Seguridad de carteras cripto: lista y contrapartidas

7 de noviembre de 2026 · PlayCISO

La regla más importante de la seguridad de las carteras de criptomonedas es que tu frase de recuperación (también llamada frase semilla) es la cartera: quien la tiene controla los fondos, así que nunca la compartes y nunca la escribes en un sitio web. Ethereum.org lo dice sin rodeos: nunca, por ningún motivo, compartas tu frase de recuperación ni tus claves privadas. Todo lo demás de esta lista trata de evitar las situaciones en que alguien te convence, te engaña o te apremia para romper esa regla, o para firmar algo que no entendiste.

Esto es solo una guía de seguridad. No dice nada sobre qué comprar, mantener o vender y no recomienda ninguna marca de cartera. Como una transacción no se puede deshacer, el coste de un error es mayor que con una tarjeta bancaria. La FTC señala que los pagos con criptomonedas normalmente no son reversibles, y que si pierdes el acceso a una cartera, normalmente nadie puede ayudarte a recuperar los fondos.

Hazlo ahora: el repaso de 15 minutos

Localiza tu frase de recuperación. Debería estar en papel, sin conexión. Si está en una captura de pantalla, una nota en la nube, un correo o una app de mensajería, pásala a papel y borra las copias digitales.
Decide qué cantidad es de «gasto» y cuál de «ahorro». Guarda las cantidades pequeñas y de uso frecuente en una cartera cómoda y todo lo que te dolería perder en una cartera de hardware comprada al fabricante o a un revendedor autorizado.
Guarda como marcadores los sitios y las apps que uses desde el propio sitio del fabricante de la cartera, y ábrelos desde los marcadores, no desde enlaces en mensajes o anuncios.
Revisa las aprobaciones de tokens y revoca las que no uses. Ethereum.org enlaza una guía sobre cómo revocar el acceso de contratos inteligentes.
Guarda las direcciones a las que pagas con regularidad en la libreta de direcciones de tu cartera para no tener que copiar nunca una del historial.
Activa el inicio de sesión más robusto en las cuentas de exchange y de correo conectadas a tus criptomonedas. Una clave de acceso es mejor que un código por SMS.
Escribe un plan de recuperación: dónde está la copia de seguridad y quién podría encontrarla si tú no pudieras.

Puedes ensayar las decisiones de abajo en el Laboratorio de seguridad de carteras cripto, un escenario con personas y una cartera ficticias donde no hay nada real en juego.

Cartera caliente o de hardware: la contrapartida

Una cartera caliente es software en un dispositivo conectado a internet: una app de móvil o una extensión del navegador. Una cartera de hardware guarda la clave privada en un dispositivo dedicado y firma allí las transacciones. Ethereum.org describe las carteras de hardware como la opción más segura para guardar claves privadas porque la clave permanece en el dispositivo y nunca toca internet.

Cartera caliente: rápida de configurar y cómoda para un uso pequeño y frecuente, pero la clave vive en un dispositivo que también instala apps, abre enlaces y puede infectarse.
Cartera de hardware: mejor protección frente al malware de tu ordenador, pero cuesta dinero, se puede perder y aun así tienes que leer lo que firmas. Cómprala al fabricante o a un revendedor autorizado, nunca en un anuncio de redes sociales ni en un anuncio de segunda mano, porque un dispositivo manipulado anula su sentido.
Cuenta en un exchange: cambias la gestión de las claves por depender de la seguridad del exchange y de las protecciones de tu cuenta. Es una decisión de custodia con sus propios riesgos, no una ausencia de riesgo.

Mucha gente usa dos carteras: una pequeña y cómoda para el uso diario y una de hardware para el resto. La idea es limitar lo que puede costar un solo error.

La frase de recuperación: trátala como una llave maestra

Las páginas de ayuda de los fabricantes de carteras dicen que escribas la frase sin conexión y que no la compartas nunca, y que su soporte no te la pedirá. Ethereum.org también desaconseja las capturas de pantalla. Reglas prácticas:

Escribe las palabras en papel, en orden, y compruébalas una vez. No fotografíes el papel.
No escribas nunca la frase en un sitio web, un chat, un formulario ni una herramienta de «verificación». El único lugar al que pertenece es la pantalla de restauración de una app o dispositivo de cartera en el que confíes, en tu propio dispositivo, cuando estés recuperando tu propia cartera.
No la guardes en el correo, en notas en la nube, en gestores de contraseñas compartidos con otras personas ni en apps de mensajería.
Una frase no se puede cambiar. Si queda expuesta, la solución es una cartera nueva, no una contraseña nueva.

La contrapartida con las copias de seguridad es real. Una sola copia es un punto único de fallo (incendio, inundación, pérdida). Cada copia adicional es otro lugar que proteger. Decide a propósito y prueba tu recuperación con una cantidad pequeña antes de fiarte de ella.

Cómo darte cuenta de que es una estafa

Falso soporte

Ethereum.org tiene una sección de «estafas de soporte» que advierte de que los estafadores se hacen pasar por personal de soporte de carteras, exchanges o blockchains populares. Las preguntas públicas en las comunidades atraen mensajes privados de cuentas que dicen ser el servicio de ayuda. El soporte real no te pedirá tu frase y no necesitará que compartas pantalla para «validar» tu cartera. Usa únicamente la vía de soporte que figure en el propio sitio del fabricante.

Apps y sitios de cartera falsos

Se usan apps imitadoras, anuncios en buscadores y dominios parecidos para recoger frases. Empieza desde el propio sitio del fabricante de la cartera, escrito por ti o desde un marcador. Una etiqueta de anuncio, una bonificación prometida o un enlace de un desconocido son motivos para parar. El consejo de la FTC de no hacer nunca clic en un enlace de un SMS, correo o mensaje de redes sociales inesperado se aplica también aquí.

Airdrops falsos y tokens sorpresa

Ethereum.org describe estafas de airdrop en las que un proyecto te envía un activo y después un sitio te pide firmar algo dañino para «reclamarlo». Si aparece un token que no pediste, ignóralo. Ocúltalo en la cartera si quieres, pero no visites el sitio, no conectes tu cartera y no firmes.

Urgencia y rentabilidades garantizadas

La FTC dice que ninguna empresa legítima te exigirá enviar criptomonedas por adelantado y que solo los estafadores garantizan beneficios o grandes rentabilidades. Una cuenta atrás en un «saldo congelado» es la misma presión con otro aspecto. Para patrones relacionados, consulta nuestras guías sobre estafas con IA y estafas por WhatsApp.

Envenenamiento de direcciones: no copies del historial

En el envenenamiento de direcciones, un atacante genera una dirección que coincide con los primeros y últimos caracteres de una que ya usas y la planta en tu historial con una transferencia mínima o de valor cero. Si más adelante copias la entrada más reciente en lugar de la dirección real, tu pago va al atacante. Un artículo de USENIX Security 2025 de Tsuchiya y colegas, disponible en arXiv, mide el ataque en Ethereum y en BNB Smart Chain. El ataque tiene éxito aunque tus claves nunca se vean comprometidas, porque apunta a lo que copias y pegas.

Usa los contactos guardados de tu cartera o pide al destinatario que te envíe de nuevo la dirección.
Compara la dirección completa, no solo el principio y el final.
Ignora las transferencias mínimas no solicitadas. No respondas a ellas.
Recuerda que una transacción es irreversible. Ethereum.org dice que compruebes que la dirección del destinatario coincide exactamente con la que pretendes.

Transacciones de prueba: útiles, con un límite

Para una transferencia grande a una dirección nueva, una prueba pequeña antes puede confirmar que la dirección y la red son correctas. La contrapartida es una comisión extra y algo de tiempo. No te protege si la propia dirección salió de un historial envenenado, porque una dirección parecida funciona perfectamente bien, así que verifica también de dónde procede la dirección.

Aprobaciones y firmas: lee antes de firmar

Muchas apps te piden firmar una aprobación para que un contrato inteligente pueda gastar un token en tu nombre. Ethereum.org aconseja no permitir límites de gasto ilimitados y fijar límites solo por la cantidad que necesita una transacción. Una aprobación ilimitada sigue abierta hasta que la revocas, de modo que una app o un contrato comprometidos pueden mover ese token más adelante. Aquí la comodidad y la exposición se compensan directamente.

Lee lo que estás aprobando. Si la cartera solo muestra datos ilegibles y no puedes saber qué hace, no firmes.
Fija un límite de gasto que se ajuste a la necesidad de hoy.
Revisa las aprobaciones cada pocos meses y revoca las que no uses.

Las funciones a nivel de cuenta plantean preguntas relacionadas. Nuestro explicador del riesgo de delegación de EIP-7702 cubre lo que significa dejar que una cuenta ejecute código delegado, y la lista de controles de servicios de firma muestra cómo las organizaciones protegen las claves de firma, lo cual es un contexto útil para desarrolladores.

Copias de seguridad y herencia

Planifica la pérdida y el día en que no puedas actuar. Guarda una copia de seguridad probada en un lugar seguro, idealmente lejos de donde vives, y deja instrucciones que una persona de confianza pueda encontrar en las circunstancias adecuadas. Evita decir la frase a mucha gente: todos los que la conocen pueden gastar los fondos. Una foto digital del papel recupera la exposición que evitaste al escribirla.

Si tu frase semilla quedó expuesta

Deja de usar la cartera antigua y no escribas la frase en ningún otro sitio.
Crea una cartera nueva con una frase nueva en un dispositivo de confianza y limpio.
Mueve cuanto antes los activos a la cartera nueva. Un atacante puede esperar.
Revoca las aprobaciones de la cartera antigua donde puedas y cambia las contraseñas de las cuentas conectadas.
Denúncialo. En EE. UU., la FTC y el Centro de Denuncias de Delitos en Internet (IC3) del FBI reciben denuncias de estafas con criptomonedas.
Desconfía de las ofertas de recuperación. Los desconocidos que prometen recuperar fondos a cambio de una tarifa son una segunda estafa habitual.

Para que no vuelva a pasar: una lista de comprobación

Frase de recuperación en papel, sin conexión, nunca escrita en un sitio.
Cartera de hardware para las cantidades que no podrías permitirte perder, comprada a una fuente oficial.
Apps y sitios abiertos desde marcadores, no desde mensajes ni anuncios.
Contactos guardados para las direcciones; no copies nunca del historial.
Prueba pequeña para direcciones nuevas, verificando el origen de la dirección.
Sin aprobaciones ilimitadas; revoca las que no uses.
Ignora los tokens sorpresa y los mensajes privados de «soporte».
Una copia de seguridad probada y un plan para alguien de tu confianza.
Inicio de sesión robusto en el correo y las cuentas de exchange conectados. Consulta la Comprobación de huella digital para ver qué se puede encontrar públicamente sobre ti.

Preguntas frecuentes

¿Cuál es la forma más segura de guardar criptomonedas?

No hay una única respuesta. Ethereum.org llama a las carteras de hardware la opción más segura para guardar claves privadas porque la clave permanece en el dispositivo y nunca toca internet. Una app de móvil es más cómoda, pero su clave vive en un dispositivo que también navega e instala apps. Elige la cartera según lo que podrías permitirte perder.

¿A quién debo dar mi frase semilla?

A nadie. Ethereum.org dice que nunca, por ningún motivo, compartas tu frase de recuperación ni tus claves privadas, y los fabricantes de carteras dicen que su soporte no te la pedirá. Quien tiene la frase controla la cartera.

¿Qué es el envenenamiento de direcciones (address poisoning)?

Un atacante envía una transferencia mínima o de valor cero desde una dirección parecida a la tuya para que aparezca en tu historial de transacciones, con la esperanza de que más adelante la copies en lugar de la real. Unos investigadores lo describen en un artículo de USENIX Security 2025. Usa contactos guardados o pide de nuevo la dirección, y compara la dirección completa.

¿Qué es una aprobación de tokens y por qué revocarla?

Una aprobación permite que un contrato inteligente gaste un token de tu cartera. Ethereum.org desaconseja los límites de gasto ilimitados y enlaza una guía para revocar el acceso de contratos. Revisa las aprobaciones que ya no uses y revócalas.

¿Puedo recuperar mis criptomonedas si las envío al lugar equivocado?

Normalmente no. Ethereum.org dice que una transacción enviada en Ethereum es irreversible, y la FTC dice que los pagos con criptomonedas normalmente no son reversibles. Comprueba la dirección antes de enviar.

¿Y si escribí mi frase semilla en un sitio falso?

Trata la cartera como comprometida. Una frase no se puede cambiar, así que crea una cartera nueva con una frase nueva en un dispositivo de confianza, mueve los activos cuanto antes y denuncia la estafa a la FTC y al IC3 del FBI.

Fuentes

Esta es una guía general de seguridad, no asesoramiento financiero, y no recomienda ninguna cartera ni exchange. Los menús y la redacción de las carteras cambian según la versión; sigue las páginas de ayuda oficiales de tu fabricante de cartera para ver los pasos actuales.