco o proveedor cripto
Si has utilizado tarjeta o transferencia bancaria, informa inmediatamente a tu entidad financiera y pregunta qué actuaciones siguen siendo posibles.
Si las criptomonedas salieron desde un exchange, contacta con el soporte a través de la aplicación o web oficial. Una transferencia confirmada en una blockchain normalmente no dispone de un mecanismo general de reversión, pero un proveedor podría disponer de información adicional o adoptar medidas si los fondos terminan en cuentas bajo su control. ESMA recomienda contactar rápidamente con el proveedor precisamente por este motivo.
4. Si has revelado una seed phrase, crea una wallet nueva
Cambiar la contraseña de la aplicación no soluciona una seed phrase comprometida.
Si un tercero conoce tu frase de recuperación, debes considerar comprometidas las claves derivadas de ella. Genera una wallet nueva, con una seed nueva, utilizando un entorno fiable y transfiere allí los activos que sigan bajo tu control.
Nunca reutilices la seed expuesta.
5. Si has conectado la wallet a una web sospechosa, revisa los permisos
Si el problema fue la firma de una aprobación maliciosa, revisa las autorizaciones concedidas a contratos y revoca las que no reconozcas.
ESMA recomienda comprobar y revocar permisos sospechosos cuando exista riesgo de que un contrato pueda gastar tokens desde la wallet. Si existe la posibilidad de que la propia clave privada o seed haya quedado comprometida, revocar permisos no basta: habría que trasladar los activos restantes a una wallet segura.
6. Cambia credenciales y refuerza la cuenta
Si has introducido usuario y contraseña en una web falsa, cambia inmediatamente esa contraseña en el servicio auténtico y en cualquier otro sitio donde la hubieras reutilizado.
Activa autenticación en dos pasos y revisa:
- Dispositivos con sesiones abiertas.
- Claves API.
- Direcciones de retirada guardadas.
- Cambios recientes en los datos de seguridad.
- Correos o teléfonos vinculados a la cuenta.
Dentro de una estrategia más amplia, merece la pena aplicar una gestión del riesgo en criptomonedas que no se limite a decidir cuánto comprar, sino que incluya custodia, seguridad de cuentas y límites de exposición.
7. Denuncia
En España, reúne las evidencias y presenta denuncia ante Policía Nacional, Guardia Civil o la autoridad competente. Si el caso está relacionado con una entidad financiera o un proveedor que actúa sin la autorización correspondiente, también puedes poner la situación en conocimiento de la CNMV.
Para orientación sobre el incidente digital, INCIBE dispone del servicio nacional Tu Ayuda en Ciberseguridad, 017, gratuito y confidencial. También atiende mediante WhatsApp en el 900 116 117, Telegram en @INCIBE017 y formulario web.
Mucho cuidado con quien promete recuperar tus criptomonedas
Después de una estafa aparece un riesgo que demasiadas guías dejan para el final: ser estafado por segunda vez.
Alguien contacta contigo afirmando ser abogado, investigador blockchain, hacker, policía, regulador o especialista en recuperación de activos. Parece conocer detalles del fraude y asegura que ha localizado el dinero. Solo tienes que adelantar honorarios, impuestos o una tasa para recuperarlo.
Puede que conozcan detalles porque los propios delincuentes comparten o venden información sobre las víctimas.
INCIBE denomina esta modalidad recovery room y advierte específicamente de los fraudes que se dirigen a personas que ya han perdido dinero en falsas inversiones de criptomonedas.
Desconfía especialmente cuando alguien:
- Te garantiza la recuperación de las criptomonedas.
- Se pone en contacto contigo sin que hayas solicitado sus servicios.
- Afirma tener acceso privilegiado a una blockchain o exchange.
- Exige pagos anticipados en criptomonedas.
- Te pide claves, seed phrase o acceso remoto al dispositivo.
- Dice representar a una autoridad pero utiliza correos, teléfonos o cuentas que no puedes verificar por tu cuenta.
Un profesional legítimo puede cobrar por un servicio jurídico, técnico o de investigación. Lo que debería encender las alarmas es la combinación de contacto inesperado, recuperación garantizada, presión y pagos sucesivos.
Cripto no convierte una estafa en una inversión, ni una mala inversión en una estafa
Conviene separar ambas cosas.
Una criptomoneda legítima puede caer un 70 %. Un protocolo conocido puede sufrir un hack. Un exchange autorizado puede experimentar problemas operativos. Ninguno de esos hechos demuestra automáticamente fraude.
A la inversa, que una plataforma pague durante meses, tenga miles de usuarios, presente una app impecable o permita una primera retirada tampoco demuestra que sea legítima.
La pregunta útil no es solo “¿puedo ganar dinero?”, sino “¿puedo verificar de forma independiente quién controla mi dinero, de dónde procede la rentabilidad, qué derechos tengo y qué tendría que pasar para perderlo?”. Esa forma de pensar protege mejor que cualquier lista de nombres concretos, porque las estafas cambian de dominio, token y argumento; sus mecanismos económicos y psicológicos cambian mucho menos.
Aviso de riesgo: los criptoactivos pueden ser muy volátiles y puedes perder parte o la totalidad del capital invertido. Este contenido tiene fines informativos y no constituye asesoramiento financiero.
