Lista de seguridad personal en Web3 2026: qué revisar cada día, semana y mes

⚠️ Lee esto primero: una lista de seguridad solo sirve cuando ya tienes una cuenta. Usa el enlace de registro (por ejemplo, "Registrarse") o introduce el código de invitación BINANBT para registrarte en Binance y acceder a la recompensa de bienvenida (20 % de reembolso en comisiones + hasta $19.800). Elegir bien la puerta de entrada y proteger los activos son dos tareas distintas; haz primero la primera.

Puntos clave (TL;DR):

• En 2026, las mayores pérdidas suelen venir de una firma que aprobaste tú, no de una frase semilla robada. ScamSniffer registró unos 6,27 millones de dólares en pérdidas por phishing de firmas y 4.741 víctimas en enero de 2026. Dos víctimas concentraron cerca del 65 % del total y la mayor pérdida individual fue de 3,02 millones; la mayoría no perdió ninguna frase semilla.
• La seguridad necesita una rutina, no una configuración única. Tres minutos al día para revisar antes de firmar, 15 a la semana para aprobaciones y dispositivos, 60 al mes para la estructura de cuentas y activos, y dos horas al trimestre para simulacros de recuperación y rotación de direcciones.
• Tres capas de riesgo, tres respuestas. La fuga de la semilla se combate con copias offline y hardware wallet; el riesgo de firmas y aprobaciones se combate tratando cada firma como una transferencia; el riesgo de custodia en plataformas se combate limitando la exposición y ensayando retiros.
• En 2026 hay dos controles nuevos. Las delegaciones EIP-7702 de cuenta completa y el envenenamiento de direcciones no aparecen en las listas antiguas de «esconde tu frase semilla».
• Los primeros 30 minutos tras un robo deciden cuánto queda. Primero mueve los activos restantes, después revoca, luego guarda pruebas y contacta exchanges, y al final haz el análisis posterior.
• Ajusta los controles a tu saldo. Una cartera de 500 dólares no necesita multifirma; 50.000 dólares en una sola hot wallet es una apuesta, no una estrategia.

Índice

• Respuesta en una línea: trata cada firma como una transferencia
• Dónde ocurren realmente las pérdidas
• Cada día, 3 minutos: cinco revisiones antes de firmar
• Cada semana, 15 minutos: aprobaciones, dispositivos y accesos
• Cada mes, 60 minutos: cuentas y estructura de activos
• Cada trimestre, 2 horas: simulacros y rotación de direcciones
• La rutina completa en una tabla
• Tres riesgos de 2026 que tu lista antigua no cubre
• Primeros 30 minutos tras un robo
• Cuánta seguridad necesitas según tu saldo
• 💰 Reembolso de Binance: código BINANBT
• Preguntas frecuentes
• Lecturas relacionadas

Respuesta en una línea: trata cada firma como una transferencia

La seguridad personal en Web3 no consiste en esconder mejor la frase semilla, sino en hacer que cada firma pase una prueba simple: ¿sé exactamente qué va a hacer esta transacción? Una fuga de frase semilla es rara y ocurre una sola vez; el phishing de firmas es frecuente y pasa todos los días. Lo primero es un problema de respaldo; lo segundo, un hábito operativo.

Empieza por los datos. El informe de phishing de firmas de ScamSniffer de enero de 2026 registró unos 6,27 millones de dólares en pérdidas y 4.741 víctimas. Las pérdidas subieron un 207 % respecto al mes anterior mientras el número de víctimas caía un 11 %, señal de que los atacantes pasaron del spam masivo a la caza de ballenas. Dos víctimas concentraron cerca del 65 % de las pérdidas de enero, y la mayor pérdida individual —3,02 millones de dólares— vino de una firma maliciosa de permit o increaseAllowance¹.

Esas personas no necesariamente guardaban la semilla en la nube. Visitaron una página que parecía normal y pulsaron confirmar. Por eso la primera regla de esta lista es simple: cada firma que apruebas es potencialmente una transferencia que no querías hacer.

Dónde ocurren realmente las pérdidas

Las pérdidas cripto se dividen en seis capas, cada una con distinta frecuencia, tamaño y defensa. Tratarlas como un solo problema lleva a la conclusión cómoda pero falsa de que «si mi frase semilla está a salvo, estoy a salvo».

Capa de riesgo	Escenario típico	Tamaño de la pérdida	Frecuencia	Defensa principal	Frecuencia de revisión
Fuga de semilla / clave privada	App de wallet falsa, foto de la semilla en la nube, phishing de «recuperar wallet»	Toda la wallet	Baja	Copia offline, hardware wallet, canales oficiales	Trimestral
Firma / aprobación	Permit malicioso, approve ilimitado, Permit2, EIP-7702	De una cadena a toda la cuenta	Alta	Leer antes de firmar, simulación, revocaciones periódicas	Diaria / semanal
Envenenamiento / dirección equivocada	Copiar una dirección parecida del historial	Una transferencia	Media	Verificar la dirección completa, libreta, lista blanca	Cada transferencia
Dispositivo / navegador	Extensión maliciosa, malware de portapapeles, teclado falso	Media-alta	Media	Dispositivo limpio, auditoría de extensiones, actualizaciones	Semanal
Custodia en plataforma	Hackeo, mezcla de fondos, congelación, quiebra del exchange	Todo el saldo en la plataforma	Baja pero sistémica	Diversificación, proof of reserves, ensayo de retiro	Mensual
Coacción física	Robo en casa, secuestro, transferencia forzada («wrench attack»)	Todo	Baja	Capas de activos, duress wallet, privacidad	Trimestral

El informe de mitad de año de Chainalysis de 2026 documentó 46 incidentes de coacción física contra tenedores de cripto en el primer semestre, con más de 30 millones de dólares conocidos. Solo Francia concentró 30 casos, y los robos en viviendas pasaron del 14 % de los incidentes en 2025 al 37 %². Esta capa queda fuera de la «ciberseguridad» tradicional, pero para grandes tenedores es tan real como una fuga de semilla.

Identifica primero tu mayor exposición y dedica el tiempo allí. Si el 90 % de tus activos está en un exchange, la diligencia mensual del exchange importa más que la revisión diaria de aprobaciones. Si interactúas on-chain todos los días, tu hábito de firma es la primera prioridad.

Cada día, 3 minutos: cinco revisiones antes de firmar

Los tres minutos diarios no son para auditar toda la cartera, sino para detenerte diez segundos antes de pulsar confirmar. Las tres primeras revisiones frenan la mayoría del phishing de firmas.

1. Entra por un marcador, no por un enlace

Las páginas de phishing rara vez fallan por el logo; fallan porque el dominio es casi correcto. Los trucos habituales son cambiar l por I, 0 por O, añadir un guion o usar punycode para que la barra de direcciones muestre algo que parece una marca conocida.

Guarda en marcadores todos los exchanges, wallets y protocolos DeFi que uses, y ábrelos desde ahí. Si recibes un enlace de «reclamar airdrop», «alerta de cuenta» o «actualizar wallet», no lo pulses. Abre el sitio oficial desde el marcador y busca el anuncio. En el móvil, toca la barra de direcciones para ver el dominio completo antes de conectar.

2. Distingue «conectar», «firmar» y «aprobar»

Una ventana de la wallet puede significar tres cosas muy distintas: conectar solo revela tu dirección, firmar puede cambiar el estado on-chain y aprobar puede permitir que alguien gaste tus tokens. Las páginas de phishing suelen usar «Conectar wallet» como primer paso inocente y reservar la firma maliciosa para el segundo.

Hazte tres preguntas:

• ¿Esto es Connect, Sign o Approve / Permit?
• Si solo es una conexión, ¿por qué necesita una firma?
• Si no pensaba hacer nada en este sitio, ¿por qué aparece una solicitud de firma?

3. Rechaza la firma a ciegas

La firma a ciegas ocurre cuando la wallet solo muestra un bloque hexadecimal y no sabes qué estás aprobando. Las solicitudes maliciosas de permit, setApprovalForAll y delegación EIP-7702 prosperan en estos flujos.

La mayoría de wallets modernas ofrecen simulación y te dicen «esta firma mueve X tokens a Y dirección». Si tu wallet no simula, o la página te presiona con «firma ahora o el airdrop expira», trátalo como una señal roja. Cambia de wallet o de dispositivo antes que firmar algo que no puedes leer.

4. Verifica la dirección completa, no solo los primeros y últimos cuatro caracteres

El envenenamiento de direcciones explota el hábito de revisar solo el principio y el final. El atacante genera una dirección con los mismos primeros y últimos caracteres que una que usas, te envía 0 USDT o un token minúsculo para que la dirección falsa aparezca en tu historial, y espera a que la copies la próxima vez.

El 19 de diciembre de 2025, un trader perdió 49.999.950 USDT así. Hizo primero una transferencia de prueba; el atacante la vio, generó una dirección parecida con los mismos primeros y últimos caracteres y la plantó en su historial. Veintiséis minutos después, copió la dirección equivocada³. En enero de 2026 se perdieron otros 12,25 millones en un caso similar.

Haz esto: nunca copies una dirección del historial; usa la libreta de direcciones de la wallet o una lista blanca del exchange; tras pegar, revisa al menos los primeros seis, los últimos seis y un tramo intermedio; para importes grandes, envía primero una cantidad mínima.

5. Usa un importe de prueba y un dispositivo limpio

Para cualquier dirección, red o protocolo nuevo, haz primero la transacción más pequeña posible. No es perder tiempo: son unos dólares para confirmar que el flujo funciona. Mantén la wallet con activos serios lejos de extensiones aleatorias, descargas no oficiales y redes Wi-Fi públicas.

Cada semana, 15 minutos: aprobaciones, dispositivos y accesos

Los 15 minutos semanales sirven para limpiar permisos que diste y olvidaste. Una aprobación no desaparece al cerrar la pestaña; permanece on-chain hasta que la revocas.

Revisión 1: aprobaciones ERC-20 y NFT

Abre Revoke.cash, conecta la wallet y revisa cadena por cadena:

• ¿Hay una aprobación ilimitada a un contrato que no reconoces?
• ¿Una aplicación que ya no usas todavía puede gastar tus tokens?
• ¿Concediste setApprovalForAll de toda una colección NFT a un contrato?

Dos notas prácticas. Revocar cuesta gas, así que agrupa las revocaciones de la misma cadena. Y revocar no es lo mismo que rotar la wallet: si sospechas que la clave privada está comprometida, revocar limita el daño pero no recupera la seguridad.

Revisión 2: las dos capas de Permit2

Permit2 divide una aprobación en «token → contrato Permit2» y «Permit2 → aplicación concreta». Muchos usuarios revocan la segunda capa y no saben que la primera sigue viva. Otros creen que revocar una aplicación invalida su firma Permit2. Peor aún, los permisos SignatureTransfer pueden firmarse completamente off-chain, así que nunca aparecen on-chain y ninguna herramienta de revocación los ve.

Para el mecanismo y la revocación por lotes, consulta la guía de revocación por lotes de Permit2.

Revisión 3: delegaciones EIP-7702

EIP-7702 permite que una dirección normal delegue la ejecución en un contrato. No es «aprobar un token», es «entregar toda la cuenta». Una vez firmada una delegación maliciosa, el atacante puede barrer los activos cada vez que deposites, incluidos los depósitos anteriores a la revocación.

Cómo revisar:

• Abre la pestaña Delegations de Revoke.cash para ver las delegaciones activas. Es principalmente un visor; la revocación suele hacerse dentro de la wallet.
• Busca la dirección en un explorador de bloques y comprueba si hay transacciones tipo 0x04 / SetCode.
• En los detalles de la cuenta de tu wallet, busca un interruptor Smart Wallets / Delegation / Smart Account y desactiva lo que no uses.

Revocar una delegación EIP-7702 implica enviar otra transacción 0x04 que apunte al contrato cero. Los nombres de los botones cambian según la wallet, así que usa la página actual de tu cuenta como referencia. Si no entiendes el interruptor, lo más seguro es enviar los activos a una wallet recién generada y retirar la dirección antigua.

Revisión 4: dispositivos y navegador

• ¿La extensión de la wallet y el navegador están actualizados?
• ¿Instalaste alguna extensión de «alertas de airdrop», «protección MEV» o «acelerador de transacciones» de origen desconocido?
• ¿La wallet con activos importantes comparte perfil de navegador con la navegación y las descargas del día a día?

Una extensión maliciosa puede leer todas las páginas que visitas, sustituir direcciones del portapapeles e inyectar contenido en las transacciones. La solución más simple es un perfil de navegador separado para la wallet de alto valor, sin nada instalado salvo el sitio oficial de la wallet y herramientas imprescindibles.

Revisión 5: historial de acceso y claves API del exchange

Si usas un exchange, dedica dos minutos a tres cosas:

• ¿Hay algún dispositivo o ciudad desconocida en el historial de acceso?
• ¿Las claves API tienen solo los permisos necesarios, con retiros desactivados y lista blanca de IP?
• ¿La lista blanca de retiro y el código antifishing siguen activos?

Para la configuración exacta, consulta la guía de seguridad de la cuenta de Binance.

Cada mes, 60 minutos: cuentas y estructura de activos

La hora mensual es para ajustes que se configuran una vez y caducan en silencio. No los notas día a día, pero deciden cuánto puedes salvar cuando algo falla.

1. Pasa el 2FA de SMS a una app o passkey

El 2FA por SMS es el segundo factor más débil; el más débil es no tener 2FA. El SIM swapping permite a un atacante portar tu número y recibir tus códigos. Es preferible un autenticador TOTP (Google Authenticator, Authy, 1Password, etc.) o una passkey/llave de seguridad física.

Cambia con cuidado: vincula el método nuevo en un dispositivo nuevo, confirma que funciona y luego elimina el viejo. Guarda los códigos de recuperación offline, no solo en el teléfono. Activa también el código antifishing del exchange; los correos oficiales deben mostrar la frase que elegiste, y los que no la muestran probablemente son phishing.

2. Configura lista blanca de retiro y periodo de enfriamiento

Una lista blanca de retiro significa que, incluso si un atacante entra en tu cuenta, solo puede enviar fondos a direcciones que aprobaste antes. Los exchanges principales lo permiten, y las direcciones nuevas suelen tener un enfriamiento de 24 a 48 horas, tiempo útil para detectar cambios no autorizados.

El coste es menos flexibilidad: añadir una dirección nueva lleva tiempo. Añade de antemano la cold wallet y la cuenta bancaria de salida, no cuando las necesites con urgencia.

3. Limpia las claves API

Las claves API son la puerta trasera que muchos olvidan. Revisa los permisos de cada clave: solo lectura, spot, futuros, retiros. Desactiva lo que no necesites, vincula una lista blanca de IP y elimina las que no uses. Una clave con permiso de retiro y sin restricción de IP es una copia de la llave de tu cuenta en un servidor.

4. Separa los activos por capas

No guardes todo en el mismo lugar ni todo en un exchange. Un punto de partida viable:

• Cold wallet / hardware wallet: tenencia a largo plazo, normalmente 70 %–80 %.
• Hot wallet: interacciones diarias y pagos pequeños, 5 %–10 %.
• Exchange: trading y productos de earn, 10 %–20 %, según tu frecuencia.

Los porcentajes no son dogma. La idea es que una pérdida en cualquier plataforma no te cambie la vida. Si tu saldo en el exchange supera la mitad del total, mueve una parte a autocustodia.

5. Comprueba que la copia de seguridad sigue existiendo

Una copia de la semilla no está terminada cuando la escribes. El papel absorbe humedad, se borra o se tira como scrap; las placas metálicas pueden dañarse si se guardan mal. Una vez al mes, confirma que la copia está donde la dejaste, que las palabras se leen y que nadie más conoce la ubicación.

No la fotografíes, no la subas a la nube y no te la envíes por chat «por si acaso». Esas acciones copian la frase semilla a servidores que no controlas.

Cada trimestre, 2 horas: simulacros y rotación de direcciones

Las dos horas trimestrales responden una pregunta: si hoy desapareciera tu dispositivo, ¿podrías recuperar de verdad? La mayoría descubre una palabra que falta o un proceso de importación roto cuando ya es tarde.

Simulacro 1: recupera una wallet pequeña de principio a fin

Usa una wallet de repuesto y tu método real de respaldo. Confirma:

• el orden de las palabras es correcto y todas se leen;
• la dirección recuperada coincide con la que registraste;
• el saldo aparece y puedes enviar una transacción pequeña.

No experimentes con la wallet principal. Pon unos dólares en la wallet de prueba, confirma el proceso y devuelve los fondos.

Simulacro 2: revisa la hardware wallet y el firmware

• ¿La compraste en la tienda oficial y llegó con una semilla ya configurada? (No debería.)
• ¿El firmware está actualizado y lo actualizaste desde la app oficial?
• ¿La pantalla está intacta y los botones funcionan?

El valor de una hardware wallet es la pantalla que te deja verificar dirección e importe en el dispositivo. Si confirmas sin mirar por costumbre, ese valor desaparece.

Simulacro 3: retira direcciones antiguas

Cuanto más interactúa una hot wallet, mayor es su exposición. Si una wallet se ha conectado a decenas de aplicaciones, ha firmado muchas aprobaciones y ha aparecido en sitios de airdrops, considera mover sus activos a una dirección nueva y retirar la antigua. Retirar no es borrar; es dejar de usarla para saldos importantes.

Simulacro 4: escribe qué harías si te robaran ahora

Pon el orden de respuesta donde puedas verlo:

1. Mueve los activos restantes a una wallet recién generada (no a una que pueda estar comprometida).
2. Revoca las aprobaciones y delegaciones que sigan activas.
3. Registra hashes, dirección robada, fechas e importes; haz capturas.
4. Contacta a cualquier exchange al que lleguen los fondos y pide el congelamiento.
5. Denuncia ante la policía y guarda el justificante.
6. Desconfía de los «servicios de recuperación» que piden pago por adelantado.

Estos seis pasos importan más en un incidente real que cualquier detalle técnico.

La rutina completa en una tabla

Frecuencia	Tiempo	Qué revisar	Herramientas	Criterio de aprobación
Diaria	3 min	Dominio, contenido de la transacción y destinatario antes de firmar	Simulación de la wallet, marcadores	Puedes explicar qué hace la firma
Semanal	15 min	Aprobaciones ERC-20/NFT, Permit2, delegaciones EIP-7702	Revoke.cash, explorador, ajustes de la wallet	Sin aprobaciones desconocidas ni ilimitadas
Semanal	5 min	Historial de acceso y permisos de claves API	Centro de seguridad del exchange	Sin dispositivos desconocidos; mínimo privilegio
Mensual	60 min	2FA, código antifishing, lista blanca, capas de activos, copias	Autenticador, ajustes del exchange	2FA no SMS, lista blanca activa, copia legible
Trimestral	2 h	Simulacro de recuperación, firmware, retiro de direcciones, herencia/contacto de emergencia	Wallet de repuesto, app oficial de hardware	Puedes completar una recuperación sin ayuda
Cada transferencia	30 s	Dirección completa, red, memo/tag, importe de prueba	Libreta, explorador	Principio, medio y final verificados

Usa esta tabla como checklist. Si solo puedes hacer una cosa, haz la revisión semanal de 15 minutos. Si puedes hacer dos, añade la actualización mensual del 2FA.

Tres riesgos de 2026 que tu lista antigua no cubre

Las listas tradicionales se detienen en «no hagas captura de la frase semilla» y «no pulses enlaces raros». En 2026, más pérdidas vienen de la capa de firmas. Tres riesgos merecen una entrada propia.

Riesgo 1: delegación EIP-7702 de cuenta completa

EIP-7702 se activó con Pectra en 2025. Permite que una dirección normal delegue la ejecución de código en un contrato. El mecanismo es neutro; el problema es que las páginas de phishing lo disfrazan de «actualizar wallet», «activar cuenta inteligente» o «autorizar antes de reclamar un airdrop». Una vez firmado, el atacante obtiene derechos de ejecución sobre toda la cuenta, no un límite de tokens.

Señales rojas: la ventana menciona delegate, authorization, set code o upgrade; el tipo de transacción es 0x04; la contraparte es un contrato, no un token; la página crea urgencia.

Qué hacer: no firmar. Si ya firmaste, desactiva la delegación dentro de la wallet o mueve los activos a una wallet nueva y retira la dirección antigua.

Riesgo 2: envenenamiento de direcciones

El envenenamiento de direcciones no ataca un contrato ni una clave privada. Ataca el hábito de copiar una dirección del historial. El atacante genera una dirección con los mismos primeros y últimos caracteres, te envía una transacción de valor cero o minúscula para que la falsa entre en tu historial, y espera.

Señales rojas: una transferencia de valor cero que no recuerdas; un destinatario cuyos primeros y últimos caracteres coinciden con tu dirección habitual pero cuyo tramo medio difiere; alguien que te apura a «enviar a la misma dirección de la última vez».

Qué hacer: no copies del historial; usa libreta o lista blanca; verifica la dirección completa; prueba con un importe pequeño.

Riesgo 3: subaprobaciones de Permit2

Permit2 divide una aprobación en dos capas, lo que hace común el fallo «revogué la aplicación, pero la aprobación maestra sigue viva». El caso más oculto es SignatureTransfer: el permiso puede firmarse completamente off-chain, así que nunca aparece on-chain y ninguna herramienta de revocación lo ve.

Qué hacer: incluye la aprobación maestra de Permit2 en la revisión semanal; no firmes permisos ilimitados y de larga duración para aplicaciones que no conoces; consulta la guía de revocación por lotes de Permit2.

Primeros 30 minutos tras un robo

El objetivo de los primeros 30 minutos no es recuperar, sino evitar que la pérdida crezca. Un orden equivocado puede costarte activos que aún eran salvables.

0–5 minutos: mueve lo que queda

No sigas operando en la wallet comprometida. Genera una wallet nueva (mejor en un dispositivo limpio) y mueve los activos restantes. Si la clave privada o la delegación está comprometida, cada minuto que dejes activos allí es un riesgo.

Si el atacante ha montado un sweeper automático, los depósitos en la wallet antigua pueden ser barridos al instante. En ese caso, prioriza activos de alto valor y movimiento rápido, y contacta a los exchanges para congelar las direcciones de destino.

5–15 minutos: revoca aprobaciones y delegaciones

Mientras puedas operar, revoca:

• todas las aprobaciones ERC-20 y NFT;
• las aprobaciones maestras y secundarias de Permit2;
• las delegaciones EIP-7702 (desactívalas en la wallet o mueve los activos y retira la dirección).

Revocar cuesta gas. Si la wallet antigua no tiene gas, envía una cantidad pequeña, revoca o abandona la dirección.

15–30 minutos: guarda pruebas, contacta, denuncia

• Haz capturas de saldos, historial y del hash de la transacción del robo.
• Registra la dirección robada, el importe, la fecha y los tipos de token.
• Contacta a cualquier exchange al que lleguen los fondos, facilita el hash y pide el congelamiento.
• Denuncia ante la policía y guarda el justificante.
• Envía la información a comunidades de seguridad on-chain como SlowMist o ScamSniffer para aumentar la probabilidad de que la dirección quede marcada.

No confíes en quien te contacte ofreciendo recuperación. Un proceso legítimo no pide un depósito, una transferencia ni tu frase semilla o clave privada. Las segundas estafas se dirigen específicamente a víctimas recientes.

Cuánta seguridad necesitas según tu saldo

El gasto en seguridad debe ir acorde con el saldo. Montar una multifirma completa para 500 dólares es mala relación coste-beneficio; 50.000 dólares en una sola hot wallet es apostar.

Saldo	Configuración mínima	Añadir después	No necesario
Menos de $1.000	Hot wallet + 2FA + revisión semanal de aprobaciones	Hardware wallet si es a largo plazo	Multifirma, plan de herencia complejo
$1.000–$50.000	Hardware wallet + separación frío/caliente + revisión mensual	Lista blanca, perfil de navegador separado, simulacro trimestral	Multifirma salvo custodia compartida
Más de $50.000	Hardware wallet + multifirma/MPC + copias en ubicaciones distintas	Plan de herencia, duress wallet, auditoría de seguridad, simulacro trimestral	Guardar todo en un solo exchange

Una prueba simple: si hoy perdieras el teléfono, tu ordenador se infectara y tu exchange pausara los retiros, ¿te afectaría la vida? Si la respuesta es sí, sube un nivel.

💰 Reembolso de Binance: código BINANBT

Los nuevos usuarios que introducen el código de invitación BINANBT al registrarse obtienen un 20 % de reembolso en comisiones de trading, útil si operas con frecuencia. Este artículo contiene un enlace de referido; podemos recibir una recompensa si te registras a través de él, sin coste adicional para ti.

• Reembolso: 20 % de las comisiones, vigente mientras operes; cuanto más operas, más ahorras.
• Paquete de bienvenida: hasta $19.800, se desbloquea con tareas, no es efectivo por registrarte.
• Cómo obtenerlo: introduce BINANBT en el campo de código de invitación al registrarte; es la forma más fiable.
• Importante: registrarte directamente en la app no te da ningún incentivo de nuevo usuario. Un registro dentro de la app no queda vinculado a ninguna invitación, así que el paquete de $19.800 y el reembolso del 20 % no se aplican. Usa el enlace de registro o introduce el código BINANBT.

👉 Regístrate en Binance y obtén el 20 % de reembolso

Preguntas frecuentes

¿Puedo guardar la frase semilla en un gestor de contraseñas o en la nube?

No es recomendable. La nube, la galería de fotos, el historial de chats, los borradores de correo y los gestores de contraseñas son almacenamiento conectado. Si la cuenta sufre credential stuffing, el dispositivo se infecta o el proveedor es vulnerado, la frase semilla queda prácticamente pública. Lo más seguro es escribirla en papel o grabarla en una placa metálica, hacer dos copias, guardarlas en dos lugares físicos y revisar de vez en cuando que las palabras sigan siendo legibles. El gestor de contraseñas sirve para las claves del exchange, no para la frase semilla.

¿Una hardware wallet garantiza la seguridad?

No. Una hardware wallet mantiene la clave privada fuera de internet, pero no impide que firmes una transacción maliciosa, copies una dirección envenenada, instales firmware falso o compres un dispositivo manipulado. Su valor real es la pantalla que te permite verificar el destinatario y el importe en el propio dispositivo. Si pulsas confirmar sin mirar, no es más segura que una hot wallet. Compra en la tienda oficial, revisa el precinto e inicializa tú mismo el dispositivo; nunca uses uno que llegue con la frase semilla ya configurada.

¿Cada cuánto conviene revocar aprobaciones?

Revisa una vez a la semana y haz una revocación completa al menos una vez al mes. El objetivo no es eliminar todas las aprobaciones, sino tres categorías: las ilimitadas, las de aplicaciones que ya no usas y las de spenders cuyo nombre no reconoces. Para protocolos que usas con frecuencia, mantén aprobaciones limitadas; para una wallet que casi no tocas, cuantas menos aprobaciones, mejor. Revocar cuesta gas, así que agrupar varias revocaciones en una sola transacción suele salir más barato.

¿Qué es EIP-7702 y por qué debería importarme?

EIP-7702 llegó con la actualización Pectra de 2025. Permite que una dirección de wallet normal delegue la ejecución de código en un contrato inteligente. La intención es habilitar transacciones por lotes y patrocinio de gas, pero una delegación maliciosa entrega la cuenta completa, incluidos los depósitos futuros, que pueden ser barridos automáticamente. No necesitas los detalles técnicos. Recuerda una regla: si un sitio o un mensaje privado te pide firmar una «actualización de wallet», una «delegación» o un «set code», rechaza primero y verifica después.

¿Qué es más seguro: un exchange o una wallet de autocustodia?

Ninguno es más seguro en términos absolutos; asignan el riesgo de forma distinta. El exchange asume riesgos de hackeo, mezcla de fondos, congelación y quiebra, pero es fácil de usar. La autocustodia asume riesgo de pérdida de la semilla, phishing de firmas, transferencias a la dirección equivocada y coacción física, pero nadie puede congelar tus activos. En la práctica, separa por uso: largo plazo en cold wallet, cantidades pequeñas en hot wallet para el día a día y solo capital de trading en el exchange. Para el lado del exchange, consulta ¿Es seguro dejar cripto en un exchange?.

¿Se puede recuperar el cripto robado?

A veces, pero la probabilidad es baja y depende de hacia dónde vayan los fondos. Si los activos siguen on-chain, los analistas de blockchain y las autoridades pueden congelarlos. Si han pasado por mezcladores o se han dividido entre cadenas, la recuperación es mucho más difícil. Las víctimas deben mover lo que quede, revocar aprobaciones, guardar hashes y capturas, contactar a cualquier exchange al que lleguen los fondos y denunciar ante la policía. Cualquier servicio de recuperación que pida un pago por adelantado debe tratarse como una segunda estafa.

Lecturas relacionadas

• Cómo revocar aprobaciones con Revoke.cash
• Revocación por lotes de Permit2: dos capas y lockdown
• Me robaron MetaMask: ¿se puede recuperar el dinero?
• Cold wallet vs hardware wallet: guía completa
• Tutorial de MetaMask 2026
• Tokens que desaparecen de la wallet: cómo encontrarlos
• Seguridad de la cuenta de Binance: 2FA, código antifishing y lista blanca
• ¿Es seguro dejar cripto en un exchange?
• Más guías de seguridad Web3

---

Descargo de responsabilidad: este artículo tiene fines educativos y no constituye asesoramiento financiero, legal ni fiscal. Los nombres de herramientas, las interfaces de las wallets y las rutas de revocación pueden cambiar; sigue siempre las páginas actuales de tu wallet, navegador y exchange. Ninguna lista puede garantizar que los activos no se pierdan. Desconfía de cualquier servicio de «recuperación» que pida frase semilla, clave privada, código de verificación o pago por adelantado. Algunas jurisdicciones restringen o prohíben los servicios cripto; comprueba primero las normas locales.

Footnotes

1. Fuente: informe de phishing de firmas de ScamSniffer de enero de 2026, citado por CoinEdition / Bitget News el 2026-02-09: unos 6,27 millones de dólares perdidos y 4.741 víctimas; las pérdidas subieron un 207 % intermensual mientras las víctimas cayeron un 11 %; dos víctimas concentraron cerca del 65 % de las pérdidas de enero; la mayor pérdida individual, 3,02 millones, vino de una firma maliciosa de permit / increaseAllowance. ↩

2. Fuente: informe de mitad de año de Chainalysis sobre crimen cripto de 2026, publicado el 2026-08-06: 46 incidentes de coacción física en el primer semestre, más de 30 millones de dólares conocidos; Francia concentró 30 casos; los robos en viviendas pasaron del 14 % de los incidentes en 2025 al 37 %. ↩

3. Fuente: registro de KuCoin / ScamSniffer del incidente de envenenamiento de direcciones del 2025-12-19: la víctima perdió 49.999.950 USDT en una transacción con hash 0xc0514a79; el atacante generó una dirección parecida con los mismos primeros y últimos caracteres tras la transferencia de prueba y la plantó en el historial; la víctima copió la dirección equivocada 26 minutos después. ↩