⚠️ Lee esto primero: si aún no te has registrado, usa el enlace de registro (p. ej., «Registrarse») o el código de invitación BINANBT — registrarte directamente en la app no te da ninguna recompensa de nuevo usuario, y el paquete de 19.800 dólares y el 20% de reembolso no se aplicarán. La configuración de seguridad es gratuita; quien te cobre por «blindar tu cuenta» es un estafador.
Puntos clave (TL;DR):
- El orden correcto en Binance es: primero bloquear retiros, después reforzar el acceso y por último revisar dispositivos. La mayoría activa el 2FA y deja la lista blanca y los permisos de API en sus valores por defecto.
- Contraintuitivo uno: el 2FA protege el inicio de sesión, no las transacciones que tú mismo apruebas. Un sitio de phishing puede reenviar tu usuario, contraseña y código en tiempo real y operar tu sesión desde otro lugar. El 2FA no es un interruptor universal.
- Contraintuitivo dos: lo que te salva no es más verificación, sino el retraso. Las direcciones nuevas pueden bloquearse 24/48/72 horas y los retiros se suspenden 24–48 horas tras cambiar la contraseña. Esa espera «molesta» es la única ventana para detener una transferencia.
- Contraintuitivo tres: una lista blanca no es segura por sí sola. Las direcciones antiguas siguen activas, un atacante puede añadir la suya y una clave API con permiso de retiro se salta todo el control.
- Contraintuitivo cuatro: el correo es el interruptor maestro. Muchos robos de cuentas Binance empiezan por un buzón comprometido o una regla de reenvío, no por Binance.
- Si algo va mal, frena la salida antes de perseguir la recuperación. Cambia la contraseña, revoca sesiones, elimina claves API y revisa la lista blanca antes de contactar con soporte. Hacer clic en el «enlace de seguridad» del correo suele ser el segundo error.
La seguridad de tu cuenta de Binance consiste en ganar dos carreras al atacante: quién puede entrar y cuánto tarda en sacar el dinero. El 2FA responde a la primera; la lista blanca y su retraso, a la segunda. Hacer solo lo primero es instalar una puerta blindada y dejar la llave de la caja fuerte al lado.
Esta guía se basa en el Centro de Seguridad de Binance (app y web) a noviembre de 2026. Evita consejos genéricos como «usa una contraseña fuerte» y se centra en qué ajustes cambian de verdad el resultado, cómo funcionan los retrasos y qué hábitos «seguros» empeoran las cosas.
Índice
- Qué defiende realmente la seguridad de Binance: tres capas
- Configuración en seis pasos: hazlo en este orden
- Paso uno: un correo exclusivo importa más que una contraseña nueva
- Paso dos: qué 2FA usar y por qué el SMS va último
- Paso tres: cómo configurar y usar el código anti-phishing
- Paso cuatro: lista blanca y bloqueo de direcciones nuevas
- Paso cinco: dispositivos, claves API y accesos de terceros
- Paso seis: protección de retiros y passkeys, cuándo encajan
- Cinco detalles que casi todos pasan por alto
- Consejos de seguridad que te vuelven menos seguro
- La secuencia de 30 minutos ante un incidente
- Lista de control mensual de cinco puntos
- 💰 Reembolso de comisiones: código BINANBT
- Preguntas frecuentes
- Lecturas relacionadas
Qué defiende realmente la seguridad de Binance: tres capas
El riesgo se reparte en tres capas: acceso, retiro y autorización. Cada una afronta un ataque distinto y necesita un control distinto. Mirar solo una capa es como acabar diciendo «pero si tenía el 2FA activado» después de perder fondos.
| Capa | Qué busca el atacante | Control | Cómo se ve el fallo |
|---|---|---|---|
| Acceso | Tu usuario, contraseña y código | Correo exclusivo, contraseña fuerte, 2FA con app, passkey, gestión de dispositivos | Alertas de inicio desconocido, desaparece el código anti-phishing, cambian la contraseña |
| Retiro | Enviar tu saldo a su dirección | Lista blanca, bloqueo de direcciones nuevas, protección de retiros, bloqueo de 24–48 h | Dirección desconocida en la agenda, retiro pausado, correo de confirmación inesperado |
| Autorización | Mover fondos sin iniciar sesión | Claves API de mínimo privilegio, listas de IP, revisión de conexiones | La clave API gana permiso de retiro, llamadas desde una IP desconocida, órdenes raras de un bot |
De las tres, la capa de retiro es la que más se omite y la de autorización la que más se subestima. El 2FA da confianza en el acceso, pero una clave API con permiso de retiro no necesita iniciar sesión.
Nota: el modelo de tres capas es el marco analítico de este artículo, no una clasificación oficial de Binance. Los nombres de menú y las entradas varían según la versión y la región; usa lo que muestre la página de Seguridad en ese momento.
Configuración en seis pasos: hazlo en este orden
El orden importa: primero bloquea la salida de fondos, después refuerza el acceso y al final limpia accesos antiguos. Los dos primeros pasos te protegen aunque el resto quede incompleto; al revés, no.
- Correo exclusivo con su propio 2FA: asegura el interruptor maestro.
- 2FA con app y códigos de recuperación sin conexión: pasa de una sola contraseña a contraseña más código rotativo.
- Código anti-phishing: distingue los correos oficiales de un vistazo.
- Lista blanca y bloqueo de direcciones nuevas: limita a dónde puede ir el dinero.
- Limpieza de dispositivos y claves API: expulsa a desconocidos y retira accesos de terceros.
- Protección de retiros, passkeys y bloqueos de configuración: añade fricción deliberada cuando encaje.
Cada paso indica dónde está, los parámetros clave y cuándo no activarlo.
Paso uno: un correo exclusivo importa más que una contraseña nueva
Vincular Binance a un correo usado solo para el exchange es la base de todo lo demás. Restablecimientos, alertas de acceso, confirmaciones de retiro y códigos anti-phishing pasan por ese buzón. Si lo toman, el flujo de recuperación puede saltarse tu 2FA.
Cuatro acciones:
- Buzón separado: no el de redes sociales, compras u otros exchanges. Una brecha no debe encadenar todas tus cuentas.
- Activa el 2FA del propio correo: el buzón merece la misma protección que Binance. Si cae, el correo de restablecimiento es la llave del atacante.
- Desactiva el reenvío automático y las reglas de bandeja: los atacantes suelen añadir una regla para que tú sigas recibiendo correo mientras ellos leen una copia. Revisa reglas y filtros con regularidad.
- No expongas la dirección en perfiles públicos, firmas o biografías. El phishing suele empezar por saber tu correo.
⚠️ Evita el correo del trabajo o de la universidad para una cuenta de exchange. Perder el acceso tras un cambio de empleo o una graduación puede complicar mucho la recuperación.
Paso dos: qué 2FA usar y por qué el SMS va último
La fuerza del 2FA va de llave física/passkey, a app de autenticación, a SMS. Usa una app siempre que puedas.
| Método | Fuerza | Ventaja | Riesgo principal |
|---|---|---|---|
| Llave física (FIDO2) | Máxima | Resistente al phishing; no firma para un dominio incorrecto | Cuesta dinero; necesita plan de respaldo |
| Passkey / biometría | Alta | Sin códigos que escribir; buena resistencia al phishing | Ligada al dispositivo; hay que revincular al cambiar |
| App de autenticación | Media-alta | Gratis, sin conexión, independiente del operador | Perder el móvil o los códigos puede dejarte fuera |
| Código SMS | Baja | La barrera más baja | SIM swapping, interceptación, fraude del operador |
Al configurar la app, guarda el código de recuperación sin conexión: en papel en un cajón o en un dispositivo sin red. No lo dejes solo como captura o en una nota en la nube. Perder el móvil y la nube a la vez te quita el 2FA y la vuelta.
El SMS puede quedarse como respaldo, pero no como único método. Si Binance te permite desactivarlo cuando la app y los códigos están a salvo, considéralo — pero antes asegúrate de que perder el móvil no te deje fuera.
Nota: los métodos disponibles cambian según la región y el nivel de cuenta. Usa las opciones que Binance muestre realmente en la página de Seguridad.
Paso tres: cómo configurar y usar el código anti-phishing
El código anti-phishing es una cadena que solo tú y Binance conocéis y que aparece en los correos oficiales. Si un correo que dice ser de Binance no lo trae, trátalo como phishing. No detiene al atacante; te da una prueba de un segundo cuando llega un correo de «tu cuenta está en riesgo».
Requisitos:
- de 6 a 8 caracteres;
- al menos tres de estos cuatro tipos: mayúsculas, minúsculas, dígitos y guiones bajos;
- sin caracteres especiales;
- evita nombres, cumpleaños, teléfonos y secuencias como
123456.
Se configura en la app en Perfil → Seguridad → Código anti-phishing, o en la web en Cuenta → Seguridad → Seguridad avanzada. Configurarlo o cambiarlo exige 2FA.1
Cómo usarlo: ante cualquier correo que diga ser de Binance, busca primero el código. Si falta o no coincide, no hagas clic en nada. Abre la app o escribe el dominio oficial a mano. El código cubre sobre todo el correo; algunas regiones también lo adjuntan a ciertos SMS, pero no asumas que todos los canales lo llevan.
Un error común es pensar «puse un código, así que todos los correos son genuinos». No. Un atacante puede enviar un correo sin código y esperar a que no lo compruebes. El código solo sirve si lo miras cada vez.
Paso cuatro: lista blanca y bloqueo de direcciones nuevas
La lista blanca de retiros hace que el dinero solo pueda ir a direcciones que hayas aprobado antes. Ni siquiera un atacante dentro de tu cuenta puede enviarlo a su cartera. Es el control más fuerte de la capa de retiro, pero solo si el bloqueo de direcciones nuevas está activo.
Activar la lista blanca
En la web, la ruta aproximada es Configuración → Retiro → Lista blanca de retiros → Activar, confirmando con 2FA o passkey. Las direcciones se añaden en Gestión de direcciones, por moneda y red o como dirección universal. El límite es de 200 direcciones.2
Lo importante no es cuántas añades, sino si cada una es tuya. Revisa dirección y red carácter por carácter. En cadenas EVM la misma dirección puede aparecer en varias redes, pero enviar por la red equivocada puede ser irrecuperable.
El bloqueo de direcciones nuevas: el ajuste que te compra tiempo
Binance ofrece un límite de retiro para la lista blanca / bloqueo de direcciones nuevas: las direcciones recién añadidas no pueden usarse durante 24, 48 o 72 horas. Tú eliges la duración y Binance recomienda dejarlo activo.2
La idea es que un atacante que entra y añade su dirección no pueda mover fondos de inmediato. Tienes 24–72 horas para detectarlo, cambiar la contraseña, revocar dispositivos y contactar con soporte.
Dos detalles que se pasan por alto:
- Editar o desactivar la lista blanca también puede provocar una pausa de 24/48/72 horas. No cambies la lista el mismo día que necesitas retirar.
- Desactivar el bloqueo hace que las direcciones nuevas funcionen al instante. La comodidad corta en las dos direcciones.
⚠️ La lista blanca no es seguridad permanente. Si una dirección antigua sigue en la lista después de que se filtrara la clave privada de esa cartera, el atacante aún puede enviar fondos allí. Limpiar direcciones sin uso importa tanto como añadirlas.
Paso cinco: dispositivos, claves API y accesos de terceros
Este paso consiste en recuperar lo que otro ya puede tener: dispositivos desconocidos, claves API con permiso de retiro y conexiones de terceros obsoletas. Cambiar la contraseña sin limpiar esto es cambiar la cerradura y dejar las llaves viejas fuera.
Gestión de dispositivos
En Cuenta → Seguridad → Gestión de dispositivos ves sesiones activas e históricas con IP, región y hora. Elimina lo que no reconozcas; la retirada revoca el acceso de inmediato salvo que el dispositivo se reconfirme por correo.3
Activa también las alertas de inicio en dispositivo nuevo. No impiden el acceso, pero te avisan al instante de que alguien entró.
Claves API
Si usas bots de grid, herramientas quant o carteras de terceros, las claves API son un punto de fuga habitual. Cuatro reglas:
- Desactiva «Permitir retiros». Es el permiso más peligroso y casi ningún bot lo necesita.
- Vincula una lista de IP. Solo tu servidor o IP fija puede llamar a la clave; filtrada, no sirve desde otro lugar.
- Una clave por herramienta. No conectes todos los servicios con la misma.
- Borra las claves sin uso, incluidas las de servidores antiguos y herramientas abandonadas.
Nota: Binance puede caducar automáticamente claves inactivas sin restricción de IP. El plazo puede cambiar; no dependas de la caducidad automática como plan de limpieza.
Conexiones de terceros
Si has usado la Binance Web3 Wallet con DApps, o conectado herramientas de análisis, impuestos o cartera, revisa y revoca lo que ya no uses. El 2FA del exchange no cubre las aprobaciones on-chain; son dos modelos de seguridad que se revisan por separado.
Paso seis: protección de retiros y passkeys, cuándo encajan
No son obligatorios para todos, pero valen mucho si retiras poco o inicias sesión a menudo desde dispositivos compartidos.
- Protección de retiros: bloquea voluntariamente los retiros de 1 a 7 días. Útil para quienes mantienen a largo plazo sin planes de retirar. Durante el bloqueo, ni una cuenta comprometida puede mover fondos.
- Passkey / acceso biométrico: usa la huella o la cara del dispositivo en lugar de la contraseña, reduciendo phishing y keyloggers. Antes de activarlo, conserva al menos un método de acceso de respaldo.
- Bloqueo global de configuración, donde exista: exige verificación extra antes de cambiar ajustes de seguridad, para que un atacante no pueda desactivar tu 2FA tras entrar.
Los nombres y la disponibilidad varían por región y versión. La única prueba que importa: ¿cuánto más tarda un atacante en mover tu dinero? Cuanto más largo el retraso, más tiempo tienes para reaccionar.
Cinco detalles que casi todos pasan por alto
La gente no suele perder fondos porque falte una función, sino porque la activó y nunca revisó estos cinco puntos.
- Reglas de reenvío del correo. Lo primero que hace un atacante tras tomar el buzón suele ser añadir un reenvío. Tú sigues recibiendo; él lee una copia con tus códigos y confirmaciones.
- Riesgo de SIM swapping en el SMS. Pueden portar tu número y recibir los códigos. Una app de autenticación no depende del operador, por eso es más fuerte.
- Direcciones antiguas en la lista blanca. Una dirección sin uso que sigue aprobada es una puerta trasera con la cerradura vieja.
- Claves API sin lista de IP. Una clave filtrada funciona desde cualquier lugar; con lista de IP, la misma clave no sirve en otro sitio.
- Códigos de recuperación solo en el móvil. Un teléfono perdido, roto o borrado se lleva tu 2FA y tu vuelta. Guárdalos sin conexión y en un segundo lugar.
Consejos de seguridad que te vuelven menos seguro
Algunos hábitos parecen prudentes pero reducen la seguridad o eliminan tu capacidad de recuperación.
- Cambiar la contraseña constantemente. Binance suspende los retiros 24–48 horas tras un cambio de contraseña y el bloqueo no se puede levantar antes.4 Cambiarla a menudo no protege más; te deja repetidamente sin poder retirar y crea más ocasiones de phishing.
- Enviar códigos 2FA al «soporte». El soporte oficial nunca pide códigos, contraseñas, frase semilla ni acceso remoto. Quien lo haga es un estafador.
- Reutilizar un correo para exchanges y redes sociales. Una brecha expone todo.
- Guardar contraseñas o frases semilla en notas en la nube, favoritos de chat o borradores. Si esa cuenta se sincroniza o se filtra, la llave y la dirección están juntas.
- Instalar plugins «antirrobo» o «asistentes de seguridad» desconocidos. Suelen pedir leer páginas o firmar por ti, que es el riesgo en sí.
- Desactivar el bloqueo de direcciones nuevas por comodidad. Ahorras 24–72 horas; el atacante también.
La secuencia de 30 minutos ante un incidente
Cuando algo va mal, el primer principio es frenar la salida, no perseguir la recuperación. Expulsa al atacante y bloquea la puerta antes de discutir con soporte.
- Entra desde un dispositivo limpio escribiendo el dominio oficial. No hagas clic en enlaces de correos o SMS; pueden llevar a un sitio de phishing.
- Cambia la contraseña. No reutilices ni modifiques ligeramente la anterior.
- Revoca todos los dispositivos y sesiones. Elimina los desconocidos en Gestión de dispositivos y cierra sesión en todas partes.
- Borra o desactiva todas las claves API, sobre todo las que tienen permiso de retiro y ninguna lista de IP.
- Revisa la lista blanca y la agenda de direcciones. Elimina direcciones desconocidas y confirma que las tuyas no fueron sustituidas por similares.
- Revisa el 2FA, el código anti-phishing, el teléfono y el correo vinculados. Si los cambiaron, sigue el flujo oficial de recuperación.
- Contacta con el soporte oficial de Binance desde la entrada de soporte de la app o el Centro de Ayuda oficial, nunca con un teléfono de un anuncio.
- Decide si mover los fondos restantes. Recuerda que cambiar la contraseña puede activar un bloqueo de retiros de 24–48 horas; usa ese tiempo para terminar las revisiones.
| Lo que ves | Haz primero | No hagas nunca |
|---|---|---|
| Alerta de dispositivo desconocido | Cambia contraseña, revoca dispositivos, revisa API | Hacer clic en «no fui yo» del correo |
| Desaparece el código anti-phishing | Trátalo como compromiso y usa la recuperación oficial | Escribir una contraseña nueva en el correo |
| Dirección desconocida en la agenda | Elimínala, revisa la lista blanca, contacta soporte | Enviar una «prueba» pequeña a esa dirección |
| Retiro pausado | Lee si es bloqueo de seguridad o revisión | Reenviar retiros o comprar un «desbloqueo» |
| Una clave API hace órdenes raras | Borra la clave y revisa las listas de IP | Cambiar solo la contraseña y dejar la clave |
⚠️ Sobre la «recuperación»: Binance puede ver transferencias dentro de la plataforma, pero las transferencias on-chain suelen ser irreversibles. Cuanto antes frenes, más conservas; confiar en recuperarlo después suele llegar tarde.
Lista de control mensual de cinco puntos
Cinco minutos al mes valen más que cinco días de apelaciones después de un incidente.
- ¿Hay dispositivos desconocidos o inicios desde regiones raras?
- ¿Las claves API siguen con solo los permisos necesarios y lista de IP?
- ¿Hay direcciones sin uso o ajenas en la lista blanca?
- ¿El código anti-phishing sigue activo y aparece en los correos oficiales recientes?
- ¿Sigues encontrando tus códigos de recuperación 2FA, sin conexión y a tu alcance?
Añade una revisión trimestral de reglas de reenvío, filtros, correo de respaldo y teléfono. Es el lugar más ignorado y más útil para que un atacante se esconda.
💰 Reembolso de comisiones: código BINANBT
La seguridad no cuesta nada; lo que afecta tu coste a largo plazo son las comisiones. Regístrate con el código BINANBT y obtén un 20% de reembolso. Este artículo contiene un enlace de referido; podemos recibir una recompensa si te registras a través de él, sin coste adicional para ti.
- Reembolso: 20% de las comisiones de trading, de forma continua.
- Paquete de bienvenida: hasta 19.800 dólares, desbloqueado por tareas, no efectivo al registrarte.
- Cómo reclamarlo: introduce BINANBT en el campo de código de invitación al registrarte; es la vía más fiable.
- Importante: registrarte directamente en la app no te da ninguna recompensa de nuevo usuario. El registro en la app no queda vinculado a ninguna relación de referido, así que el paquete de 19.800 dólares y el 20% de reembolso no se aplicarán. Usa el enlace de registro o introduce BINANBT.
👉 Regístrate en Binance y reclama el 20% de reembolso
Preguntas frecuentes
¿Basta con el 2FA para proteger una cuenta de Binance?
No. El 2FA protege sobre todo el acceso. No protege los códigos que escribes en un sitio de phishing ni controla claves API con permiso de retiro. Como mínimo, activa también la lista blanca, el bloqueo de direcciones nuevas y limpia los permisos de API.
¿Cómo configuro el código anti-phishing de Binance?
En la app: Perfil → Seguridad → Código anti-phishing. En la web: Cuenta → Seguridad → Seguridad avanzada. Debe tener 6–8 caracteres, usar al menos tres de mayúsculas, minúsculas, dígitos y guiones bajos, no admitir caracteres especiales y confirmarse con 2FA.
¿Cuántas direcciones puedo poner en la lista blanca de Binance?
Hasta 200. El número no es lo importante; cada dirección debe ser tuya y las que no uses deben eliminarse con regularidad.
¿Por qué una dirección nueva debe esperar 24 horas?
Es el bloqueo de direcciones nuevas, configurable en 24, 48 o 72 horas. Da tiempo a una cuenta comprometida a detectar y detener un robo. Puedes desactivarlo, pero entonces una dirección añadida por un atacante funciona de inmediato.
¿Por qué no puedo retirar tras cambiar la contraseña de Binance?
Binance suspende los retiros 24–48 horas tras un cambio de contraseña; en algunos casos también se pausan la venta P2P y los servicios de pago durante 24 horas. El bloqueo es automático, no se levanta antes y caduca solo.
¿Qué hago primero si me hackean la cuenta de Binance?
Desde un dispositivo limpio, escribe el dominio oficial a mano, cambia la contraseña, revoca todas las sesiones, borra las claves API, revisa la lista blanca y contacta con el soporte oficial. No hagas clic en enlaces de seguridad de correos o SMS ni pagues a quien prometa recuperar fondos.
¿Puedo enviar mi código 2FA al soporte de Binance?
No. El soporte oficial nunca pide contraseñas, códigos 2FA o frases semilla, ni pide compartir pantalla o instalar software de control remoto. Quien lo haga es un estafador.
¿Cada cuánto debo revisar la seguridad de mi cuenta de Binance?
Cada mes, revisa dispositivos, claves API, lista blanca, código anti-phishing y códigos de recuperación. Cada trimestre, revisa reglas de reenvío, filtros y métodos de contacto de respaldo.
Lecturas relacionadas
- Cuenta de Binance congelada: tres tipos, apelaciones y plazos
- Última versión de Binance: comprobar versión y fallos de actualización
- Retiros en Binance: redes, direcciones, Memo y errores de red
- Binance Web3 Wallet: claves MPC, respaldo y riesgos de aprobación
- Revocar aprobaciones: ERC-20, NFT y Permit
- Más guías de Binance y la página de entrada oficial
- Guía on-chain en CoinVado.net — lecturas sobre carteras, autocustodia y seguridad on-chain.
Descargo de responsabilidad: este artículo es solo educativo y no constituye asesoramiento de inversión ni garantía de seguridad. Ningún ajuste elimina el riesgo; la seguridad depende también de tus dispositivos, correo, red y hábitos. Inicia sesión en Binance solo por canales oficiales y nunca compartas tu contraseña, códigos de verificación o frase semilla. La regulación de criptomonedas varía según la jurisdicción; confirma la que te aplica.
Footnotes
-
Fuente: Centro de Ayuda de Binance, «What Is an Anti-Phishing Code and How to Set It up on Binance» — 6–8 caracteres, al menos tres de cuatro tipos, sin caracteres especiales. Verificado el 4 de noviembre de 2026. ↩
-
Fuente: Centro de Ayuda de Binance, «How to Manage Withdrawal Settings for My Binance Account» — límite de 200 direcciones y bloqueo de direcciones nuevas de 24/48/72 horas. Verificado el 4 de noviembre de 2026. ↩ ↩2
-
Fuente: Binance Account Security Tips y páginas de gestión de dispositivos — eliminar un dispositivo revoca el acceso de inmediato. Verificado el 4 de noviembre de 2026. ↩
-
Fuente: Centro de Ayuda de Binance, «How to Reactivate the Withdrawal Function on My Binance Account?» — retiros suspendidos 24–48 horas tras cambiar la contraseña y sin levantamiento anticipado; la página de restablecimiento de Binance indica que retiros, venta P2P y pagos se desactivan 24 horas tras el cambio. Verificado el 4 de noviembre de 2026. ↩