Phishing de frase semilla y clave privada: por qué nadie legítimo te la pide jamás

Tu frase semilla, a veces llamada frase de recuperación, es una lista corta de palabras que puede restaurar toda tu wallet en cualquier dispositivo. Tu clave privada cumple la misma función en otro formato. Quien posea cualquiera de las dos controla tus fondos por completo. Por eso el phishing de frase semilla y clave privada es tan devastador: se salta todos los cerrojos y simplemente te pide que entregues la llave maestra.

En qué consiste esta estafa

El phishing de frase semilla es cualquier intento de engañarte para que escribas, pegues, fotografíes o recites tus palabras de recuperación o tu clave privada. No existe ninguna razón legítima para que un sitio web, una aplicación, un agente de soporte o una persona las necesite jamás. Todo el diseño de las wallets de autocustodia parte de que solo tú verás nunca esas palabras.

Cómo funciona, paso a paso

1. Un pretexto creíble

El estafador inventa un motivo que suena útil o urgente. Los guiones habituales incluyen «necesitamos verificar tu wallet», «sincroniza tu wallet para corregir un error», «valida tu cuenta para recibir tu recompensa» o «nuestro equipo de seguridad ha detectado un problema y necesita migrar tus fondos».

2. La vía de entrega

El pretexto te llega a través de un chat de soporte falso, un mensaje directo de una cuenta que se hace pasar por un ayudante oficial, un correo de phishing, una ventana emergente o un sitio web de wallet falsificado que aparece cuando buscas ayuda.

3. La trampa del formulario

Te muestran un formulario, un cuadro de chat o una pantalla falsa de «restaurar wallet» que pide tus doce o veinticuatro palabras, a menudo una palabra por casilla para parecer técnico y legítimo. Algunas versiones te piden que «importes» tu wallet a una herramienta pegando la frase.

4. El robo instantáneo

En el momento en que envías esas palabras, el atacante carga tu wallet en su propio dispositivo y la vacía. No hay demora, ni negociación, ni marcha atrás.

Las señales de alarma exactas

• Cualquier petición de tu frase semilla o tu clave privada, en cualquier forma. Esta es la única regla que no admite excepciones.
• «Verifica», «valida», «sincroniza», «restaura» o «migra» tu wallet. Estas palabras se usan para que entregar la frase suene rutinario.
• Un agente de soporte que te escribe primero. El soporte real no se cuela en tus mensajes directos pidiendo palabras de recuperación.
• Un formulario que acepta cada palabra en su propia casilla. Las wallets legítimas se restauran localmente en tu dispositivo, nunca a través de un sitio web.
• Presión para actuar antes de que tus fondos se «pierdan». El miedo es la herramienta que hace que la gente pegue la frase.

Cómo evitarlo

Adopta un hábito único e inquebrantable: tu frase semilla nunca sale del lugar físico donde la guardaste. No la escribes en sitios web, no la pegas en chats, no la envías en mensajes y no la lees en voz alta en llamadas. La única vez que la introduces es directamente en tu propia aplicación de wallet al restaurarla, y aun así solo si fuiste tú quien inició ese proceso.

Guarda las palabras sin conexión, en papel o metal, en un lugar privado. Nunca las guardes en una captura de pantalla, una aplicación de notas, un borrador de correo o el almacenamiento en la nube, porque el malware y las filtraciones de cuentas saquean sistemáticamente justo esos sitios. Trata como estafador a cualquiera que saque el tema de tu frase de recuperación hasta que se demuestre lo contrario, y esa demostración prácticamente nunca llega.

Por qué esta estafa es tan eficaz

El phishing de frase semilla funciona porque se esconde en momentos en los que ya te sientes preocupado o esperanzado. Un mensaje que avisa de que tus fondos están en peligro provoca pánico, y un mensaje que promete una recompensa provoca entusiasmo, y ambas emociones hacen que la gente actúe antes de razonar. Los estafadores también se apoyan en la autoridad, revistiendo su petición con el lenguaje de los equipos de seguridad y los procedimientos oficiales para que entregar la frase parezca seguir instrucciones en lugar de romper la única regla que importa. Saber esto de antemano te ayuda a frenarte en el momento en que surgen esas emociones, porque la emoción misma suele ser la primera señal de que alguien te está dirigiendo hacia la frase.

Qué hacer si ya la has compartido

Si ya has introducido tu frase semilla en algún lugar donde no debías, da por hecho que esa wallet está comprometida ahora mismo.

• Mueve los fondos de inmediato a una wallet completamente nueva creada con una frase semilla nueva, idealmente en un dispositivo limpio.
• Abandona la wallet expuesta. No la reutilices nunca, porque el atacante puede restaurarla en cualquier momento.
• Analiza el equipo en busca de malware si introdujiste la frase en un dispositivo que pueda estar infectado.
• Denúncialo al canal de soporte oficial de tu proveedor de wallet y a tu policía local y al servicio nacional de denuncia de ciberdelincuencia o fraude.

Nuestra promesa: TokenSpin nunca te pedirá tu frase semilla ni tu clave privada, ni para reclamar una recompensa, ni para verificar tu identidad, ni por ningún motivo. Si alguna vez ves un mensaje que usa nuestro nombre para pedirla, ese mensaje es fraudulento.