Contraseñas y 2FA para cripto: cómo blindarlas (2026)

Contraseñas y 2FA son el 80 % de tu seguridad cripto, y casi todo lo que se escribe sobre ellas es demasiado genérico para servir. Aquí va lo específico: por qué una sola contraseña reutilizada vacía exchanges enteros, cómo funciona de verdad un gestor, qué factor 2FA resiste el phishing y cuál no, y el armamento de tu exchange que casi nadie activa.

¿Por qué la contraseña reutilizada es el error nº 1?

El ataque tiene nombre — credential stuffing — y funciona así: alguna web menor donde te registraste hace años se filtra; tu correo y contraseña de ahí acaban en una lista; un bot prueba esa misma pareja en cientos de servicios, incluidos exchange y correo. Si reutilizaste, entró sin hackear nada — tu contraseña era la llave, y la dejaste bajo el felpudo de otra puerta^[3].

La aritmética que convence: con una sola contraseña memorable, cada filtración ajena es una candidata para tu exchange. Con contraseñas únicas generadas, las filtraciones ajenas siguen ocurriendo — pero ninguna te toca. Esa es toda la diferencia entre los dos mundos, y explica por qué este es el paso uno junto con blindar el correo.

¿Qué hace un gestor de contraseñas y cuál elegir?

Un gestor es una bóveda cifrada que genera y recuerda una contraseña única y larga para cada servicio; tú solo memorizas la maestra^[4]. Los tres nombres que se repiten en toda comparativa seria:

• Bitwarden — open source, versión gratuita completa, sincroniza en la nube cifrada. El favorito racional para empezar.
• 1Password — de pago, experiencia muy pulida, kit de emergencia excelente.
• KeePassXC — local y sin nube, para quien prefiere gestionar la copia a mano.

Elegir entre ellos importa menos que usar uno: la bóveda bien blindada de cualquiera supera a la memoria humana reutilizando. Lo que sí importa igual en los tres: la contraseña maestra (larga, única, jamás usada antes), 2FA por app en la cuenta del gestor, y el kit de emergencia impreso guardado en físico — si pierdes la maestra sin kit, pierdes todas las contraseñas a la vez.

Los 4 tipos de 2FA, comparados con honestidad

No todos los segundos factores valen lo mismo — la métrica que los separa es qué pasa cuando te pescan con una web falsa:

La lectura práctica: del SMS a la app de autenticación es el salto obligatorio para cuentas que mueven dinero — correo, gestor, exchange — en ese orden. La llave física o la passkey son el siguiente escalón cuando el monto lo justifique.

Un matiz honesto sobre la tabla: la app TOTP resiste el robo de SIM pero no el phishing clásico — si tecleas tu código en la web falsa, el atacante lo usa en tiempo real. Por eso la app TOTP es “parcial”: elimina el vector telefónico, no la errata humana. Las llaves físicas y las passkeys son las únicas que hacen matemáticamente imposible pescarlas, porque jamás funcionan fuera del dominio legítimo — y esa es exactamente la razón por la que cuestan más fricción y, en el caso de la llave, dinero. Elige por amenaza: contra el SIM swap basta la app; contra tu propio clic en una web falsa, solo el hardware o la passkey.

El armamento específico del exchange

Las plataformas grandes traen blindajes que el 90 % de los usuarios nunca activa — revisa los tres en tu cuenta hoy:

1. Código anti-phishing: una frase que tú defines y que aparece en todo correo legítimo de la plataforma. Si un mensaje que dice ser del exchange no la muestra, es falso — la forma más simple de desactivar el phishing^[3].
2. Libreta de direcciones con bloqueo: guardas tus direcciones de retiro habituales y activas la restricción que congela los retiros a direcciones nuevas 24 horas. Es el freno exacto que necesita un atacante que acaba de entrar — y la razón por la que esa espera existe.
3. Alertas de ingreso y retiro activadas: la detección temprana es tu sistema de alarma — el correo de “nuevo ingreso desde un dispositivo desconocido” es el momento de actuar, no de borrarlo como spam.

Y una consecuencia operativa que sorprende: cambiar contraseñas o métodos de 2FA activa esperas de seguridad — en OKX, 24 horas de retiros bloqueados tras tocar la autenticación. Planifica el blindaje para un día sin movimientos, o revisa antes por qué se bloquean los retiros.

De cero a blindado en una tarde: 8 pasos

El orden importa — cada paso habilita el siguiente:

1. Elige e instala el gestor (Bitwarden para empezar) y crea la bóveda con una contraseña maestra larga y única.
2. Activa el 2FA por app en la cuenta del gestor — es la primera cuenta que se blinda, no la última.
3. Cambia la contraseña de tu correo a una generada por el gestor — la llave maestra de todas las demás.
4. Activa 2FA por app en el correo y guarda sus códigos de recuperación en papel.
5. Cambia las contraseñas de tus cuentas de dinero (exchanges, bancos) a contraseñas generadas — las cinco críticas primero.
6. Migra el 2FA de SMS a app en correo y exchange: desactiva el SMS solo después de confirmar que la app funciona.
7. Activa el armamento del exchange: código anti-phishing, libreta de direcciones con bloqueo, alertas.
8. Imprime el kit de emergencia del gestor y júntalo con los códigos de recuperación — una carpeta física que responde a “¿y si pierdo todo?”.

Recuerda el coste operativo: tocar la autenticación del exchange puede activar la espera de 24 horas sobre retiros — hazlo un día sin movimientos.

Los malos hábitos que deshacen todo

El montaje perfecto convive con costumbres que lo anulan. El catálogo de las que vemos una y otra vez:

• Capturas de los códigos 2FA o de la frase semilla en el carrete del móvil — que se sincroniza con la nube de forma automática. La foto es la fuga.
• Códigos y contraseñas en la app de notas, o enviados por WhatsApp “temporalmente” a un familiar. Temporalmente significa para siempre.
• Contraseñas compartidas en texto plano por chat: lo que envías por ahí deja de ser tuyo; para compartir acceso a un servicio, usa las funciones de compartir del propio gestor.
• Guardar contraseñas en el navegador sin bloqueo del dispositivo: cualquier acceso físico a tu portátil desbloqueado es acceso a todo.
• El 2FA “de mentira”: activar la app y dejar el SMS como alternativa — el atacante simplemente elige el camino débil. Un servicio, un factor: el más fuerte que tengas.

El respaldo del 2FA: la mitad que todos olvidan

Activar 2FA sin plan de respaldo es canjear un riesgo por otro: ahora perder el teléfono puede costarte la cuenta. El protocolo completo cabe en cuatro líneas:

1. Al activar el 2FA en cada servicio, guarda sus códigos de recuperación en papel — misma caja fuerte que tu frase semilla, sin fotos ni nube.
2. Exporta los códigos TOTP a un segundo dispositivo o a una copia cifrada que controles — el teléfono roto debe ser una molestia, no una sentencia.
3. Prueba la recuperación una vez: entra como si hubieras perdido todo, usando solo el papel. Si no sale, mejor descubrirlo hoy.
4. El correo y el gestor van primero — son las cuentas que restauran todas las demás; su 2FA es el que nunca puede quedarse sin respaldo.

Con eso, el mismo 2FA que frena a los atacantes no te frena a ti.

En resumen

El blindaje de contraseñas y 2FA cabe en cuatro movimientos: gestor de contraseñas con una maestra fuerte (fin de la reutilización), 2FA por app en correo, gestor y exchange (fin del SMS), armamento del exchange activado (anti-phishing, libreta con bloqueo, alertas) y respaldo en papel de cada código (fin del miedo a perder el teléfono). Ningún paso cuesta dinero — solo disciplina de una tarde — y juntos neutralizan la vía de entrada más usada contra cuentas de cripto. Si algo de esto te suena a “ya lo haré”, empieza hoy por el correo: es la llave que abre todo lo demás^[1].