Cómo saber si han hackeado tu billetera de criptomonedas: 10 señales de alerta

Una transferencia confirmada que no autorizaste es la señal más clara de que algo anda mal. Pero una billetera puede dejar de ser segura antes de que desaparezca dinero. Una frase de recuperación robada, un permiso de gasto oculto o un cambio en quién controla la billetera pueden dar acceso a un atacante mientras tu saldo sigue pareciendo normal.

Algunas de las señales siguientes apuntan a un robo real. Otras indican que tu billetera o dispositivo podrían estar expuestos. La diferencia importa porque la solución depende de cómo obtuvo acceso el atacante.

Si los fondos están saliendo en este momento, deja de enviar dinero a la billetera y ve directamente a los pasos de respuesta que aparecen al final.

¿Qué significa realmente que hayan hackeado una billetera de criptomonedas?

Tus criptomonedas se registran en una cadena de bloques. Tu billetera te permite controlarlas mediante claves privadas u otras reglas de autorización. Una frase de recuperación, también llamada frase semilla, puede recrear las claves de muchas cuentas de una billetera.

La gente usa la palabra «hackeada» para referirse a varios problemas distintos:

• Claves robadas: Alguien tiene tu clave privada o frase de recuperación y puede autorizar transacciones desde otro dispositivo.
• Permisos utilizados de forma abusiva: Aprobaste un contrato o firmaste una solicitud que permite a alguien mover ciertos activos. Es posible que tus claves sigan siendo privadas.
• Dispositivo o aplicación comprometidos: Un programa malicioso, una billetera falsa o una extensión maliciosa roba información o modifica lo que estás a punto de enviar.
• Cuenta de un exchange comprometida: Alguien accede a la cuenta donde una empresa custodia criptomonedas por ti.

Una billetera física ayuda a proteger las claves privadas, pero no puede convertir un permiso peligroso en uno seguro. Si autorizas una acción equivocada, la billetera física puede firmarla correctamente.

1. Salen criptomonedas reales de tu billetera sin tu autorización

Encuentras una transferencia completada, una venta de NFT o un retiro que no puedes explicar. Puede ocurrir mientras tu teléfono está apagado o estás lejos de la computadora.

Primero, descarta algo que hayas configurado antes, como un pago automático, un retiro de un exchange o una acción dentro de una aplicación de trading. Después, comprueba la transacción real en la cadena de bloques.

Confirma que se haya movido un activo auténtico y que tu saldo haya disminuido. Una entrada extraña en el historial de actividad de la billetera no basta por sí sola. Los estafadores pueden crear registros engañosos de tokens que parecen mostrar transferencias desde tu dirección.

Cuando confirmes un movimiento no autorizado de activos reales, actúa de inmediato. No hace falta esperar a que vacíen toda la billetera.

2. Los depósitos nuevos desaparecen casi de inmediato

Envías ETH u otra moneda nativa de la red a la billetera para pagar las comisiones de transacción. En cuestión de segundos, va a una dirección desconocida. Con el siguiente depósito ocurre lo mismo.

Es un patrón habitual de un bot de barrido (sweeper bot), un programa que vigila una billetera expuesta y retira automáticamente los fondos disponibles. Tras descartar cualquier automatización que hayas configurado intencionalmente, estos retiros repetidos son una fuerte señal de acceso no autorizado.

El bot puede ejecutarse en la computadora del atacante. Cerrar la aplicación de la billetera o reiniciar el teléfono no lo detendrá. Algunos bots dejan intactos los saldos pequeños hasta que llega un depósito mayor, por lo que el dinero que permanece inmóvil no demuestra que la billetera sea segura.

No sigas añadiendo dinero para gas ni envíes un depósito de prueba. Puede que solo estés financiando al atacante.

3. Encuentras permisos de tokens o NFT que no reconoces

Muchas aplicaciones de criptomonedas solicitan permiso para gastar un token. Estas autorizaciones pueden seguir activas mucho después de que dejes de usar la aplicación.

Las señales de alerta incluyen un usuario autorizado para gastar que se añadió recientemente y que no reconoces, acceso concedido después de visitar un sitio sospechoso o un límite de gasto muy superior al necesario. Un permiso para NFT puede permitir que un operador transfiera todos los NFT que tienes de una colección determinada.

Una autorización ilimitada es habitual en aplicaciones legítimas, así que no demuestra por sí sola que haya ocurrido un hackeo. Lo importante es quién tiene acceso, qué puede mover y si querías conceder ese permiso.

Comprueba la red, el contrato del token auténtico, la dirección autorizada para gastar y el importe. Desconectar el sitio web de la billetera no cancela una autorización que ya está registrada en la cadena de bloques.

4. Una supuesta solicitud de inicio de sesión concede derechos de gasto

Visitas un sitio para iniciar sesión, reclamar una recompensa o verificar tu billetera. Te pide una firma sin comisión de transacción. La solicitud incluye una cantidad de tokens, una dirección autorizada para gastar o una orden de venta de NFT que no querías aprobar.

Algunas firmas permiten autorizar gastos sin que tengas que realizar una transacción de aprobación por separado. Las funciones llamadas Permit y Permit2, junto con las firmas de órdenes en mercados, son ejemplos útiles. Las aplicaciones legítimas las utilizan, pero los estafadores pueden disfrazarlas de pasos inofensivos de inicio de sesión.

La ausencia de una comisión de gas no dice nada sobre la seguridad de la firma.

Hay otra complicación: un permiso firmado pero todavía no utilizado puede permanecer fuera de la cadena de bloques hasta que alguien lo presente. Tu lista habitual de transacciones, y a veces también tu verificador de autorizaciones, pueden parecer limpios mientras el permiso sigue siendo válido.

Si firmaste una solicitud sospechosa, deja de interactuar con el sitio e investiga qué autorizaba la firma. La cancelación depende del tipo de permiso. Revocar una autorización normal no invalida todas las firmas sin utilizar.

5. La billetera tiene un propietario nuevo o un permiso de control desconocido

Algunas billeteras tienen varios propietarios, contactos de recuperación, claves temporales de firma o módulos de software capaces de ejecutar acciones. Suelen llamarse billeteras inteligentes o cuentas inteligentes.

Un propietario que nunca añadiste, una reducción del número de firmas necesarias, un método de recuperación desconocido o un módulo nuevo requieren atención inmediata. Según sus facultades, ese cambio podría permitir que alguien mueva fondos sin tu procedimiento habitual de aprobación.

En Ethereum y las redes compatibles, una función llamada EIP-7702 también permite que una billetera común autorice código para operar a través de su dirección. Una autorización maliciosa puede crear un acceso persistente sin exponer tu frase de recuperación.

Hay un detalle fácil de pasar por alto: con esta función, una delegación aceptada puede permanecer incluso cuando falla la ejecución de la transacción. La etiqueta «fallida» no siempre significa que la configuración de control de la billetera no haya cambiado.

Comprueba estos permisos con las herramientas oficiales de la billetera. Eliminar únicamente las autorizaciones de tokens no eliminará a un propietario desconocido ni una delegación.

6. Tu frase de recuperación o clave privada quedó expuesta

Introdujiste tu frase en un sitio web, se la enviaste a alguien que decía ser del servicio de soporte o la importaste a una aplicación de billetera que resultó ser falsa. También puedes descubrir que una copia de seguridad legible era accesible mediante una cuenta en la nube vulnerada o un archivo compartido.

Considera comprometidas las cuentas controladas por ese secreto, aunque todavía no se haya movido nada. Alguien puede recrear la billetera en otro lugar sin activar una alerta de inicio de sesión en tu aplicación.

Cambiar la contraseña de la aplicación de la billetera no cambiará las claves privadas expuestas. Crear otra cuenta con la misma frase de recuperación tampoco resolverá el problema.

El alcance importa. Una frase de recuperación filtrada puede exponer muchas cuentas. Una clave privada filtrada que se había importado por separado puede afectar solo a la cuenta que controla.

7. Parece que han sustituido tu aplicación o extensión de billetera

Descubres una extensión que nunca instalaste, una descarga de billetera falsa o una alerta de seguridad que identifica software dedicado a robar datos de billeteras. Tu billetera habitual también puede pedirte de repente que la restaures después de un cambio inexplicable.

Una solicitud de restauración puede tener una causa normal, como una reinstalación o el borrado de datos de la aplicación. Es motivo para comprobar el software antes de introducir secretos, no una prueba de robo por sí sola.

Verifica la aplicación desde el sitio oficial del proveedor de la billetera y comprueba la identidad de la extensión. Es fácil copiar un nombre y un logotipo conocidos.

Si ya introdujiste tu frase de recuperación en un software sospechoso, considérala expuesta. Eliminar la aplicación no elimina la copia que el atacante ya tiene.

8. La dirección del destinatario cambia al pegarla

Copias la dirección de un destinatario, la pegas en la billetera y aparece una distinta. Un programa malicioso que manipula el portapapeles puede sustituir direcciones de criptomonedas por otras controladas por un atacante.

Esto apunta a un problema del dispositivo o del software. No significa necesariamente que alguien tenga tu clave privada, pero hace que ese dispositivo sea inseguro para realizar transferencias.

Los atacantes pueden usar direcciones de sustitución que se parecen a la original. Revisar solo los primeros y últimos caracteres puede hacer que pases por alto el cambio. Compara la dirección de destino completa con una copia de confianza. Si usas una billetera física, comprueba la dirección en la pantalla del dispositivo antes de aprobar.

Cancela la transacción si las direcciones difieren. Copiar y pegar repetidamente hasta que una parezca correcta no soluciona el problema.

9. Las pérdidas inexplicables se extienden a varias cuentas o redes

La desaparición de un token puede deberse a un permiso de gasto concreto. Las transferencias no autorizadas en varias cuentas derivadas de la misma frase de recuperación hacen sospechar una exposición más amplia de las claves.

Por ejemplo, las pérdidas en dos redes junto con la actividad de otra cuenta creada con la misma frase merecen una investigación más extensa. Comprueba cada cuenta y red afectada, en vez de suponer que el problema se limita al primer token que notaste que faltaba.

Este patrón ayuda a acotar la causa, pero no es concluyente. Varios permisos maliciosos o una autorización de billetera válida en múltiples redes también pueden causar pérdidas generalizadas.

Es normal que una dirección de billetera coincida en diferentes redes del tipo Ethereum y eso no constituye por sí solo una señal de alerta. La señal es la actividad inexplicable que afecta a esas cuentas.

10. Tu cuenta de exchange muestra accesos o retiros desconocidos

Si guardas criptomonedas en un exchange, comprueba si hay sesiones desconocidas, datos de recuperación modificados, nuevas direcciones de retiro o retiros que no solicitaste. Los cambios no solicitados en la autenticación de dos factores son especialmente graves.

Abre por tu cuenta la aplicación o el sitio web oficiales para verificar la alerta. Un correo alarmante puede ser un intento de phishing. Una ubicación desconocida también puede deberse a una VPN o a la red móvil, así que revisa conjuntamente el dispositivo, la hora y las acciones realizadas en la cuenta.

La toma de control de una cuenta de exchange requiere medidas de seguridad de la cuenta. Utiliza el bloqueo de cuenta o la restricción de retiros del proveedor, si están disponibles, contacta con el soporte oficial y protege tu correo electrónico y tus métodos de autenticación.

Estas comprobaciones de inicio de sesión no se aplican de la misma forma a una billetera básica controlada por una frase de recuperación. Alguien que tenga sus claves quizá nunca necesite iniciar sesión en tu aplicación.

Actividad extraña que no demuestra un hackeo

Varias situaciones habituales pueden parecer alarmantes:

• Un saldo menor en dólares: Puede que el precio haya bajado aunque sigas teniendo la misma cantidad de monedas.
• Tokens que no aparecen en la aplicación: Quizá seleccionaste la cuenta o la red equivocada, ocultaste el token o hay un problema de visualización.
• Una salida de Bitcoin desconocida: Un pago puede devolver el dinero sobrante a una nueva dirección de cambio controlada por tu propia billetera.
• Un token o NFT no solicitado: El spam por sí solo no demuestra que te hayan robado las claves. Ocúltalo en lugar de seguir sus enlaces o firmar una transacción para eliminarlo.
• Transferencias diminutas o de valor cero relacionadas con una dirección que parece conocida: Puede tratarse de envenenamiento de direcciones, mediante el cual los estafadores introducen un destinatario parecido en tu historial para que lo copies después.

Algunos tokens falsos copian el nombre y el símbolo de un token auténtico. Incluso pueden generar registros engañosos de transferencias salientes. Comprueba el contrato del token real y el saldo antes de considerar un registro como prueba de robo.

Evita copiar un destinatario de la actividad reciente. Obtén la dirección directamente de un destinatario verificado o de una libreta de direcciones de confianza.

Cómo comprobar lo que ocurrió realmente

Usa un explorador de cadenas de bloques fiable para la red correcta. Puedes consultar una dirección pública sin conectar la billetera, pagar una comisión ni revelar una frase de recuperación.

Comprueba estos detalles:

1. La cuenta y la red: Asegúrate de examinar la dirección que tenía los activos desaparecidos.
2. El estado de la transacción: Distingue las operaciones pendientes de los movimientos completados. En el caso de delegaciones de billetera, comprueba también si cambiaron los permisos pese a que la ejecución fallara.
3. El activo real: Confirma el contrato del token o la colección de NFT en vez de fiarte del nombre o logotipo.
4. El cambio de saldo y el destino: Identifica qué salió y adónde fue. Revisa las transferencias de tokens y NFT además de la lista principal de transacciones.
5. Los permisos anteriores: Busca autorizaciones, firmas o cambios en el control de la billetera relacionados con la pérdida.

Cuando alguien usa una autorización de tokens para llevarse tus activos, el remitente de la transacción puede ser una cuenta ajena. Eso no significa que la transferencia sea inofensiva. Del mismo modo, un registro de token que muestra tu dirección como origen no demuestra que hayas firmado personalmente una transacción.

Si resulta difícil interpretar los registros de la cadena, comparte la dirección pública y el hash de la transacción con el soporte verificado de la billetera. Esos datos pueden ayudar a investigar sin exponer tus claves.

Qué hacer si se confirman las señales de alerta

Deja de añadir fondos y firmar solicitudes

Suspende los depósitos en la billetera afectada. Rechaza nuevas solicitudes de firma, incluidas las ofertas para «repararla», «validarla» o «desbloquearla». Deja de usar cualquier dispositivo que pueda estar infectado y continúa desde otro dispositivo de confianza.

Si se filtró una frase de recuperación o una clave privada

Si se trata de una billetera común controlada por el secreto expuesto, crea una billetera nueva con una frase de recuperación completamente nueva en un dispositivo de confianza. Traslada los activos restantes si puedes hacerlo con seguridad y deja de usar las cuentas afectadas. Actualiza todos los destinos de pago que apunten a ellas.

Si hay un bot de barrido activo, no añadas fondos a la billetera antigua para pagar gas. Rescatar los activos restantes puede requerir técnicas especializadas para gestionar transacciones y no está garantizado que funcione.

Si el problema es una autorización o un permiso firmado

Revoca los permisos pertinentes con una herramienta verificada y confirma que la revocación se completó. Una autorización para un token en una red no se aplica automáticamente a las demás.

Si hay una firma sospechosa que aún no se ha utilizado, sigue el proceso de cancelación específico de la billetera o del protocolo. Puede ser necesario mover los activos mientras determinas si el permiso sigue siendo válido.

La revocación no puede recuperar activos que ya fueron sustraídos. Tampoco puede asegurar una billetera cuyas claves se hayan filtrado.

Si cambiaron los ajustes de control de la billetera

Utiliza el proceso oficial de recuperación o gestión de permisos de la billetera para eliminar propietarios, módulos, claves de firma o delegaciones no autorizados. Si se filtró la clave de un propietario, sustituye a ese firmante cuando la billetera lo permita. Busca orientación específica del proveedor antes de volver a considerar segura la cuenta.

Si alguien accedió a una cuenta de exchange

Bloquea la cuenta o restringe los retiros mediante el procedimiento oficial del proveedor. Desde un dispositivo de confianza, protege tu correo electrónico, cambia las contraseñas afectadas, elimina las sesiones desconocidas y revisa los datos de recuperación y la autenticación de dos factores.

Conserva las pruebas y denuncia la pérdida

Guarda los hashes de las transacciones, las direcciones públicas, las marcas de tiempo, las URL sospechosas y los mensajes pertinentes mientras proteges los fondos restantes. Denuncia el incidente a la billetera o al exchange y a las autoridades correspondientes.

Por lo general, el soporte de una billetera no puede revertir transferencias confirmadas en la cadena de bloques. La recuperación puede depender de que un exchange congele fondos, de una investigación o de que se devuelvan los activos. Desconfía de quien prometa una recuperación garantizada, especialmente si pide un pago por adelantado o tu frase de recuperación.