Cómo recuperar una billetera cripto comprometida: guía de emergencia

Tus fondos se están moviendo y no lo autorizaste. O tu saldo acaba de caer a cero. O alguien te avisó que tu frase semilla apareció donde no debía.

Detente. Respira. Esto es lo que debes hacer ahora mismo.

1. Crea una billetera nueva en un dispositivo en el que confíes.
2. Mueve cualquier fondo restante a la nueva dirección ahora.
3. Revoca las aprobaciones antiguas de la billetera cuando aún sea posible.
4. Congela cuentas de exchange si los fondos allí se vieron afectados.
5. No reutilices nunca la frase semilla anterior.

Si estás en una crisis activa, comienza desde el primer paso y sigue el orden.

Determina qué pasó: análisis de la brecha

Antes de poder recuperarte, necesitas saber qué fue atacado y cómo. La respuesta cambia por completo tu próximo paso.

Revisa tu historial de transacciones

Usa un explorador de bloques para revisar las transacciones recientes de tu dirección. Busca transferencias salientes no autorizadas y aprobaciones de tokens que no reconozcas.

Identifica el vector de ataque

Lo que ves en el historial de transacciones indica cómo fuiste atacado:

• Tokens drained via an approve() call you didn't make. Esto es un ataque de phishing o wallet drainer. El atacante logró que firmaras una aprobación que otorga acceso ilimitado a un contrato malicioso. Es posible que tu frase semilla siga intacta. Revisa y revoca esas aprobaciones donde aún sea posible.
• All funds sent to an unknown address in one transaction. Es probable que tu frase semilla o clave privada estén comprometidas. Considera esa billetera como quemada. Crea una nueva billetera con una frase semilla nueva en un dispositivo limpio y nunca vuelvas a usar la dirección anterior.
• Exchange account emptied, no on-chain wallet movement. Esto es un ataque de phishing, SIM swap o robo de credenciales en la cuenta del exchange, no en tu billetera de autocustodia. Contacta al exchange de inmediato para congelar la cuenta y cambia tu contraseña y 2FA.
• Small withdrawals over time. Este patrón sugiere un keylogger o malware de acceso remoto en tu dispositivo. Borra por completo el dispositivo antes de hacer cualquier otra cosa.

Here's the honest issue: la seguridad de una billetera caliente depende totalmente del dispositivo donde se ejecuta. MetaMask, por ejemplo, almacena frases semilla y claves privadas localmente en el navegador o el almacenamiento del dispositivo, y su extensión de navegador aumenta la exposición a ataques de phishing y extensiones maliciosas. Trust Wallet es no custodial y genera las claves localmente, pero sigue siendo una billetera caliente sin un módulo de seguridad de hardware dedicado. Si hay malware en tu dispositivo, tanto tu equipo como tus datos están en riesgo.

Identificar tu vector de ataque determina si debes lidiar con una aprobación revocable o una frase semilla quemada. Cada caso requiere respuestas totalmente diferentes.

Ruta completa de recuperación

Sigue estos pasos en orden. No te saltes ninguno.

Paso 1: crea tu nueva billetera en un dispositivo limpio

Utiliza un dispositivo que no haya sido usado antes para acceder a cripto. Si sospechas de malware, no uses el dispositivo comprometido para nada relacionado con cripto hasta que haya sido borrado.

Tus opciones:

• Best option: compra una billetera de hardware y configúrala cuando la recibas. Así tendrás un inicio limpio y seguro desde el primer día.
• If you need access immediately, crea una nueva billetera MetaMask en un dispositivo limpio. Genera una frase semilla completamente nueva. Escríbela en papel de inmediato. Guárdala separada del dispositivo, no en ninguna app, nube ni foto.

The key point: una frase semilla es una secuencia de 12 o 24 palabras que funciona como la llave maestra de la billetera. Quien la tenga, controla los fondos. Escríbela en papel, guárdala en un lugar físico seguro y nunca la fotografíes ni la escribas en ningún sitio web.

Paso 2: mueve los fondos restantes a la nueva billetera

Si quedan activos en la billetera comprometida, transfiérelos a tu nueva dirección de inmediato. Haz esto antes de revocar aprobaciones, antes de cambiar contraseñas, antes de cualquier otra cosa. Cada segundo cuenta.

En la mayoría de los casos, una transacción cripto enviada a una dirección válida es irreversible. Si los fondos salen de la billetera comprometida hacia un atacante, se pierden. Así que sácalos primero de la dirección comprometida.

Paso 3: revoca todas las aprobaciones en la billetera antigua

Aunque ya hayas movido los fondos, revisa y revoca las aprobaciones pendientes cuando aún sea posible. Los ataques de phishing vía WalletConnect pueden lograr que dApps maliciosas soliciten aprobaciones que otorgan acceso ilimitado a los tokens, y revocar cierra esa puerta. Una aprobación no revocada es una puerta abierta a los tokens que recibas en esa dirección.

Paso 4: asegura tu entorno digital

Si sospechas de un keylogger o malware de acceso remoto:

• Cambia las contraseñas de tu correo, cuentas de exchange y cualquier cuenta vinculada a cripto desde un dispositivo diferente y no comprometido.
• Ejecuta un escaneo de malware en el dispositivo comprometido. Para infecciones graves, la única solución confiable es borrar todo y restablecerlo de fábrica. Un escaneo parcial puede no detectar malware sofisticado dirigido a cripto.
• Activa la autenticación en dos pasos donde sea posible.
• Las buenas prácticas para billeteras calientes incluyen contraseñas seguras y únicas, autenticación en dos pasos cuando esté disponible, apps y sistemas operativos actualizados y verificar las URLs antes de conectar a cualquier sitio.

Paso 5: reporta donde corresponde

Reportar rara vez permite recuperar fondos directamente. Pero es importante.

• Exchange funds taken: contacta al exchange de inmediato. Pueden marcar la cuenta del atacante y, si los fondos siguen en la plataforma, congelarlos.
• Phishing site: repórtalo a Google Safe Browsing y PhishTank.
• Cybercrime authority: presenta una denuncia ante IC3 en EE. UU. o Action Fraud en el Reino Unido. La recuperación es rara, pero los reportes ayudan a analizar patrones y proteger a otros.

One firm warning: no pagues a "servicios de recuperación" que te contacten después de un hackeo. Casi siempre son estafas que buscan aprovecharse de víctimas en crisis. Empresas legítimas nunca solicitan frases semilla, códigos de acceso ni verificación de billetera por mensajes no solicitados.

Reconstruir: comienza de nuevo con seguridad en hardware

Ya contuviste el daño. Ahora la pregunta es: ¿cómo evitar que vuelva a suceder?

El ataque que comprometió tu billetera casi siempre explotó una de tres cosas: exposición de la frase semilla (phishing, capturas de pantalla, respaldos en la nube), malware (keyloggers, capturas de pantalla, robo del portapapeles) o una aprobación maliciosa desde un sitio de phishing drainer.

Por esto, cada uno de esos es un problema estructural de las billeteras calientes.

Una billetera caliente está conectada a internet y almacena las claves privadas necesarias para autorizar transacciones. En este esquema, la seguridad depende totalmente del dispositivo. Todas las billeteras de software comparten la misma vulnerabilidad: la clave privada vive en un dispositivo conectado a internet. Eso significa que siempre está a un clic de phishing, una filtración de datos o un teléfono comprometido de ser robada.

Cold storage mantiene las claves privadas completamente fuera de línea, lejos de dispositivos conectados a internet, reduciendo el riesgo de robo por ataques en línea. El principio clave: las claves privadas nunca tocan internet.

Las billeteras de hardware son dispositivos físicos diseñados para generar y almacenar claves privadas fuera de línea. Firman transacciones internamente y transmiten solo la transacción firmada, sin exponer la clave privada a entornos conectados. Estos dispositivos resuelven el riesgo de las billeteras en línea al mantener las claves en un entorno aislado, lejos de hackeos, phishing, malware y fallos de plataforma. Para la mayoría, esta es la opción práctica de almacenamiento en frío porque equilibra seguridad y facilidad de uso.

Por qué Tangem es ideal en este momento

Al reconstruir tras un compromiso, lo último que quieres es manejar otra frase semilla. Ahí es donde el diseño de Tangem cobra sentido. Tangem genera la clave privada dentro del chip durante la activación. La clave nunca existe como texto en ningún lado. El sistema sin frase semilla de Tangem elimina ese vector de ataque.

Cada transacción requiere un toque físico de la tarjeta NFC a una distancia de 0 a 5 cm. En las billeteras de hardware Tangem, siempre se necesita un toque físico de la tarjeta para firmar, sin importar la configuración biométrica. La integración con WalletConnect incluye simulación de transacciones con Blockaid, que alerta sobre dApps sospechosas antes de firmar.

El elemento seguro tiene certificación Common Criteria EAL6+. Auditorías independientes de Kudelski Security en 2018 y Riscure en 2023 confirmaron que no se hallaron vulnerabilidades. El firmware viene instalado de fábrica y no se puede actualizar, lo que elimina riesgos de explotación remota por actualizaciones maliciosas. Un set de 2 tarjetas cuesta US$ 54.90. La configuración toma de 1 a 3 minutos.

One honest caveat: si se pierden o destruyen todas las tarjetas de respaldo, la recuperación de fondos es imposible. Ninguna entidad, incluyendo Tangem, puede recuperar los fondos. Este es el precio de la seguridad sin frase semilla. Guarda tu tarjeta de respaldo en un lugar físico distinto a la principal: una caja de seguridad, una persona de confianza, un sitio a prueba de fuego.

Fresh start: cuando Tangem genera una nueva billetera, no hay frase semilla antigua de la que preocuparse. El ataque queda contenido en tu dirección anterior. Tu nueva dirección empieza limpia.