La seguridad cripto empieza por saber qué puede mover tus fondos
Hay una diferencia importante entre que alguien robe tus criptomonedas y que tú pierdas el acceso a ellas. En el primer caso, un atacante consigue una contraseña, una clave, una autorización o te engaña para firmar. En el segundo, puedes perder una seed phrase, olvidar una passphrase o quedarte sin un respaldo válido.
Por eso, hablar simplemente de una «wallet segura» se queda corto. Primero hay que identificar dónde está el poder de autorizar operaciones.
| Si utilizas… | Lo que debes proteger especialmente | Defensa principal |
|---|---|---|
| Exchange centralizado | Correo, contraseña, recuperación de cuenta y segundo factor | Contraseña única, MFA fuerte, correo protegido y restricciones de retirada |
| Hot wallet | Claves/seed y dispositivo | Copia de recuperación segura, dispositivo actualizado y cuidado con firmas |
| Hardware wallet | Seed phrase, dispositivo y proceso de firma | Seed offline y verificación en la pantalla del propio dispositivo |
| DeFi | Claves más permisos concedidos a contratos | Wallet separada, revisión de firmas y gestión de approvals |
| Transferencias on-chain | Dirección, red y activo | Dirección verificada, whitelist y prueba previa cuando compense |
Esta distinción evita uno de los errores de principiantes al invertir en criptomonedas más habituales: instalar muchas medidas de seguridad sin tener claro qué amenaza cubre cada una.
Blinda primero el correo y las cuentas de tus exchanges
Si guardas criptomonedas en un exchange, proteger solo la contraseña del exchange no basta. El correo vinculado suele formar parte del proceso de recuperación de la cuenta, así que comprometerlo puede abrir otra vía de ataque.
Usaría una contraseña larga, aleatoria y exclusiva para cada servicio, generada y almacenada en un gestor de contraseñas. Reutilizar la misma contraseña en el correo y el exchange convierte una filtración ocurrida en cualquier otra web en un problema mucho mayor.
El siguiente paso es la autenticación multifactor. Si la plataforma admite una passkey o una llave de seguridad basada en FIDO/WebAuthn, la preferiría frente a métodos que obligan a escribir manualmente un código. NIST considera los métodos criptográficos de este tipo resistentes al phishing, mientras que los códigos OTP introducidos manualmente no ofrecen esa misma protección. NIST Pages
Si esa posibilidad no existe, una aplicación TOTP es una alternativa razonable. El SMS lo dejaría como última opción cuando el servicio no permita algo mejor: entre otros problemas, puede verse afectado por ataques de SIM swapping. INCIBE también sitúa los códigos mediante aplicación por encima del SMS dentro de sus recomendaciones de autenticación. Incibe
Hay cuatro ajustes más que revisaría siempre que el exchange los ofrezca: dispositivos y sesiones activas, código antiphishing para los correos, alertas de inicio de sesión o retirada y una whitelist de direcciones de retirada.
La whitelist merece especialmente la pena para una cuenta donde mantengas cantidades relevantes. Aunque un atacante consiguiera entrar, añadir una nueva dirección de destino puede exigir controles adicionales o provocar un periodo de bloqueo, según la plataforma.
Si no tienes claro qué riesgos estás delegando al utilizar una plataforma de este tipo, conviene entender primero qué es un exchange de criptomonedas y qué debes revisar antes de usarlo.
Autocustodia no significa automáticamente mayor seguridad
Mover tus criptomonedas desde un exchange a una wallet propia elimina parte del riesgo de contraparte, pero a cambio te convierte en responsable directo de las claves.
Ese intercambio es importante. Una wallet no guarda las criptomonedas físicamente dentro del móvil o del dispositivo. Los activos permanecen registrados en la blockchain; la wallet gestiona las claves que permiten firmar operaciones sobre ellos.
En autocustodia desaparece buena parte de la protección que te aporta una cuenta convencional: si alguien obtiene el secreto que permite reconstruir tus claves, cambiar la contraseña de la aplicación después no soluciona el problema.
Una hot wallet tiene sentido para cantidades destinadas a utilizarse con frecuencia. Para fondos que no necesitas mover habitualmente, una hardware wallet puede reducir la exposición de las claves a un ordenador o móvil conectado a Internet.
Pero una hardware wallet tampoco es una caja fuerte mágica. No puede protegerte si entregas voluntariamente tu seed phrase a un estafador, apruebas una operación maliciosa o copias una dirección equivocada.
Para muchas personas funciona mejor separar funciones: una cantidad pequeña en una wallet de uso habitual y una wallet distinta para ahorro o almacenamiento a largo plazo. El mismo principio puede aplicarse al decidir entre DEX y CEX según la custodia y el riesgo que quieras asumir.
Tu seed phrase necesita reglas distintas a una contraseña
Una seed phrase o frase de recuperación permite derivar las claves de una wallet compatible. No es simplemente otra contraseña.
Si alguien consigue una copia válida, puede reconstruir la wallet sin necesitar tu teléfono, el PIN de la aplicación ni el 2FA de tu correo. Por eso una seed comprometida debe considerarse comprometida para siempre.
Para un usuario particular, evitaría fotografías, capturas de pantalla, notas del móvil, correos enviados a uno mismo y archivos normales de Google Drive, iCloud o Dropbox. Una copia física correctamente protegida elimina buena parte de esa exposición online.
Tampoco guardaría la seed junto al dispositivo que protege. Tener la hardware wallet y su copia de recuperación en el mismo cajón resuelve poco frente a un robo, incendio u otro incidente físico.
Duplicar el respaldo tiene un trade-off: reduce el riesgo de perderlo, pero crea otro punto desde el que alguien podría robarlo. La solución no es acumular diez copias, sino elegir conscientemente dónde están y quién puede acceder a ellas.
Y hay una regla que no admite demasiados matices: un supuesto soporte técnico que te pida la seed phrase no está intentando arreglar tu wallet. Las autoridades europeas señalan precisamente las solicitudes de claves privadas, contraseñas o frases de recuperación como una señal clara de fraude. Esma
Si configuras una hardware wallet nueva, genera tú mismo su recuperación mediante el procedimiento oficial del dispositivo. Una tarjeta con palabras ya escritas que aparezca dentro de una caja supuestamente nueva es una señal para no utilizar esa configuración.
El phishing moderno ya no siempre parece phishing
Los correos con faltas de ortografía siguen existiendo, pero confiar en que una estafa «se verá cutre» es una defensa bastante pobre.
Un ataque puede imitar la web de un exchange, hacerse pasar por soporte, aparecer mediante un anuncio, utilizar un QR, enviarte una falsa alerta de seguridad o decirte que debes actualizar urgentemente tu wallet. INCIBE define precisamente el phishing como una suplantación de una entidad legítima destinada a conseguir información, realizar cargos o introducir malware. Incibe
Nuestra guía específica sobre phishing en criptomonedas entra más a fondo en estas técnicas, pero hay un hábito que evita bastantes problemas: no utilices el enlace que te llega para resolver la urgencia que ese mismo mensaje acaba de crear.
Abre la aplicación directamente o entra mediante un marcador que hayas guardado previamente. Comprueba el dominio. Un candado HTTPS cifra la conexión, pero no demuestra que la empresa detrás de esa web sea legítima.
Y desconfía especialmente cuando alguien te escribe primero ofreciéndose a solucionar un problema que acabas de comentar en Telegram, Discord, X o Reddit. ESMA incluye expresamente la suplantación de exchanges, proveedores de wallets y servicios de soporte entre las estafas dirigidas a usuarios de criptoactivos. Esma
En España incluso pueden suplantarse organismos públicos. La Agencia Tributaria alertó en 2026 de correos fraudulentos que reclamaban supuestas regularizaciones fiscales mediante pagos a direcciones de criptomonedas y recordó que la AEAT no utiliza wallets blockchain para cobrar impuestos. Agencia Tributaria
La apariencia profesional no demuestra nada. Si quieres reconocer patrones más amplios —falsas inversiones, recuperadores de fondos, esquemas piramidales o suplantaciones— tienes nuestra guía sobre estafas en criptomonedas.
Separa el dispositivo con el que navegas del dinero que quieres proteger
Cuanto mayor sea la cantidad que proteges, menos sentido tiene utilizar el mismo entorno digital para absolutamente todo.
No necesitas comprar un ordenador exclusivamente para tener 200 € en Bitcoin. Pero sí tiene sentido reducir la superficie de ataque: sistema operativo actualizado, navegador al día, pocas extensiones y aplicaciones descargadas desde fuentes verificadas.
Las extensiones de navegador merecen atención especial porque algunas wallets funcionan precisamente de esa forma. Instalar software innecesario aumenta el número de componentes con capacidad potencial para leer o alterar lo que haces en el navegador.
Para cantidades más importantes puede resultar razonable utilizar un perfil de navegador separado —o incluso un dispositivo dedicado— para operar con exchanges y wallets. No es invulnerable, pero evita mezclar tu entorno financiero con descargas, juegos, extensiones y webs aleatorias.
También bloquearía el móvil y el ordenador con un método sólido y activaría el cifrado del dispositivo cuando esté disponible. El objetivo no es conseguir seguridad perfecta, sino que robarte físicamente el teléfono no equivalga automáticamente a acceder a todo tu ecosistema financiero.
Antes de enviar criptomonedas, verifica el destino fuera del historial
Copiar y pegar una dirección parece una operación trivial, pero tiene un problema: estamos acostumbrados a reconocer cadenas muy largas mirando solo cuatro caracteres del principio y cuatro del final.
Los estafadores pueden aprovecharlo mediante address poisoning. Envían pequeñas transacciones desde direcciones deliberadamente parecidas a otra con la que ya has operado, de forma que la dirección falsa aparezca en tu historial. ESMA ha advertido específicamente sobre este método. Esma
Por eso no copiaría una dirección importante desde el historial de transacciones sin más.
Cuando el importe lo justifique, recupera la dirección desde una fuente que controles, utiliza una whitelist si es posible y comprueba varios segmentos. Si firmas con una hardware wallet, verifica el destino en la propia pantalla del dispositivo, no únicamente en el ordenador.
Una primera transferencia pequeña también puede tener sentido antes de mover una cantidad grande, especialmente al utilizar por primera vez una dirección, red o plataforma. Tendrás que valorar el coste de red: pagar 15 € de comisión para comprobar un envío de 20 € obviamente pierde bastante sentido.
También comprueba activo y red, no solo la dirección. Que dos cadenas utilicen direcciones con un formato parecido no significa que puedas transferir cualquier token entre ellas.
Firmar en DeFi puede ser tan importante como proteger la seed
Aquí aparece un riesgo que muchas guías para principiantes apenas separan del phishing.
Cuando conectas una wallet a una aplicación descentralizada puedes conceder permisos a smart contracts. Algunos approvals permiten que una dirección o contrato gaste determinado token hasta un límite concreto. Si concedes un permiso malicioso o excesivamente amplio, el atacante puede no necesitar conocer tu seed.
Las autoridades europeas recomiendan revisar y revocar permisos sospechosos precisamente por este motivo. Esma
Eso no significa que toda firma sea peligrosa ni que cualquier approval permita vaciar automáticamente toda tu wallet. Significa que debes entender qué estás autorizando antes de firmar.
Si utilizas DeFi con frecuencia, separaría la wallet donde guardas el grueso de tus fondos de la que conectas a protocolos nuevos, airdrops o aplicaciones experimentales. Así reduces el radio de daño de una mala firma.
Revisaría también los permisos antiguos de vez en cuando. Un protocolo que utilizaste hace un año no necesita conservar necesariamente una autorización abierta para gastar tus tokens hoy.
Una auditoría del protocolo ayuda, pero tampoco equivale a garantía de seguridad. El riesgo puede estar en el contrato, en la interfaz web, en una dependencia externa o simplemente en lo que tú firmas.
En España, comprobar la autorización del proveedor ya no es opcional
Hay otra capa de seguridad que no depende de contraseñas: elegir con quién estás operando.
Desde el 1 de julio de 2026, la CNMV indica que en España solo pueden prestar los servicios cubiertos por MiCA proveedores autorizados por la propia CNMV o por otra autoridad competente de la UE. También recomienda comprobar el proveedor en los registros de CNMV y ESMA y verificar qué entidad jurídica concreta te está prestando el servicio. CNMV
Eso mejora el punto de partida, pero autorizado no significa libre de riesgo. La propia CNMV recuerda que los criptoactivos continúan expuestos a fraude, ciberataques y errores operativos, y que no existe un sistema de indemnización al inversor equivalente que cubra una eventual quiebra del proveedor. CNMV
Por eso tiene sentido leer también los riesgos de invertir en criptomonedas que MiCA no elimina.
Si ya has decidido utilizar un exchange, puedes abrir Bitvavo desde nuestro enlace de partner. Bitvavo está autorizado bajo MiCA por la autoridad neerlandesa AFM y ofrece controles como 2FA, código antiphishing y whitelist de direcciones de retirada; yo los activaría antes de mover una cantidad relevante. Eso no convierte al exchange en una cuenta bancaria ni elimina el riesgo de custodia. Bitvavo
También puedes consultar nuestro análisis de Bitvavo antes de decidir si encaja con tu forma de operar.
Qué hacer si crees que tus criptomonedas están comprometidas
Aquí el orden importa. No dediques media hora a investigar qué pasó mientras una wallet comprometida sigue teniendo fondos.
- Deja de interactuar desde el dispositivo sospechoso. Si crees que puede existir malware, utiliza otro dispositivo fiable para proteger cuentas y fondos.
- Determina qué secreto está comprometido. No es lo mismo una contraseña filtrada que una seed phrase expuesta. Si alguien ha visto tu seed o clave privada, considera comprometida toda wallet derivada de ese secreto.
- Mueve los fondos que sigan a salvo cuando sea necesario. Si la seed está expuesta, crea una wallet nueva con un secreto completamente nuevo desde un entorno fiable y transfiere allí lo que todavía controles. ESMA recomienda mover los activos restantes a una nueva wallet cuando la anterior está comprometida. Esma
- Si el problema es una aprobación maliciosa, revoca los permisos afectados. Revisa los approvals utilizando herramientas fiables del ecosistema correspondiente. Si también sospechas que las claves están comprometidas, revocar un permiso no basta.
- En una cuenta de exchange, contacta inmediatamente con el soporte mediante el canal oficial. Cambia credenciales, revisa sesiones, métodos de recuperación, API y direcciones autorizadas. El proveedor podría llegar a bloquear una cuenta receptora interna en determinados casos, aunque una transferencia on-chain normalmente no puede simplemente deshacacerse. Esma
- Guarda pruebas y denuncia el fraude. Conserva hashes de transacciones, direcciones, correos, capturas, teléfonos y conversaciones. Y ten cuidado con el segundo fraude: alguien que aparece después prometiendo «recuperar» las criptomonedas a cambio de otra transferencia. Las autoridades europeas advierten expresamente sobre estas llamadas recovery scams. Esma
Una configuración de seguridad sensata según cómo uses cripto
No todo el mundo necesita el mismo despliegue. Añadir complejidad sin comprenderla también puede hacerte perder fondos.
| Tu uso | Configuración que priorizaría |
|---|---|
| Compras pequeñas y ocasionales | Exchange autorizado, contraseña única, correo protegido y MFA fuerte |
| Operas con frecuencia | Lo anterior más whitelist, alertas, revisión de sesiones y protección antiphishing |
| Mantienes cantidades relevantes a largo plazo | Hardware wallet, recuperación offline y procedimiento de respaldo probado |
| Usas DeFi habitualmente | Wallet de ahorro separada de la wallet de interacción y revisión periódica de approvals |
| Gestionas importes realmente altos | Hardware wallet y planteamiento más avanzado de redundancia, separación física o multisig si sabes administrarlo |
La idea no es que el mayor nivel técnico sea siempre el mejor. Un multisig mal configurado puede darte más problemas que una hardware wallet sencilla bien protegida. Una passphrase avanzada que nadie sabe recuperar puede convertir una defensa frente al robo en una pérdida definitiva.
La seguridad buena es la que sigue funcionando cuando pierdes el móvil, olvidas una contraseña, recibes un mensaje convincente o necesitas recuperar tus fondos dos años después. Diseña para esos días, no solo para cuando todo funciona.
Y recuerda la separación fundamental: la seguridad operativa protege frente a robos y errores; no protege frente a una caída del mercado. Son riesgos distintos y merece la pena tratarlos por separado.
Aviso de riesgo: los criptoactivos pueden sufrir pérdidas significativas y ninguna medida de ciberseguridad elimina el riesgo de mercado, custodia, contraparte o protocolo. Este contenido tiene fines informativos y no constituye asesoramiento financiero.
