Seguridad en criptomonedas: custodia y cómo detectar estafas

Cada vez que el precio de bitcoin vuelve a ocupar titulares, se repite un patrón: aumenta el interés de los pequeños ahorradores y, casi en paralelo, se multiplican los intentos de fraude. Los supervisores europeos y latinoamericanos llevan años advirtiendo de que el mayor riesgo para muchos inversores no es la volatilidad del mercado, sino perder el acceso a sus activos o entregarlos a un estafador. Este análisis repasa cómo funciona la custodia de criptoactivos, qué ha cambiado con la regulación europea y qué señales deberían encender las alarmas.

Por qué la custodia es la cuestión central

En el sistema bancario tradicional, el dinero de una cuenta es un apunte contable en la entidad, y si algo sale mal existen mecanismos de reclamación y fondos de garantía de depósitos. En una blockchain la lógica es distinta: quien controla la clave privada controla los fondos. No hay un servicio de atención al cliente de la red que pueda revertir una transferencia enviada por error ni recuperar una contraseña olvidada.

Esa característica, que para muchos es una ventaja porque elimina intermediarios, convierte la custodia en la decisión más importante para cualquier persona que compre criptomonedas. Si quieres repasar los fundamentos técnicos, lo explicamos en qué es Bitcoin y cómo funciona.

Custodia propia: control total, responsabilidad total

La custodia propia (self-custody) significa que el usuario guarda sus claves en un monedero que solo él controla. Hay dos grandes familias:

• Monederos calientes (hot wallets): aplicaciones de móvil, extensiones de navegador o programas de escritorio. Son cómodos para operar con frecuencia, pero al estar conectados a internet están más expuestos a malware y a ataques de suplantación.
• Monederos fríos (cold wallets): dispositivos físicos que firman las operaciones sin exponer la clave a internet, o incluso claves anotadas en papel. Son más seguros frente a ataques remotos, pero exigen disciplina: si se pierde el dispositivo y la frase de recuperación, los fondos se pierden para siempre.

La pieza crítica es la frase semilla (normalmente 12 o 24 palabras) que permite regenerar el monedero. Nunca debe fotografiarse, guardarse en la nube ni compartirse con nadie. Ningún soporte técnico legítimo la pedirá jamás.

Custodia delegada: comodidad con riesgo de contraparte

La mayoría de pequeños inversores compran a través de plataformas de intercambio o aplicaciones que guardan los activos por ellos. Es la opción más sencilla, pero introduce un riesgo de contraparte: si la plataforma quiebra, sufre un hackeo o actúa de forma fraudulenta, el cliente puede quedar atrapado como un acreedor más. La historia del sector incluye varios colapsos de plataformas en los que los usuarios tardaron años en recuperar una parte de sus fondos, o no la recuperaron.

Al elegir un proveedor conviene comprobar si separa los activos de los clientes de los propios, si publica pruebas de reservas auditadas, qué ocurre en caso de insolvencia y, sobre todo, si está autorizado.

Qué cambia con MiCA en la Unión Europea

El Reglamento europeo de mercados de criptoactivos (MiCA) ha introducido un régimen de autorización para los proveedores de servicios de criptoactivos que operan en la UE, con obligaciones de custodia, segregación de activos, gobierno corporativo e información al cliente. Lo explicamos con más detalle en nuestra pieza sobre qué cambia para el inversor con MiCA.

Para el inversor español, la consecuencia práctica es que puede verificar si una plataforma figura en los registros oficiales. Conviene tener presentes dos matices:

• El periodo transitorio para que los proveedores ya activos se adapten varía entre Estados miembros. El plazo aplicable en España y las autorizaciones ya concedidas pueden comprobarse en la CNMV y en el registro de la ESMA.
• La autorización no elimina el riesgo de mercado: una plataforma regulada no garantiza que el precio de un criptoactivo no se desplome, ni existe un fondo de garantía equivalente al de los depósitos bancarios.

La situación en Latinoamérica

En Latinoamérica el panorama regulatorio es heterogéneo. Algunos países han establecido registros o regímenes específicos para proveedores de activos virtuales, mientras que en otros la supervisión es parcial o se centra en la prevención del blanqueo de capitales. Supervisores como la CNBV en México, la CNV en Argentina, la Superintendencia Financiera de Colombia, la CMF en Chile o el Banco Central do Brasil informan en sus webs de los registros o autorizaciones que aplican. Para el inversor latinoamericano, la recomendación general es comprobar si la plataforma está inscrita ante el regulador local y desconfiar de entidades que solo existen en redes sociales.

Las estafas más habituales y cómo reconocerlas

Las modalidades cambian con rapidez, pero la mayoría comparte un esquema reconocible.

Falsos asesores e inversiones con rentabilidad garantizada

Es el fraude más extendido. Alguien contacta por redes sociales, aplicaciones de mensajería o aplicaciones de citas, gana la confianza de la víctima y la invita a una plataforma que muestra ganancias espectaculares. Al intentar retirar, aparecen "comisiones", "impuestos" o "tasas de desbloqueo" que hay que pagar por adelantado. Ninguna inversión legítima garantiza una rentabilidad alta y estable; esa promesa por sí sola ya es una señal de alarma.

Suplantación de identidad y phishing

Correos, SMS o anuncios que imitan a una plataforma conocida o a una cartera y piden "verificar" la cuenta o introducir la frase semilla. También circulan aplicaciones falsas en tiendas de aplicaciones y extensiones de navegador maliciosas. La regla es sencilla: escribir siempre la dirección oficial a mano y no introducir la frase de recuperación en ninguna web.

Esquemas piramidales y tokens de nuevo cuño

Proyectos que pagan rendimientos a los primeros participantes con el dinero de los nuevos, o tokens lanzados con gran ruido mediático cuyos creadores venden en cuanto sube el precio. La falta de un equipo identificable, de documentación técnica seria o de liquidez real en mercados reconocidos son indicios de riesgo.

Estafas de recuperación

Tras sufrir un fraude, muchas víctimas reciben ofertas de supuestos despachos o "hackers éticos" que prometen recuperar el dinero a cambio de un pago previo. Se trata, con frecuencia, de una segunda estafa dirigida a la misma persona.

Lista práctica de seguridad

Para reducir riesgos, estas pautas sirven tanto en España como en Latinoamérica:

1. Comprueba la autorización del proveedor en la web del supervisor antes de depositar dinero. La CNMV publica advertencias sobre entidades no autorizadas.
2. Activa la autenticación en dos pasos con una aplicación generadora de códigos, mejor que por SMS.
3. Separa funciones: un monedero caliente con pequeñas cantidades para operar y uno frío para el ahorro a largo plazo.
4. Guarda la frase semilla fuera de línea, en un lugar seguro y, si es posible, con una copia en otra ubicación.
5. Desconfía de la urgencia: las prisas, las ofertas "solo hoy" y la presión emocional son herramientas habituales de los estafadores.
6. Haz una transferencia de prueba de importe pequeño antes de mover cantidades grandes.
7. Dimensiona la exposición según tu perfil de riesgo: las criptomonedas deberían ser, para la mayoría, una parte pequeña de una cartera bien diversificada.

Qué hacer si has sido víctima

Actuar rápido aumenta las probabilidades de limitar daños. Conviene cambiar contraseñas, revocar permisos concedidos a aplicaciones, reunir todas las pruebas (capturas, direcciones de monedero, identificadores de transacción) y denunciar ante la policía. En España, además, se puede informar a la CNMV y consultar los recursos de la Oficina de Seguridad del Internauta. El INCIBE ofrece además una línea de ayuda en ciberseguridad, y en Latinoamérica los supervisores financieros y las unidades policiales especializadas suelen habilitar sus propios canales de denuncia. Nunca pagues a terceros que prometan recuperar fondos.

Qué vigilar en los próximos meses

Tres elementos marcarán la evolución de la seguridad en el sector: la culminación de las autorizaciones bajo MiCA en Europa, el avance de las normas de trazabilidad de transferencias de criptoactivos y la llegada de productos regulados como los ETF de bitcoin, que permiten exposición al precio sin gestionar claves. El informe sobre cibercriminalidad que elabora el Ministerio del Interior ayuda a dimensionar el problema de los fraudes en España y su evolución.

Conclusión

La seguridad en criptomonedas descansa en dos decisiones: quién custodia los activos y a quién se le concede la confianza. La custodia propia ofrece control pleno a cambio de responsabilidad absoluta; la delegada aporta comodidad pero exige verificar que el proveedor está autorizado y es solvente. En ambos casos, la mejor defensa contra el fraude es el escepticismo: nadie regala rentabilidades garantizadas, nadie legítimo pide la frase semilla y la urgencia es casi siempre una trampa. Antes de invertir, informarse en las fuentes oficiales y limitar la exposición a lo que uno puede permitirse perder sigue siendo el consejo más valioso.