Estafas cripto: cómo identificarlas antes de perder el dinero

Las estafas de este sector casi nunca son sofisticadas desde lo técnico. Lo que hacen bien es ponerte en un estado emocional: apuro, codicia, miedo o gratitud. Entendido eso, da bastante igual cómo cambien los formatos.

Todas tienen el mismo esqueleto

Desarmadas, se parecen entre sí de manera notable:

1. Te ponen en un estado. Urgencia («tu cuenta está en riesgo»), codicia («esto cierra hoy»), confianza («hace dos meses que hablamos») o gratitud («te estoy ayudando gratis»).
2. Te dan una puerta de entrada que controlan ellos. Un enlace, un código QR, una dirección, una cuenta de soporte.
3. Te piden una acción irreversible. Transferir, firmar, pasar un código, instalar una aplicación.

El tercer paso siempre es irreversible, y eso no es casualidad: la irreversibilidad de las transferencias en cadena es justamente lo que hace atractivo a este sector para el fraude. Por eso la defensa real está en el segundo paso: no uses nunca una puerta de entrada que te dio otro. Abre el sitio oficial desde tu marcador, genera el ticket desde adentro de la plataforma, copia la dirección desde la página oficial. Con eso, la manipulación emocional del primer paso se queda sin lugar donde apoyarse.

Tipo 1: falso soporte y falso «oficial»

El más frecuente porque es el más barato de montar.

Escena típica: preguntas algo en un grupo y a los dos minutos te escribe alguien por privado con el logo de la plataforma en la foto, diciendo que es del soporte. O te llega un mensaje de que hubo un acceso sospechoso y que verifiques desde un enlace.

Dónde se rompe:

• el soporte oficial no te escribe primero por privado, ni por SMS, ni por teléfono;
• el soporte oficial no te pide contraseña, código de verificación ni frase de recuperación;
• los correos oficiales llevan tu código antiphishing: si no está esa palabra, es falso, por más prolijo que se vea. Cómo configurarlo está en la nota de seguridad;
• nadie oficial te va a pedir que muevas tus fondos a una «cuenta segura». Eso no existe.

Esta variante tiene su mejor rendimiento cuando estás con un problema real: verificación rechazada por tercera vez, un retiro trabado, la cuenta limitada. Ese alivio de que aparezca alguien ofreciendo ayuda es exactamente lo que buscan. Lo mencionamos también en la nota de verificación.

Tipo 2: sitios clonados y aplicaciones falsas

Escena típica: un anuncio arriba de los resultados del buscador, un enlace corto reenviado en un grupo, o una «nueva versión de la app» para descargar. La página es idéntica; cargas usuario y contraseña y del otro lado los usan para entrar a la verdadera.

Defensa:

• Usa un marcador. Guarda el sitio oficial y entra siempre desde ahí. Este único hábito elimina toda esta categoría.
• Lee el dominio carácter por carácter. Los dominios falsos usan letras parecidas o agregan una palabra; de un vistazo no se nota, leyendo despacio sí.
• Aplicaciones, solo desde la tienda oficial o desde el enlace del sitio. Nada de archivos de instalación que circulan por chat ni de ventanas que ofrecen actualizar.
• Ten activa la verificación en dos pasos. Aunque se lleven la contraseña, les falta un factor.

Tipo 3: firmas y permisos en cadena

Apunta a quien usa billeteras propias y es la categoría que más creció.

Cómo funciona: para que una aplicación pueda operar con tus tokens hace falta darle una autorización, y esa autorización tiene un límite que muchas interfaces piden directamente como ilimitado. El atacante arma una página que parece normal —reclamar una entrega de tokens, «verificar» la billetera, participar de algo— y te induce a firmar. Lo que firmaste, en realidad, es permitir que esa dirección retire ese activo cuando quiera.

Lo peligroso es que no necesita tu clave privada, se ve como un simple «confirmar», y los fondos pueden no desaparecer en el momento: el atacante puede esperar a que tu saldo crezca.

Defensa:

• Lee qué estás firmando. La billetera lo muestra. Si no lo entiendes, no lo firmes; acá no hay excepciones.
• Firmar no sirve para «verificar tu billetera». Una aplicación legítima no necesita una autorización de gasto para comprobar que la billetera es tuya.
• Revisa y revoca permisos cada tanto. Existen herramientas para listar y quitar autorizaciones de tokens en cada red.
• Separa saldos. Una billetera con poco dinero para interactuar con aplicaciones, y la tenencia principal en una dirección que nunca se conecta a ningún sitio.

Tipo 4: rendimientos garantizados

El guion: un porcentaje diario, estabilidad, «custodia de fondos», «seguro», y un premio extra por traer gente.

La estructura: lo que cobran los primeros sale del capital de los que entran después. Mientras el flujo nuevo crezca, paga sin fallar y se ve absolutamente real. Ahí está el mayor peligro, porque además vas a conocer a alguien que efectivamente cobró y que te lo va a recomendar de buena fe. Cuando el flujo se frena, los pagos se cortan de un día para el otro.

Cómo identificarlo no es mirando cuán alto es el número, sino preguntando: ¿de dónde sale ese rendimiento y puedo verificarlo por mi cuenta?

• Si dicen «trading algorítmico»: ¿se puede ver el historial de operaciones y las caídas de capital?
• Si dicen «minería»: ¿dónde está el equipamiento y coincide con los datos públicos de la red?
• Si dicen «arbitraje»: ¿entre qué dos mercados, y por qué esa diferencia se mantiene en el tiempo?

Si no hay respuesta, o si contestan «es información reservada», trátalo como estafa. Y una regla adicional sin excepciones: cualquier esquema donde traer gente forme parte de cómo se gana, es lo que parece, se llame como se llame.

Aclaración para no confundir: los productos de rendimiento dentro de un exchange regulado también pagan intereses, pero explican de dónde viene el rendimiento, cuál es el plazo y cuál es el riesgo, y dicen expresamente que no hay capital garantizado. La promesa de capital garantizado o rendimiento fijo es la señal.

Tipo 5: la estafa larga

La de ciclo más extenso y, en general, la de mayor pérdida. La otra persona construye una relación durante semanas o meses sin hablar de dinero, hasta que un día menciona «de casualidad» que invierte en cierta plataforma.

Señales que se repiten:

• la relación avanza mucho más rápido de lo normal, con una cercanía desproporcionada;
• nunca hay encuentro presencial y las videollamadas se posponen o duran segundos;
• la plataforma que recomiendan nunca es un exchange conocido, sino una aplicación de la que no oíste hablar;
• los primeros retiros chicos salen perfectos: eso está diseñado para construir confianza;
• cuando quieres sacar un monto grande, aparecen razones para pagar algo antes: impuestos, garantía, costo de desbloqueo.

El último punto es el criterio definitivo: si te piden pagar para poder retirar lo que ya es tuyo, es una estafa. Ninguna plataforma real funciona así.

Tipo 6: tokens que aparecen solos

De golpe ves en tu billetera unos tokens que no compraste, con un valor aparente nada despreciable. Cuando intentas venderlos, resulta que solo se pueden operar en cierto sitio, y ese sitio es la trampa: conectas la billetera, firmas y se llevan lo que sí tenía valor.

Hay una variante llamada envío de monto cero: el atacante genera una dirección cuyos primeros y últimos caracteres coinciden con una que usas seguido y te manda una transacción de cero, para que esa dirección quede en tu historial. La próxima vez que copies una dirección desde el historial, puedes copiar la falsa.

Defensa: no interactúes con tokens que no reconoces y copia siempre las direcciones desde la página oficial o desde tu lista blanca, nunca desde el historial de transacciones.

Checklist de un minuto

Antes de transferir, firmar o pasar un código, contesta estas seis:

1. Esto, ¿lo empecé yo o me buscaron?
2. Este enlace o esta dirección, ¿los saqué de mi marcador o de la página oficial?
3. ¿Hay alguien apurándome?
4. ¿Alguien me prometió una ganancia?
5. ¿Entiendo qué es exactamente lo que estoy por firmar?
6. Si esto fuera una estafa, ¿cuánto pierdo y lo puedo soportar?

Con que una sola respuesta te incomode, frena. Las estafas le tienen terror a que te tomes un minuto: todos los guiones están construidos para que no llegues a hacer esta lista.

Si ya pasó: el orden importa

1. Corta la hemorragia. Si entraron a tu cuenta: cambia la contraseña, cierra todas las sesiones y revisa si agregaron direcciones de retiro o claves de acceso a la interfaz de programación. Si firmaste una autorización: revocala y mueve lo que quede a una dirección nueva.
2. Guarda todo. Conversaciones, comprobantes, hashes de transacción, cuentas y direcciones de la otra parte. No lo borres por vergüenza.
3. Denuncia cuanto antes. El movimiento en cadena es público; cuanto antes intervenga la autoridad, más chances de alcanzar los fondos antes de que se dispersen.
4. Avisa a las plataformas involucradas. Si el dinero fue a parar a una dirección de un exchange, contacta su canal oficial con el hash.
5. Cuidado con la segunda vuelta. Después de una estafa aparece gente ofreciendo «recuperar tus fondos» a cambio de un pago por adelantado. Es la misma gente o del mismo rubro.

El último punto merece énfasis: quien acaba de perder dinero se agarra de cualquier cosa, y por eso la segunda estafa tiene una tasa de éxito más alta que la primera. Cualquiera que prometa recuperar fondos cobrando por adelantado es una estafa, sin excepción.

Preguntas frecuentes

¿El soporte oficial te escribe primero?

No. El soporte no inicia conversaciones por mensajería, ni por mensaje directo en redes, ni por teléfono para resolver problemas de tu cuenta. Toda comunicación oficial ocurre dentro del sistema de tickets de la plataforma o en correos que llevan tu código antiphishing. Cualquiera que te contacte primero diciendo ser soporte es falso.

¿Por qué las estafas de firma son más comunes que el robo de claves?

Porque bajan la guardia con mucha más facilidad. Una solicitud de firma parece apenas un botón de confirmar, sin la sensación de peligro que da escribir una frase de recuperación. Pero una autorización de gasto sin límite equivale a permitir que esa dirección retire ese activo de tu billetera cuando quiera, con un efecto parecido al de entregar la clave.

El sitio que me pasaron es idéntico al oficial, ¿cómo lo distingo?

No intentes distinguirlo por el aspecto, porque el aspecto se copia entero. Distinguilo por tres cosas: leer el dominio carácter por carácter, entrar siempre desde tu propio marcador y verificar que los correos traigan tu código antiphishing. Con la costumbre del marcador, la página falsa nunca llega a aparecer frente a ti.

¿Todo proyecto que promete un rendimiento diario fijo es una estafa?

No se puede afirmar en el cien por ciento de los casos, pero en este sector la enorme mayoría de los que prometen un rendimiento diario fijo sin explicar de dónde sale terminan sin poder pagar. El criterio no es cuán alto sea el número, sino si el origen de ese rendimiento se puede verificar de forma independiente. Si no se puede, trátalo como estafa.

¿Sirve de algo denunciar después de que me estafaron?

Sí, y conviene hacerlo rápido. Los movimientos en cadena son públicos y se pueden rastrear, así que cuanto antes intervenga la autoridad, más chances hay de alcanzar los fondos antes de que se dispersen. Guarda todas las conversaciones, comprobantes y hashes de transacción: es el único material que sirve.

Para cerrar

Nada de lo anterior requiere conocimiento técnico. Son costumbres: entrar desde el marcador, verificar la dirección después de pegarla, leer antes de firmar, esperar un minuto antes de decidir. Cuestan unas semanas de incomodidad hasta que se automatizan, y después trabajan solas.

Las modalidades de fraude cambian de forma continua; los tipos descritos corresponden a lo relevado en agosto de 2026 y no agotan las variantes posibles. Este material es informativo y no constituye asesoramiento legal ni de inversión: ante un caso concreto, denuncia ante las autoridades de tu país y consulta con un profesional.