Phishing cripto: cómo detectar una web falsa (2026)

El phishing no hackea nada: te convence de entregar tus llaves tú mismo — en una web clonada, un correo falso o una app fraudulenta — y en cripto eso es definitivo, porque no existe la transferencia revertida ni el “deshacer”. Es la estafa más frecuente contra usuarios de exchanges y wallets, y la que más dinero se lleva. Esta guía recorre sus seis canales reales, el ritual de 10 segundos que los desactiva y el protocolo según lo que ya hayas escrito.

¿Qué es el phishing y por qué en cripto no hay segunda oportunidad?

El phishing es suplantación: el atacante imita una marca que confías — exchange, wallet, soporte — para capturar tus credenciales o hacerte firmar algo^[2]. En banca, un robo así termina en devolución del banco; en cripto la transacción firmada es irreversible y el retiro es instantáneo: lo que sale no vuelve. Esa asimetría convierte cada descuido en pérdida definitiva, y explica por qué el phishing es el capítulo más caro de las estafas cripto.

El otro matiz que lo hace letal: la web falsa es idéntica — mismo logo, mismo formulario, mismo flujo. El único delato fiable es el dominio, y el atacante hace todo lo posible para que no lo mires.

Los 6 canales del phishing cripto

Cada canal tiene su disfraz y su delato:

Fíjate en el patrón común de los seis: urgencia + autoridad + un formulario. La urgencia apura tu criterio, la autoridad desactiva tu desconfianza y el formulario hace el resto. Cuando veas los tres juntos, ya sabes qué es.

El ritual de los 10 segundos

Tres gestos que convierten el phishing en imposible práctico — hazlos cada vez que vayas a iniciar sesión en algo que guarda dinero:

1. Domino letra por letra: binance.com no es bínance.com, ni binance-support.com, ni binance.com.login-seguro.xyz. Los clones viven en dominios que contienen la marca, no que son la marca.
2. Desde tu marcador, nunca desde un enlace: guarda los dominios oficiales en marcadores el día que los descubras y entra solo desde ahí. Un enlace de correo, anuncio o chat es una invitación, no una dirección.
3. Comprueba el código anti-phishing: si configuraste tu frase personal en el exchange (toma un minuto, hazlo — está en contraseñas y 2FA), todo correo y sesión legítima la muestra. Sin ella, es falso — punto.

Y el hábito que resume todo: la prisa es el cómplice del phishing. Ningún servicio legítimo se rompe por los 30 segundos que tardas en verificar; el fraude necesita que no te tomes ese tiempo.

Cómo se disfraza una web falsa: los delatos técnicos

El clon moderno es pixel-perfect, pero el disfraz tiene costuras. Las que delatan a casi todos:

• El truco del subdominio: login.binance.com-verify.xyz contiene “binance.com” — pero el dominio real es lo que va antes de la primera barra y justo antes del .com/.es/.mx final. Lo que queda a la izquierda (login., secure-) es decoración.
• Caracteres gemelos: dominios con letras unicode idénticas a la vista (cyrílico ‘о’ por la ‘o’ latina). Si tu teclado no puede escribir el dominio de memoria, no lo escribas — usa el marcador.
• El candado del navegador no certifica nada: solo dice que la conexión va cifrada — los sitios de phishing tienen candado también, desde hace años. Nunca fue prueba de legitimidad.
• Un dominio recién creado: las campañas usan dominios de días de vida; una búsqueda del dominio en herramientas WHOIS gratuitas lo delata en segundos si tienes dudas serias.
• El formulario que “falla” la primera vez: el clásico — te dice “contraseña incorrecta”, la revalida en el fondo real, y te hace dudar del error. Si una web te manda reintentar “para verificar”, miraste demasiado tarde.

Ninguno de estos delatos exige conocimientos: exigen mirar antes de escribir — que es exactamente los 10 segundos que el montaje necesita robarte.

El phishing que no llega por correo: SMS y llamadas

El canal más antiguo sigue vivo y en español es especialmente productivo:

• El SMS “de tu banco o exchange”: “cuenta bloqueada, valide aquí” con un enlace acortado. Tu exchange no bloquea por SMS — los avisos reales están en la app, que es a donde debes ir a comprobarlo, nunca al enlace.
• La llamada del “soporte”: alguien sabe tu nombre y que tienes cripto (una filtración te clasificó), ofrece “ayudarte con el problema de seguridad” y termina pidiendo pantalla compartida, código de verificación o “verificar una transferencia de prueba”. El soporte real no llama sin que lo pidas y jamás pide códigos.
• La variante LATAM de cobro: mensajes de pago o comprobante con enlaces — la misma mecánica del comprobante falso del P2P, vestida de SMS.

El reflejo que neutraliza los tres: cuelga y devuelve. Corta, abre la app oficial o marca tú el número oficial, y consulta si existe el problema. El fraude telefónico no sobrevive al canal que el atacante no controla.

La regla absoluta: la frase semilla no se escribe nunca en una web

Si recuerdas una sola línea de este artículo, que sea esta: ningún servicio legítimo — ni exchange, ni wallet, ni soporte, ni “verificación” — te pide tu frase semilla en una web, correo o chat. La frase se escribe en exactamente dos sitios: en papel cuando la respaldas, y en tu propia app cuando la restauras^[1].

El phishing de frase semilla es además el más mortífero: con la frase, el atacante no necesita tu contraseña ni tu teléfono — recrea tu wallet entera donde le convenga. Y las campañas lo saben: los correos falsos de “verificación de wallet” circulan precisamente porque funcionan. Si algo pide tu frase, ya terminaste de leer: es fraude sin necesidad de más análisis.

Ya hice clic: el protocolo según qué escribiste

El primer paso es no fingir que no pasó — y el segundo depende de qué se filtró, porque los tiempos son radicalmente distintos:

Si escribiste una contraseña en una web falsa:

1. Cambia esa contraseña desde un dispositivo limpio — no desde el equipo donde te pescaron.
2. Si reutilizabas esa contraseña (por eso este artículo existe), cámbiala en todos los sitios donde viva.
3. Activa o revisa el 2FA por app, y congela retiros en el exchange si ves sesiones ajenas. Tu margen: las horas que tarde el atacante en usar lo capturado.

Si firmaste algo raro en una web con la wallet conectada:

1. Abre tu wallet y revoca los permisos de esa web de inmediato — un permiso activo sigue pudiendo vaciar.
2. Mueve los fondos valiosos a otra wallet mientras revisas.
3. Denuncia el sitio para que las alertas de otras wallets lo marquen^[1].

Si escribiste tu frase semilla en una web o se la diste a alguien:

1. Los fondos se van en minutos — muévelos ya: dispositivo limpio, wallet nueva con frase nueva, transferir todo lo que aún exista, empezando por lo más valioso.
2. Luego reporta y documenta — pero el orden no se negocia: primero mover, después denunciar^[3].
3. La frase filtrada se jubila para siempre: no hay “cambiarla”, hay generar otra y rehacer los respaldos.

La diferencia entre los tres protocolos es el reloj: una contraseña filtrada te da horas; una frase filtrada, minutos. Por eso el respaldo offline de la frase y la regla de no escribirla jamás en webs pesan tanto en la seguridad de tu correo y tus cuentas.

En resumen

El phishing te hace entregar las llaves voluntariamente — por anuncio, correo, falso soporte, app falsa o firma apurada — y en cripto no hay devolución que te rescate. La defensa cabe en cuatro hábitos: dominios escritos o marcados, nunca buscados en anuncios; la frase semilla jamás en una web; el código anti-phishing activado; y cero prisa ante cualquier urgencia. Y si ya pasó, el protocolo depende de qué se filtró — con la frase semilla, el reloj corre en minutos: mueve primero, denuncia después. Ninguna de estas defensas cuesta dinero; todas cuestan los 10 segundos que el atacante necesita que no te tomes^[4].