BLOG |
How-tos
Así es como funciona el phishing y cuál es la única regla que te mantiene a salvo.
El phishing es más antiguo que Internet, pero más reciente de lo que la mayoría de la gente cree. El término en sí se acuñó alrededor de 1996 en America Online (AOL), después de que un adolescente creara una herramienta para robar contraseñas, y la táctica que hay detrás (falsa confianza, falsa urgencia, una petición de lo único que lo desbloquea todo) no ha cambiado desde entonces. Lo que sí ha cambiado es el objetivo: ahora, las páginas web falsas piden a los usuarios de Bitcoin que introduzcan su frase de seguridad, lo único que realmente puede vaciar una cartera.
Hay exactamente un dato que puede hacer eso sin tu permiso: tu frase de seguridad, también llamada «frase semilla» (un conjunto de palabras que se genera al configurar un monedero no custodial; suele ser de 12 o 24 palabras, dependiendo del monedero, aunque Blink utiliza 12). Todo lo demás —tu correo electrónico, tu número de teléfono, incluso tu PIN— un estafador puede sortearlo, pero tu frase de seguridad no, así que eso es lo que buscan.
No se trata de un problema de Blink, ni tampoco es algo nuevo. Cualquier monedero sin custodia ha funcionado así durante más de una década, y el phishing ha estado presente todo este tiempo; lo nuevo es que Blink cuenta ahora con cuentas sin custodia, lo que significa que un número cada vez mayor de usuarios de Blink dispone de una frase de seguridad y podría convertirse en objetivo por primera vez.
Si no tienes claro por qué esas doce palabras son tan importantes, empieza por aquí: «Si no tienes las claves, no tienes las monedas»: ¿qué significa esto? Todo lo que viene a continuación da por hecho que ya sabes que tu frase de seguridad es tu Bitcoin, y precisamente por eso merece la pena robarla.
Advertencia: esto no te enseñará cómo se crean las páginas de phishing, y no voy a incluir enlaces a ejemplos reales. Esta es la regla: nunca introduzcas tu frase de seguridad en una página web. Ni en Blink, ni en «soporte de Blink», ni en ningún monedero, conozcas o no su nombre. Es tuya y solo tuya; si alguien te pide que la envíes, es casi seguro que se trata de una estafa de phishing.
Durante años, la mayor amenaza para los usuarios de Blink no era técnica, sino social. Alguien que enviaba un mensaje primero, haciéndose pasar por el servicio de atención al cliente de Blink, y pedía datos de la cuenta, códigos PIN o códigos de verificación. Hemos hablado mucho de esto, y ha dado sus frutos: la mayoría de las personas de esta comunidad saben ahora, de forma instintiva, que el servicio de atención al cliente de Blink nunca te envía un mensaje primero. Ese simple dato ha ahorrado mucho dinero a mucha gente.
Ahora bien, hay un segundo hábito que vale la pena adquirir junto con ese.
El phishing relacionado con las frases de recuperación lleva más de una década dirigiéndose a los usuarios de carteras de Bitcoin de custodia propia. No es una táctica nueva, ni es exclusiva de Blink: cualquier cartera que cuente con una frase de recuperación ha sido objeto de estos ataques desde que existen dichas frases. Lo que ha cambiado es quién, en Blink, dispone ahora de una.
Durante la mayor parte de la historia de Blink, la mayoría de los usuarios utilizaban un sistema de custodia propia. No había ninguna frase de seguridad que robar, porque simplemente no existía, y punto. Lo peor que podía hacer un estafador era engañarte para que revelaras tus datos de acceso o un código de autenticación de dos factores.
Eso cambió en el momento en que las cuentas sin custodia se hicieron realidad. Ahora, cada vez más personas guardan las doce palabras que constituyen la totalidad de su monedero: sin restablecimiento de contraseña, sin tickets de asistencia técnica, sin botón de «deshacer». Esa es precisamente la esencia de la propiedad sin custodia, y es una verdadera disyuntiva sobre la que hemos sido sinceros desde el primer día: la verdadera propiedad implica una verdadera responsabilidad.
Esto también significa que un tipo de estafa que ya es algo habitual en otras carteras de Bitcoin resulta, por primera vez, rentable dirigirla específicamente contra los usuarios de Blink. Una pantalla de inicio de sesión falsa que te pida tu correo electrónico tiene muy poco valor para un delincuente. En cambio, una pantalla falsa que te pida tu frase de seguridad vale todo el Bitcoin que tengas. Ese incentivo no existía durante la mayor parte de la historia de Blink. Ahora sí existe.
Esto es especialmente relevante para los usuarios de Blink, ya que Blink ofrece ahora la opción de cuentas sin custodia. Si ya has dado el paso o te lo estás planteando, es la primera vez que dispones de una frase de seguridad, lo que te convierte también en un objetivo nuevo, aunque este tipo de ataque sea algo habitual en otras carteras de Bitcoin. Obtén más información sobre las cuentas sin custodia en Blink Wallet.
No puedo predecir de qué forma concreta se disfrazará: una falsa actualización de una aplicación, una página web clonada con una URL que difiere en un solo carácter, una «herramienta de recuperación de monedero», un código QR en una quedada que lleva a donde no debería. El disfraz cambia. Lo que piden, nunca.
La señal de alerta es siempre la misma: en algún momento, en algún sitio, te pedirán que escribas tus doce palabras en un cuadro de texto. Esa es toda la estafa. Todo lo que ocurre antes de ese momento —la urgencia, el logotipo de aspecto oficial, el temporizador de cuenta atrás, el mensaje de «tus fondos están en peligro»— existe únicamente para llevarte a ese cuadro de texto.
La frase de seguridad se guarda en una cartera que hayas creado tú mismo. Nunca en una página web.
Dilo como mejor te resulte para recordarlo. Tu frase de seguridad desbloquea tu monedero en tu dispositivo, en una aplicación que has instalado tú mismo. No se introduce en un navegador, en una ventana de chat, en un formulario de asistencia ni en un «portal de verificación». Si algo te pide que lo hagas, ciérralo. No importa lo convincente que parezca.
Así es como funciona realmente una recuperación legítima: abres una aplicación de monedero, la auténtica, descargada desde la App Store o la Play Store oficiales, o compilada desde el código fuente si eres de ese tipo de usuarios, y escribes tus palabras directamente en esa aplicación, sin conexión, sin que se envíe nada a ningún sitio. Eso es todo. No existe ninguna versión legítima de esto que se realice en una página web.
Lo que Blink nunca hará: nunca te pediremos tu frase de seguridad, ni por chat, ni por correo electrónico, ni por teléfono, ni a través de un formulario web. Ni para «verificar» tu cuenta, ni para ayudarte a recuperar fondos, ni por ningún motivo. Si alguna vez necesitáramos tu frase de seguridad para ayudarte, eso significaría que ya podríamos acceder a tus fondos, y el principio fundamental de las cuentas sin custodia es precisamente que no podemos hacerlo.
Añade la página web auténtica a tus favoritos, no la busques. Un anuncio de búsqueda o un dominio similar puede confundirse fácilmente con la página auténtica por un simple error tipográfico. Escribe «blink.sv» una vez, añádela a tus favoritos y utiliza el favorito.
Considera la urgencia como una señal de alarma, no como un motivo para precipitarte. «Tu cuenta será suspendida», «verifica en un plazo de 24 horas», «tus fondos están en peligro»: estas frases sirven para acallar esa parte de tu cerebro que, de otro modo, te haría parar y comprobarlo todo. La verdadera recuperación no tiene un reloj que marque el tiempo.
Guarda tu frase de seguridad en algún lugar sobre el que solo tú tengas control. Una placa de acero, un gestor de contraseñas, una copia de seguridad cifrada en la nube… elige la opción que realmente vayas a mantener. La copia de seguridad más segura del mundo no te servirá de nada si, seis meses después, una página web falsa te convence de entregar una copia a otra persona.
Asume que cualquier contacto no solicitado es hostil hasta que se demuestre lo contrario. No pienses que «es poco probable que sea legítimo», sino que es hostil. Las personas que llevan a cabo estas estafas son pacientes y solo necesitan acertar una vez.
El control sin custodia es el camino correcto. Pero tampoco es gratis. Las carteras con custodia contaban con un equipo de asistencia que se interponía entre tú y la pérdida de una contraseña. En las carteras sin custodia solo estás tú, tus doce palabras y nada más. No voy a fingir que esa contrapartida no existe, y no voy a permitir que un simple párrafo sensacionalista oculte el hecho de que la autocustodia significa que ahora tú eres el objetivo, del mismo modo que lo han sido durante años los titulares de bitcoins en autocustodia que utilizan otras carteras.
Eso no es motivo para evitar la propiedad sin custodia. Es motivo para tomarse en serio una regla fundamental: tu frase de seguridad debe guardarse en tu monedero, en tu dispositivo, y en ningún otro sitio. Jamás.
¿Me pedirá alguna vez el servicio de asistencia de Blink mi frase de seguridad para ayudarme a recuperar mi cuenta?
No. Nunca. Si pudiéramos recuperar tus fondos con tu frase de seguridad, eso significaría que tuviéramos acceso a ellos, y la esencia misma de las cuentas sin custodia es precisamente que no lo tenemos. Cualquiera que te pida tu frase de seguridad «para ayudarte» no es Blink.
¿Y si una página web tiene exactamente el mismo aspecto que blink.sv?
Comprueba la URL carácter por carácter antes de fijarte en cualquier otra cosa. Los dominios falsos se aprovechan de que te fías del logotipo y no prestas atención a la barra de direcciones. Añade el dominio auténtico a tus favoritos y nunca accedas a él a través de un resultado de búsqueda o de un enlace en un mensaje.
Ya he introducido mi frase de seguridad en una página web que parecía oficial. ¿Qué hago?
Transfiere tus fondos inmediatamente a un monedero nuevo con una frase de seguridad recién generada, antes de hacer nada más. Da por hecho que la frase antigua ha quedado comprometida en el momento en que salió de tu dispositivo, aunque todavía no te hayan robado nada.
¿Se trata solo de un problema de Blink?
No. Se trata de un riesgo que afecta a todo el ecosistema de Bitcoin, no es específico de Blink. Cualquier monedero sin custodia, ya sea Blink, Phoenix o cualquier otro, presenta exactamente este mismo punto único de fallo: la frase de seguridad. Los usuarios de Blink simplemente llevan menos tiempo siendo objeto de ataques que la mayoría.
¿El uso de un monedero físico elimina este riesgo?
Lo reduce, ya que tu frase de seguridad nunca tiene que pasar por un dispositivo conectado a Internet para firmar transacciones. No elimina el riesgo por completo, ya que aún puedes ser engañado para que introduzcas tus palabras en un proceso falso de «restauración» que aparezca en una pantalla. La regla sigue siendo la misma independientemente del monedero que utilices.
Tus doce palabras valen exactamente lo mismo que tus bitcoins, ni más ni menos. Trata cualquier solicitud que te hagan para obtenerlas, por muy oficial que parezca, igual que tratarías a un desconocido que te pidiera que le dejaras tu dinero «solo un segundo». No lo harías, así que no empieces ahora.
Empieza a recibir y enviar bitcoins ahora
