Cómo detectar mensajes y correos cripto sospechosos
Aprende a identificar señales concretas de fraude en mensajes, correos y notificaciones cripto, y a verificar enlaces, remitentes y solicitudes antes de actuar.
Señales inmediatas
La urgencia artificial es una señal clara cuando un aviso exige “verificar ahora”, “evitar suspensión” o “reclamar fondos” mediante un botón. En cripto, un exchange, wallet o servicio de custodia legítimo suele permitir revisar el estado desde la app oficial o el panel web, no solo desde un enlace recibido.
La solicitud de secretos críticos marca una frontera no negociable. Ningún correo, chat de soporte ni notificación legítima debe pedir tu frase semilla, clave privada, código 2FA, contraseña de retiro ni captura del backup. Si el mensaje mezcla “seguridad” con esa petición, trátalo como intento de robo.
- Desconfía de mensajes que piden actuar antes de una supuesta hora límite sin mostrar el aviso también dentro de tu cuenta.
- Frase semilla y clave privada nunca se comparten; una vez expuestas, el control de la wallet puede perderse sin reversión.
Verificar remitente y enlace
El dominio real se comprueba en el campo del remitente y en la URL completa antes de tocar nada. Un cambio mínimo como una letra extra, un subdominio confuso o un acortador puede llevar a una copia del inicio de sesión. Abre la plataforma escribiendo la dirección manualmente o desde un marcador guardado.
La notificación legítima suele coincidir con un evento verificable: inicio de sesión, retiro solicitado, cambio de contraseña o alta de dispositivo. Confirma ese evento en Historial de seguridad, Actividad reciente o Notificaciones dentro de la cuenta. Si no existe rastro interno, el mensaje pierde credibilidad.
- Evita enlaces abreviados y archivos adjuntos inesperados, especialmente ZIP, APK, PDF con contraseña o extensiones de navegador.
- Comprueba si el aviso aparece también en la app oficial, correo transaccional esperado y registro de seguridad de la cuenta.
Mensajes sobre transacciones
Un fraude común inventa depósitos pendientes, reembolsos o retiros bloqueados para empujarte a pagar una “tasa de desbloqueo”. Verifica el hash de transacción (TXID) en un explorador de bloques y revisa campos concretos: estado, confirmaciones, red usada, entradas, salidas y comisión de red.
La red y el activo deben coincidir exactamente. Un mensaje puede decir “USDT recibido” sin aclarar si fue por Ethereum, Tron o otra red. Antes de responder o reenviar, compara la dirección de depósito, la red seleccionada y el historial de la plataforma. Una transferencia confirmada o enviada por red equivocada no es automáticamente recuperable.
- Un explorador de bloques fiable debe mostrar estado y confirmaciones; si el TXID no existe, la notificación es sospechosa.
- Distingue comisión de red de comisión de plataforma; un estafador suele mezclar ambos conceptos para justificar cobros falsos.
Qué hacer sin errores
La acción correcta es aislar el mensaje y validar por canal independiente. Cierra el enlace, entra desde la app oficial, revisa Retiros, Dispositivos, API, lista blanca de direcciones y ajustes de 2FA. Si hubo interacción, cambia la contraseña desde la web legítima y revoca sesiones activas.
El error frecuente es seguir conversando con el remitente para “confirmar” datos. Usa solo el centro de ayuda oficial o ticket autenticado desde tu cuenta. Si compartiste semilla o clave privada de una wallet de autocustodia, asume compromiso total y migra fondos a una wallet nueva creada desde un dispositivo limpio.
- Si hiciste clic, revisa permisos de extensiones, claves API, direcciones en lista blanca y retiros pendientes antes de volver a usar la cuenta.
- Si solo recibiste el mensaje pero no interactuaste, basta con bloquear, reportar phishing y conservar capturas para soporte oficial.