Los sitios de phishing son la técnica de ataque que más pérdidas causa a los usuarios del sector cripto. Este artículo repasa 4 tipos típicos de sitios de phishing. La conclusión primero: dominio falsificado + interfaz falsificada es la forma de phishing más común, anuncios en buscadores + campañas en redes sociales son los principales canales de distribución de los sitios de phishing, y guardar el dominio oficial en favoritos y no hacer clic en resultados de búsqueda es la protección más eficaz. Para la cuenta diaria puede registrar su cuenta principal desde el Sitio Oficial de Binance, instalar en Android la App Oficial de Binance, y los usuarios de iPhone que necesiten cambiar a un Apple ID internacional pueden consultar el tutorial de instalación en iOS.

Uno: 4 tipos típicos de sitios de phishing

Dos: Tipo 1: login de exchange falsificado

Dominios de falsificación típicos:

Los sitios de phishing imitan la interfaz con altísima fidelidad: normalmente copian todo el código del frontend del sitio oficial y solo modifican a qué servidor malicioso apunta el backend. Visualmente son casi 99% idénticos, por lo que es difícil distinguirlos.

Flujo del ataque de phishing:

1. El usuario busca "sitio oficial de Binance" en Google o Baidu
2. Hace clic en el anuncio patrocinado del resultado de búsqueda (en realidad el sitio de phishing)
3. Introduce su usuario y contraseña (quedan registrados por el sitio de phishing)
4. Introduce el código 2FA (queda registrado en tiempo real por el sitio de phishing)
5. El sitio de phishing usa de inmediato el usuario y contraseña para entrar en la cuenta real de Binance e introduce el 2FA capturado → retira los fondos

Puntos clave de protección:

• No buscar el sitio oficial en un buscador (más del 50% de los primeros 3 anuncios son de phishing)
• Guardar directamente el dominio oficial en los favoritos del navegador
• Comprobar que la URL de la barra de direcciones coincide exactamente
• Comprobar la organización emisora del certificado SSL

P: ¿Cómo verificar el dominio oficial real de Binance/OKX?

Método de verificación del dominio oficial:

1. Dominio oficial de Binance: binance.com (global)
2. Dominio oficial de OKX: okx.com (el antiguo okex.com ya está desactivado)
3. Cuentas oficiales de Twitter: @binance / @okx (con verificación azul)
4. Comprobar el certificado SSL: clic en el icono de candado de la barra de direcciones → certificado emitido a Binance Holdings Limited o Aux Cayes FinTech Co. Ltd. (OKX)

Después de guardar el dominio oficial en los favoritos del navegador, acceda siempre haciendo clic directo en el favorito, sin depender más de las búsquedas.

Tres: Tipo 2: extensiones de wallet falsificadas

El phishing contra extensiones de wallet (MetaMask, Phantom) incluye:

1. Extensiones falsas publicadas en la tienda de Chrome

Los estafadores suben extensiones con nombres parecidos (por ejemplo, "MetaMask Wallet" frente a la oficial "MetaMask"), con una interfaz casi idéntica. Cuando el usuario la instala e introduce su frase semilla, el estafador la obtiene al instante.

Caso real: en el tercer trimestre de 2024, se publicó en la Chrome Web Store una extensión llamada "MetaMask Premium" que superó las 5,000 instalaciones y provocó el robo de unos 2 millones de dólares en activos. Chrome tardó 14 días en retirarla.

Protección:

• Acceder a la tienda de aplicaciones desde el enlace de descarga del sitio web oficial (metamask.io/download)
• Comprobar el desarrollador de la extensión (debe ser "MetaMask" o "ConsenSys Software Inc.")
• Revisar el número de descargas (la MetaMask real tiene más de 10 millones, las versiones de phishing suelen tener solo unos miles)
• Revisar las reseñas (las versiones de phishing tienen pocas reseñas y son recientes)

2. Sitios de phishing que piden "volver a introducir la frase semilla"

Un sitio malicioso muestra una ventana emergente diciendo "su wallet necesita reactivarse, introduzca su frase semilla". Las wallets reales como MetaMask nunca muestran una ventana emergente que pida introducir la frase semilla por iniciativa propia.

Protección:

• Cualquier ventana emergente que pida introducir la frase semilla es phishing
• MetaMask solo pide la frase semilla en el flujo de "importar wallet" (iniciado por el propio usuario)

3. Apps móviles de MetaMask falsificadas

En la App Store / Google Play se publican apps con nombres parecidos (como "MetaMask Mobile", pero cuyo desarrollador no es el equipo de MetaMask).

Protección:

• iOS: buscar "MetaMask"; el desarrollador debe ser "MetaMask" (distintivo azul de verificación)
• Android: el desarrollador debe ser "MetaMask" (verificado por Google Play)
• Descargar desde el enlace directo de metamask.io (evitando la búsqueda en la tienda de apps)

P: ¿La pantalla oficial para introducir la frase semilla de MetaMask es realmente segura?

La pantalla oficial de MetaMask para introducir la frase semilla es segura (los datos se cifran localmente). Pero es necesario:

• Confirmar que se abre desde la extensión oficial (la barra de direcciones muestra chrome-extension://nkbihfbeogaeaoehlefnkodbefgpgknn/...)
• No introducirla nunca en una ventana emergente de una página web
• No introducirla a través de ningún "enlace de recuperación" (la marca oficial nunca la pide mediante un enlace)

Cuatro: Tipo 3: páginas falsas de airdrop

El phishing de airdrop aprovecha el deseo del usuario de "recibir monedas gratis".

Escenarios típicos:

1. Tuit en Twitter: "¡Se abrió el airdrop del proyecto $XXX, conecta tu wallet para reclamarlo!"
2. Grupo de Telegram: "Actividad oficial de airdrop, 24 horas de tiempo limitado"
3. Correo electrónico: "Tiene un airdrop de $XXX pendiente de reclamar, valorado en 5,000 dólares"

Interfaz de los sitios de phishing:

• Imitan páginas reales de airdrop (airdrops históricos de Optimism, Arbitrum, Wormhole)
• El botón "Connect Wallet" induce a conectar MetaMask
• El botón "Claim" activa una firma de Approve maliciosa

Después de firmar, el usuario:

• En apariencia: parece estar "reclamando un airdrop"
• En realidad: autoriza a un contrato malicioso a retirar sin límite USDC / USDT / WETH de su wallet

Caso real:

En mayo de 2025, un usuario vio en Twitter un enlace de "se abrió el airdrop de WLFI" (World Liberty Financial, un proyecto real). Al hacer clic firmó una transacción de Approve que autorizó a un contrato malicioso a retirar 8,500 USDC de su wallet.

Puntos de identificación:

• Un airdrop oficial no exige "pagar gas primero" ni "hacer Approve primero"
• Los airdrops reales suelen enviarse directamente a la wallet mediante un Merkle Tree on-chain
• La información oficial de un airdrop se publica en el Twitter, Discord o Mirror oficiales
• Cualquier cosa que exija un Approve para reclamar un airdrop es phishing

Puntos clave de protección:

• Confiar únicamente en el dominio oficial para las páginas de airdrop (introducir directamente el enlace de reclamo de la documentación oficial)
• Leer con atención antes de firmar: la dirección del contrato, la cantidad autorizada, el token autorizado
• Usar una "wallet dedicada a airdrops" (que contenga solo una pequeña cantidad de activos)

P: ¿Cómo encontrar la página real de reclamo de un airdrop oficial?

Verificación de un airdrop oficial:

1. Cuenta oficial de Twitter (con distintivo azul y cuenta conocida)
2. Canal de anuncios del Discord oficial
3. DefiLlama Airdrops (agregador de información de airdrops)
4. Enlaces oficiales en la página del proyecto en CoinGecko / CoinMarketCap

No confíe en:

• Respuestas en tuits del tipo "yo también lo recibí, mi dirección es xxx" (bots)
• Enlaces de reclamo enviados por DM en Discord
• Enlaces de "reclama ya" en grupos de Telegram

Cinco: Tipo 4: sitios de DApp falsos

Imitan sitios de DApps populares (Uniswap, OpenSea, Aave).

Dominios típicos de DApps falsificadas:

Peligros de las DApp de phishing:

1. Trampa de firma: en apariencia es "aprobar un intercambio de tokens", en realidad es "retirar tokens sin límite"
2. Phishing de NFT: en apariencia es "acuñar un NFT", en realidad es "transferir la propiedad del NFT"
3. Manipulación de precios: intercambio a un tipo de cambio muy desfavorable (el usuario cambia 1 ETH por 100 USDC, cuando lo normal serían 3,000 USDC)

Caso real:

En diciembre de 2024, un usuario buscó "OpenSea" en un buscador e hizo clic en el sitio de phishing que aparecía como anuncio. Al preparar la compra de un NFT firmó una transacción que en apariencia era "comprar un NFT", pero en realidad "transfería el NFT a la dirección del atacante", perdiendo un NFT de BAYC (unos 120,000 dólares).

Puntos clave de protección:

• Guardar también en favoritos el dominio oficial de los sitios de DApp
• Revisar los detalles de la transacción antes de firmar (MetaMask muestra la dirección del contrato con el que se interactúa)
• Usar Rabby Wallet (interpreta la firma con más detalle que MetaMask)
• Probar primero con montos pequeños antes de operaciones grandes

P: ¿Es Rabby Wallet más segura que MetaMask?

Rabby Wallet (del equipo de DeBank) interpreta las firmas con más detalle:

• MetaMask: solo muestra la dirección del contrato y los datos
• Rabby: interpreta la intención de la transacción ("esta transacción transferirá 1.5 ETH a la dirección 0xabc...")
• Rabby: muestra una vista previa del cambio de saldo de la transacción

Rabby es más adecuada para usuarios de DeFi de alta frecuencia, aunque tiene menos usuarios que MetaMask. Es habitual combinar MetaMask para el uso diario con Rabby para DeFi.

Seis: canales de propagación de los sitios de phishing

Los principales canales de distribución de los sitios de phishing:

1. Anuncios pagados en buscadores

Los primeros 3 resultados de búsqueda en Baidu y Google suelen ser anuncios pagados. Los estafadores usan Google Ads para promocionar sitios falsificados, con palabras clave como "sitio oficial de Binance" o "comprar USDT".

Política de Google sobre anuncios de criptomonedas:

• Desde 2024 exige que los anunciantes presenten KYC y licencia para operar con criptomonedas
• Aun así, algunos sitios de phishing superan la revisión declarándose como "negocios cripto en zona gris"
• Los sitios de phishing sobreviven en promedio entre 3 y 7 días antes de ser denunciados y retirados

2. Campañas en redes sociales

• Twitter: promoción pagada + respuestas de cuentas falsas en masa
• Telegram: en grupos cripto y por DM
• Discord: DMs de "administradores falsos" en las comunidades de proyectos

3. Optimización SEO

Los estafadores crean sitios falsificados en masa y, mediante optimización SEO, entran en la segunda o tercera página de resultados de búsqueda. En palabras clave en chino como "descarga del sitio oficial de Binance" o "registro en OKX", parte de los sitios entre los 5 primeros resultados son sitios falsificados.

4. Phishing por correo electrónico

• "Su cuenta de Binance presenta actividad inusual, inicie sesión de inmediato para verificar"
• "Su retiro necesita verificación adicional, haga clic en el enlace para confirmar"
• Dominios de correo parecidos (como noreply@binance-mail.com en lugar de noreply@binance.com)

P: ¿Cómo identificar un correo de phishing?

Identificación en 5 pasos:

1. Revisar la dirección de correo completa del remitente (no solo el nombre mostrado)
2. Revisar el dominio del correo: si es el dominio oficial (@binance.com y no @bnannce.com)
3. No hacer clic en los enlaces del correo: iniciar sesión directamente en el sitio web oficial
4. Comprobar el código antiphishing dentro del correo: Binance/OKX permiten configurar un código antiphishing, que sí aparece en los correos reales
5. Eliminar directamente los correos sospechosos

Siete: configurar el código antiphishing

Los principales exchanges permiten configurar un código antiphishing (Anti-Phishing Code).

Configuración del código antiphishing en Binance:

1. Iniciar sesión en la cuenta de Binance
2. Configuración de seguridad → Código antiphishing
3. Establecer una cadena de 4 a 20 caracteres (por ejemplo, "MyB1nance2026")
4. Guardar

Una vez activo:

• Todos los correos oficiales que envíe Binance mostrarán ese código antiphishing en la parte superior
• Un correo sin código antiphishing o con el código incorrecto → phishing

Código antiphishing de OKX: proceso similar, "Centro de Seguridad → Código Antiphishing"

Código antiphishing de Bybit: "Centro de Seguridad → Código Antiphishing"

Principios para configurar el código antiphishing:

• No incluir información personal (nombre, fecha de nacimiento)
• Combinar mayúsculas, minúsculas y números
• Cambiarlo cada 6 meses
• No compartirlo con nadie

P: ¿Puede un sitio de phishing robar el código antiphishing?

El código antiphishing no está guardado en su contraseña ni en su correo, por lo que es difícil que un sitio de phishing lo obtenga. Aunque su cuenta y contraseña sean robadas por phishing, el código antiphishing no se filtra automáticamente (salvo que usted mismo se lo diga al estafador).

Este es el mecanismo de protección central del código antiphishing: los estafadores no pueden falsificar su código antiphishing, así que cualquier "correo de Binance" sin ese código es, necesariamente, phishing.

Ocho: lista de herramientas de seguridad

Herramientas recomendadas contra el phishing:

1. Extensiones de navegador:

• PhishFort: base de datos on-chain de direcciones de phishing (gratis)
• Pocket Universe: interpretación de firmas de MetaMask (suscripción)
• Wallet Guard: alertas de sitios de phishing + interpretación de firmas
• Scam Sniffer: monitoreo on-chain de sitios de phishing

2. Herramientas on-chain:

• Revoke.cash: revocar autorizaciones de tokens
• Etherscan Token Approval: comprobar la lista de autorizaciones
• DeBank: activos de la wallet e historial de interacciones

3. Configuración del navegador:

• HTTPS Everywhere: forzar HTTPS (integrado en algunos navegadores)
• uBlock Origin: bloqueo de anuncios y sitios de phishing
• NoScript: bloquea JavaScript malicioso (usuarios avanzados)

P: ¿Vale la pena usar un servicio de pago antiphishing (como Pocket Universe)?

Los servicios de pago antiphishing son útiles para usuarios frecuentes de DeFi:

• Interpretación de firmas: traduce en tiempo real llamadas a contratos complejas
• Base de datos de phishing: cubre más de 500,000 direcciones de phishing conocidas
• Precio: 5-10 dólares al mes

Pero son poco útiles para usuarios que solo operan a diario en un CEX (las operaciones internas de un CEX no tienen riesgo de Approve).

Nueve: respuesta de emergencia tras sufrir phishing

1. Wallet comprometida por firmar un Approve de phishing

• Transferir de inmediato los activos: mover a una wallet nueva los tokens como USDC / USDT / WETH que puedan estar autorizados
• Revocar todas las autorizaciones: usar Revoke.cash para revocar todos los Approve (se recomienda revocar incluso los que no son de phishing)
• No volver a usar la wallet comprometida: crear una wallet nueva con una frase semilla nueva
• Denunciar a la policía y buscar ayuda de empresas de análisis on-chain (para activos > 50,000 dólares vale la pena el rastreo)

2. Cuenta de exchange accedida por phishing

• Cambiar de inmediato la contraseña + desactivar la API + desactivar el OAuth
• Contactar al soporte para congelar la cuenta
• Revisar el historial de retiros: comprobar si hay retiros no autorizados → apelar de inmediato
• Transferir el saldo de la cuenta: mover los activos restantes a una nueva cuenta registrada con un correo nuevo

P: ¿Se puede recuperar el dinero después de sufrir phishing?

Tasa de recuperación de activos:

• Cuenta de CEX comprometida: 50-80% (el control de riesgos del CEX puede bloquear la operación + parte se compensa)
• Wallet de DeFi comprometida: < 10% (las transacciones on-chain son irreversibles)
• Robo entre plataformas: < 30% (depende del bloqueo por control de riesgos del CEX)

Prevenir es 100 veces más importante que recuperar.

Diez: preguntas frecuentes

P: ¿El candado de HTTPS significa que un sitio es seguro?

No. HTTPS solo demuestra que "la comunicación está cifrada", no que "el sitio sea legítimo". Los sitios de phishing también pueden comprar un certificado SSL.

Se necesita comprobar además:

• La organización emisora del certificado (haciendo clic en el icono del candado)
• La ortografía del dominio
• La fecha de registro en el WHOIS

P: ¿Es más seguro navegar en modo incógnito?

El modo incógnito solo evita que se guarden cookies locales, no protege contra el phishing. Visitar un sitio de phishing en modo incógnito igualmente puede resultar en el robo de activos.

P: ¿Móvil u ordenador, cuál es más vulnerable al phishing?

El móvil es algo más seguro:

• El navegador del móvil no tiene extensiones que interfieran
• La revisión de la App Store de iOS es estricta
• Hay menos ataques de copiar y pegar

El ordenador es más peligroso:

• Las extensiones del navegador pueden ser secuestradas
• Hay más propagación de troyanos
• Trabajar con varias ventanas facilita la confusión

Pero la protección central de "no hacer clic en resultados de búsqueda + guardar el dominio oficial en favoritos" funciona en ambos casos.

P: ¿Los sitios de phishing desaparecen por sí solos?

Los sitios de phishing sobreviven en promedio de 3 a 14 días antes de ser dados de baja por:

• Denuncias de usuarios a Cloudflare / al registrador del dominio
• Bloqueo por parte del navegador (Chrome / Firefox)
• Prohibición de Google Ads / de Twitter
• Baja voluntaria del proveedor de dominio

Pero cada día aparecen entre 50 y 200 sitios de phishing nuevos, así que es un juego del gato y el ratón.

P: ¿Vincular la cuenta al login de Google/Apple la hace más segura?

En algunos escenarios sí es más segura:

• Google/Apple ya incluyen 2FA propio
• Reduce la carga de gestionar contraseñas

Pero implica nuevos riesgos:

• Si la cuenta de Google/Apple es robada, la cuenta del exchange también queda comprometida
• El "proceso de recuperación" del login de terceros puede ser eludido

La estrategia más sólida: usar un correo independiente + una contraseña independiente + 2FA con Google Authenticator + código antiphishing.

P: ¿Qué hacer si un sitio de phishing pide "introducir la clave privada"?

Cualquier sitio que pida introducir la clave privada o la frase semilla es phishing al 100%:

• MetaMask no necesita que vuelva a introducir la frase semilla para "activarse"
• Los exchanges no necesitan su clave privada
• Cualquier recuperación de wallet solo ocurre cuando el usuario inicia por sí mismo el flujo de "importar wallet"

Cierre la página de inmediato y compruebe si su ordenador tiene un troyano instalado.

P: ¿Se puede verificar el certificado SSL de un sitio de phishing?

Se puede, pero no es totalmente confiable. Tipos de certificado:

1. Certificado EV (candado verde, la barra de direcciones muestra el nombre de la organización): difícil de obtener para un sitio de phishing
2. Certificado DV (certificado común): fácil de obtener para un sitio de phishing (Let's Encrypt es gratuito)

Binance, OKX y otras plataformas grandes usan certificados EV, emitidos a organizaciones claramente identificadas como "Binance Holdings Limited". Si el certificado muestra un nombre personal o una organización sin sentido, es phishing.

P: ¿El autocompletado de contraseñas de un gestor de contraseñas protege contra el phishing?

Sí. Los gestores de contraseñas (1Password / Bitwarden) solo autocompletan en dominios que coinciden exactamente:

• binance.com real → se autocompleta
• binnance.com de phishing → no se autocompleta (el gestor de contraseñas alerta)

Que el autocompletado del gestor de contraseñas falle es en sí mismo una señal de phishing.

Fuentes de datos

• Informe anual de delitos cripto 2025 de Chainalysis
• Base de datos de sitios de phishing de SlowMist
• Lista de direcciones de phishing on-chain de PhishFort
• Anuncios oficiales de seguridad de distintos exchanges

Aviso de riesgo: este artículo es un recopilatorio independiente de terceros y no constituye asesoramiento de inversión ni legal. Las amenazas de phishing evolucionan constantemente; todos los datos corresponden a abril de 2026.