Como saber se che piratearon a carteira de criptomoedas: 10 sinais de alerta

Unha transferencia confirmada que non autorizaches é o sinal máis claro de que algo vai mal. Pero unha carteira pode deixar de ser segura antes de que desapareza ningún diñeiro. Unha frase de recuperación roubada, un permiso de gasto oculto ou un cambio de quen controla a carteira poden darlle acceso a un atacante mentres o teu saldo segue a parecer normal.

Algúns dos sinais que aparecen a continuación indican un roubo real. Outros mostran que a túa carteira ou o teu dispositivo poden estar expostos. Esta diferenza importa porque a solución depende de como conseguiu acceso o atacante.

Se están saíndo fondos neste momento, deixa de enviar diñeiro á carteira e pasa directamente ás medidas de resposta que aparecen preto do final.

Que significa realmente que unha carteira de criptomoedas foi pirateada?

As túas criptomoedas están rexistradas nunha cadea de bloques (blockchain). A carteira axúdache a controlalas mediante claves privadas ou outras regras de autorización. Unha frase de recuperación, tamén chamada frase semente (seed phrase), permite recrear as claves de moitas contas dunha carteira.

A xente utiliza a palabra «pirateada» para referirse a varios problemas diferentes:

• Claves roubadas: Alguén ten a túa clave privada ou a túa frase de recuperación e pode autorizar transaccións desde outro dispositivo.
• Permisos utilizados de maneira indebida: Aprobaches un contrato ou asinaches unha solicitude que permite que alguén mova determinados activos. É posible que as túas claves sigan sendo privadas.
• Dispositivo ou aplicación comprometidos: Un programa malicioso, unha carteira falsa ou unha extensión maliciosa rouban información ou modifican o que estás a piques de enviar.
• Conta dunha plataforma de intercambio comprometida: Alguén accede á conta na que unha empresa custodia criptomoedas por ti.

Unha carteira física (hardware wallet) axuda a protexer as claves privadas, pero non pode facer que un permiso prexudicial sexa seguro. Se autorizas unha acción incorrecta, a carteira física pode asinala correctamente.

1. Saen criptomoedas reais da túa carteira sen a túa autorización

Atopas unha transferencia completada, unha venda dun NFT ou unha retirada que non sabes explicar. Pode ocorrer mentres tes o teléfono apagado ou estás lonxe do ordenador.

Primeiro, descarta algo que programases antes, como un pagamento automático, unha retirada dunha plataforma de intercambio ou unha operación nunha aplicación de negociación. Despois, comproba a transacción real na cadea de bloques.

Confirma que se moveu un activo auténtico e que o teu saldo diminuíu. Unha entrada estraña no rexistro de actividade da carteira non abonda por si soa. Os estafadores poden crear rexistros de tokens enganosos que parecen mostrar transferencias desde o teu enderezo.

En canto confirmes un movemento non autorizado de activos reais, actúa inmediatamente. Non tes que agardar a que baleiren toda a carteira.

2. Os novos depósitos desaparecen case de inmediato

Envías ETH ou outra moeda nativa da rede á carteira para pagar as comisións das transaccións. En cuestión de segundos, vai parar a un enderezo descoñecido. Volve pasar o mesmo co seguinte depósito.

É un patrón habitual cun sweeper bot, un programa que vixía unha carteira exposta e retira automaticamente os fondos dispoñibles. Unha vez descartadas as automatizacións que configurases de maneira deliberada, estas retiradas repetidas son un forte indicio de acceso non autorizado.

O bot pode executarse no ordenador do atacante. Pechar a aplicación da carteira ou reiniciar o teléfono non o deterá. Algúns bots deixan os saldos pequenos intactos ata que chega un depósito maior, polo que ter diñeiro sen mover non demostra que a carteira sexa segura.

Non sigas engadindo diñeiro para o gas nin envíes un depósito de proba. Pode que simplemente esteas financiando o atacante.

3. Atopas permisos de tokens ou NFT que non recoñeces

Moitas aplicacións de criptomoedas solicitan permiso para gastar un token. Estas autorizacións poden seguir activas moito despois de que deixes de usar a aplicación.

Entre os sinais de alerta están un operador autorizado (spender) engadido recentemente que non recoñeces, un acceso concedido despois de visitar un sitio sospeitoso ou un límite de gasto moi superior ao necesario para a operación. Un permiso sobre NFT pode permitir que un operador transfira todos os NFT que posúas dunha determinada colección.

As autorizacións ilimitadas son frecuentes nas aplicacións lexítimas, así que non demostran que houbese unha intrusión. O importante é quen ten acceso, que pode mover e se querías concederllo.

Comproba a rede, o contrato auténtico do token, o operador autorizado e o importe. Desconectar o sitio web da carteira non cancela unha autorización que xa está rexistrada na cadea de bloques.

4. Unha suposta solicitude de inicio de sesión concede dereitos para gastar

Visitas un sitio para iniciar sesión, reclamar unha recompensa ou verificar a carteira. Pídeche unha sinatura sen comisión de transacción. A solicitude inclúe unha cantidade de tokens, un operador autorizado ou unha orde de venda dun NFT que non tiñas intención de aprobar.

Algunhas sinaturas permiten autorizar gastos sen unha transacción de aprobación independente. As funcións chamadas Permit e Permit2, xunto coas sinaturas de ordes dos mercados de NFT, son bos exemplos. As aplicacións lexítimas utilízanas, pero os estafadores poden disfrazalas de pasos inofensivos para iniciar sesión.

Que non haxa comisión de gas non di nada sobre a seguridade da sinatura.

Hai outro detalle: un permiso asinado pero aínda non utilizado pode permanecer fóra da cadea de bloques ata que alguén o presente. A túa lista habitual de transaccións e, ás veces, mesmo o comprobador de autorizacións poden parecer limpos mentres o permiso segue a poder utilizarse.

Se asinaches unha solicitude sospeitosa, deixa de interactuar co sitio e investiga que autorizou a sinatura. A cancelación depende do tipo de permiso. Unha revogación normal dunha autorización non invalida todas as sinaturas aínda sen utilizar.

5. A carteira ten un novo propietario ou un permiso de control descoñecido

Algunhas carteiras teñen varios propietarios, contactos de recuperación, claves temporais de sinatura ou módulos de software capaces de realizar accións. Adoitan chamarse carteiras intelixentes (smart wallets) ou contas intelixentes (smart accounts).

Un propietario que nunca engadiches, unha redución do número de sinaturas necesarias, un método de recuperación descoñecido ou un módulo novo requiren atención inmediata. Segundo as facultades que teña, ese cambio pode permitir que alguén mova os fondos sen o teu proceso habitual de aprobación.

En Ethereum e nas redes compatibles, unha función chamada EIP-7702 tamén permite que unha carteira ordinaria autorice código para operar a través do seu enderezo. Unha autorización maliciosa pode crear un acceso continuado sen expoñer a túa frase de recuperación.

Hai un detalle fácil de pasar por alto: con esta función, unha delegación aceptada pode permanecer mesmo cando falla a execución da transacción. Unha etiqueta de «fallida» non significa sempre que a configuración de control da carteira quedase intacta.

Comproba estes permisos coas ferramentas oficiais da carteira. Eliminar unicamente as autorizacións de tokens non eliminará un propietario descoñecido nin unha delegación da carteira.

6. A túa frase de recuperación ou clave privada quedou exposta

Introduciches a frase nun sitio web, enviácheslla a alguén que dicía ser do servizo de asistencia ou importáchela nunha aplicación de carteira que resultou ser falsa. Tamén podes descubrir que unha copia de seguranza lexible era accesible a través dunha conta na nube vulnerada ou dun ficheiro compartido.

Considera comprometidas as contas controladas por ese segredo, aínda que non se movese nada. Alguén pode recrear a carteira noutro lugar sen activar unha alerta de inicio de sesión na túa aplicación.

Cambiar o contrasinal da aplicación da carteira non modifica as claves privadas expostas. Crear outra conta coa mesma frase de recuperación tampouco resolve o problema.

O alcance da exposición importa. Unha frase de recuperación filtrada pode deixar expostas moitas contas. Unha clave privada importada por separado que se filtrou pode afectar só a conta que controla.

7. Parece que substituíron a aplicación ou a extensión da túa carteira

Descobres unha extensión que nunca instalaches, unha descarga falsa dunha carteira ou unha alerta de seguridade que identifica software que rouba datos das carteiras. Tamén pode ocorrer que a túa carteira habitual che pida de súpeto restaurala despois dun cambio inexplicable.

Unha solicitude de restauración pode ter unha causa normal, como unha reinstalación ou a eliminación de datos da aplicación. É un motivo para comprobar o software antes de introducir información secreta, non unha proba de roubo por si mesma.

Verifica a aplicación a través do sitio web oficial do provedor da carteira e comproba a identidade da extensión. É doado copiar un nome e un logotipo coñecidos.

Se xa introduciches a frase de recuperación nun software sospeitoso, considéraa exposta. Eliminar a aplicación non borra a copia que xa ten o atacante.

8. O enderezo de recepción cambia cando o pegas

Copias o enderezo dun destinatario, pégalo na carteira e aparece outro enderezo. O malware do portapapeis pode substituír enderezos de criptomoedas por outros pertencentes a un atacante.

Isto apunta a un problema co dispositivo ou co software. Non significa necesariamente que alguén teña a túa clave privada, pero fai que ese dispositivo non sexa seguro para transferencias.

Os atacantes poden usar enderezos substitutos semellantes ao orixinal. Comprobar só os primeiros e últimos caracteres pode facer que non detectes o cambio. Compara o enderezo de destino completo cunha copia fiable. Se utilizas unha carteira física, comproba o enderezo na pantalla do dispositivo antes de aprobar.

Cancela a transacción se os enderezos son diferentes. Copiar e pegar repetidamente ata que un pareza correcto non soluciona nada.

9. As perdas inexplicables esténdense a varias contas ou redes

A desaparición dun token pode deberse a un permiso de gasto concreto. As transferencias non autorizadas entre varias contas derivadas da mesma frase de recuperación fan sospeitar dunha exposición máis ampla das claves.

Por exemplo, perdas en dúas redes xunto con actividade noutra conta creada coa mesma frase merecen unha investigación máis ampla. Comproba todas as contas e redes afectadas en lugar de asumir que o problema se limita ao primeiro token que detectaches.

Este patrón axuda a delimitar a causa, pero non é concluínte. Varios permisos maliciosos ou unha autorización de carteira válida en múltiples redes tamén poden provocar perdas xeneralizadas.

Ter o mesmo enderezo de carteira en distintas redes do tipo Ethereum é normal e non supón por si só un sinal de alerta. O sinal preocupante é a actividade inexplicable relacionada con esas contas.

10. A túa conta na plataforma de intercambio mostra accesos ou retiradas descoñecidos

Se gardas criptomoedas nunha plataforma de intercambio, busca sesións descoñecidas, datos de recuperación modificados, novos enderezos de retirada ou retiradas que non solicitaches. Os cambios non solicitados na autenticación de dous factores son especialmente graves.

Abre ti mesmo a aplicación ou o sitio web oficial para verificar a alerta. Un correo alarmante pode ser unha tentativa de suplantación (phishing). Unha localización descoñecida tamén pode deberse a unha VPN ou á rede móbil, así que revisa conxuntamente o dispositivo, a hora e as accións realizadas na conta.

A apropiación dunha conta dunha plataforma de intercambio require medidas de seguridade da conta. Utiliza o bloqueo da conta ou a restrición de retiradas do provedor, se está dispoñible, contacta co servizo de asistencia oficial e protexe o correo electrónico e os métodos de autenticación.

Estas comprobacións de inicio de sesión non se aplican da mesma maneira a unha carteira básica controlada por unha frase de recuperación. Quen posúa as súas claves pode non precisar nunca iniciar sesión na túa aplicación.

Actividades estrañas que non demostran unha intrusión

Hai varios sucesos habituais que poden parecer alarmantes:

• Un saldo menor en dólares: O prezo pode baixar mentres segues tendo a mesma cantidade de moedas.
• Tokens que non aparecen na aplicación: Pode que seleccionases a conta ou a rede equivocada, ocultases o token ou te atopases cun problema de visualización.
• Unha saída de Bitcoin descoñecida: Un pagamento pode devolver os fondos sobrantes a un novo enderezo de cambio controlado pola túa propia carteira.
• Un token ou NFT non solicitado: O spam por si só non demostra que roubaran as túas claves. Ocúltao en vez de seguir as súas ligazóns ou asinar unha transacción para eliminalo.
• Transferencias moi pequenas ou de valor cero relacionadas cun enderezo que parece coñecido: Pode tratarse de envelenamento de enderezos (address poisoning), no que os estafadores introducen no historial un destinatario semellante para que o copies máis adiante.

Algúns tokens falsos copian o nome e o símbolo dun token auténtico. Mesmo poden crear rexistros enganosos de transferencias de saída. Comproba o contrato real do token e o saldo antes de considerar un rexistro como proba de roubo.

Evita copiar o enderezo dun destinatario da actividade recente. Obtén o enderezo dun destinatario verificado ou dunha axenda de enderezos fiable.

Como comprobar o que ocorreu realmente

Utiliza un explorador de cadeas de bloques fiable para a rede correcta. Podes consultar un enderezo público sen conectar a carteira, pagar comisións nin revelar a frase de recuperación.

Comproba estes detalles:

1. A conta e a rede: Asegúrate de consultar o enderezo que tiña os activos desaparecidos.
2. O estado da transacción: Distingue as operacións pendentes dos movementos completados. No caso das delegacións da carteira, comproba tamén se cambiaron os permisos a pesar de fallar a execución.
3. O activo real: Confirma o contrato do token ou a colección de NFT en lugar de fiarte do seu nome ou logotipo.
4. O cambio de saldo e o destino: Identifica que saíu e a onde foi. Revisa as transferencias de tokens e NFT, ademais da lista principal de transaccións.
5. Os permisos anteriores: Busca aprobacións, sinaturas ou cambios de control da carteira relacionados coa perda.

O emisor dunha transacción pode ser a conta doutra persoa cando esta utiliza unha autorización de token para levar os teus activos. Iso non fai que a transferencia sexa inofensiva. Do mesmo xeito, un rexistro de token que mostra o teu enderezo como orixe non demostra que asinases persoalmente unha transacción.

Se che custa interpretar os rexistros da cadea de bloques, comparte o enderezo público e o hash da transacción co servizo de asistencia verificado da carteira. Eses datos poden axudar na investigación sen expoñer as túas claves.

Que facer se se confirman os sinais de alerta

Deixa de engadir fondos e de asinar solicitudes

Suspende os depósitos na carteira afectada. Rexeita novas solicitudes de sinatura, incluídas as ofertas para «reparala», «validala» ou «desbloqueala». Deixa de utilizar un dispositivo que poida estar infectado e continúa desde outro dispositivo fiable.

Se se filtrou unha frase de recuperación ou unha clave privada

Se é unha carteira ordinaria controlada polo segredo exposto, crea unha carteira nova cunha frase de recuperación completamente nova nun dispositivo fiable. Move os activos restantes se podes facelo con seguridade e deixa de utilizar as contas afectadas. Actualiza os enderezos de destino dos pagamentos que apunten a esas contas.

Se hai un sweeper activo, non ingreses máis fondos na carteira antiga para pagar o gas. Rescatar os activos restantes pode requirir un tratamento especializado das transaccións e non hai garantía de éxito.

Se o problema é unha aprobación ou un permiso asinado

Revoga os permisos pertinentes cunha ferramenta verificada e confirma que se completou a revogación. Unha autorización para un token nunha rede non se aplica automaticamente a todas as demais.

Se se trata dunha sinatura sospeitosa que aínda non se utilizou, segue o procedemento específico de cancelación da carteira ou do protocolo. Pode ser necesario mover os activos mentres determinas se o permiso segue sendo utilizable.

A revogación non permite recuperar os activos xa roubados. Tampouco pode protexer unha carteira cuxas claves se filtraron.

Se cambiou a configuración de control da carteira

Utiliza o proceso oficial de recuperación ou xestión de permisos da carteira para eliminar propietarios, módulos, claves de sinatura ou delegacións non autorizados. Se se filtrou a clave dun propietario, substitúe ese asinante cando a carteira o permita. Obtén indicacións específicas do provedor antes de volver considerar segura a conta.

Se accederon a unha conta dunha plataforma de intercambio

Bloquea a conta ou restrinxe as retiradas mediante o procedemento oficial do provedor. Desde un dispositivo fiable, protexe o correo electrónico, cambia os contrasinais afectados, pecha as sesións descoñecidas e revisa os datos de recuperación e a autenticación de dous factores.

Conserva as probas e denuncia a perda

Garda os hashes das transaccións, os enderezos públicos, as marcas de tempo, os URL sospeitosos e as mensaxes relevantes mentres protexes os fondos restantes. Comunica o incidente á carteira ou á plataforma de intercambio e ás autoridades competentes.

Polo xeral, o servizo de asistencia dunha carteira non pode reverter transferencias confirmadas na cadea de bloques. A recuperación pode depender de que unha plataforma de intercambio conxele os fondos, dunha investigación ou de que se devolvan os cartos. Desconfía de quen prometa unha recuperación garantida, especialmente se che pide un pagamento por adiantado ou a frase de recuperación.