Qué es la frase seed y por qué importa más que una contraseña
La frase seed (frase mnemónica) es un conjunto de 12 o 24 palabras a partir del cual el monedero restablece matemáticamente todas sus claves privadas y direcciones. Quien conozca la frase obtiene el control total de los fondos: no necesita ni su teléfono, ni la contraseña de la aplicación, ni acceso al correo.
Por eso la frase seed funciona de otro modo que la contraseña de un sitio web. Una contraseña se puede restablecer mediante soporte. La blockchain no tiene soporte: una transacción firmada con su clave se considera voluntad del propietario y no se puede cancelar. Esta característica es lo que convierte a la frase seed en el principal objetivo de los estafadores.
Cómo guardar la frase seed
Principio básico: la frase vive sin conexión y en varias copias, pero no en lugares con acceso remoto.
- Anote las palabras a mano en papel o grábelas en una placa de metal, respetando el orden y la numeración.
- Guarde copias en distintos lugares físicos, por ejemplo en casa y en una caja de seguridad bancaria o con una persona de confianza, para que un incendio o una pérdida no destruyan el único ejemplar.
- Verifique la anotación: restablezca el monedero en un dispositivo limpio con una cantidad pequeña antes de confiarle fondos importantes.
- No cuente a extraños dónde y cómo guarda la frase.
Si utiliza una frase de contraseña adicional (passphrase), guárdela por separado de las palabras: perder cualquiera de los dos elementos significa perder el acceso.
Qué no hacer nunca con la frase seed y las claves privadas
A continuación se enumeran las acciones que con más frecuencia terminan en pérdida de fondos.
- No fotografíe la frase ni haga una captura de pantalla: las imágenes se sincronizan con la nube y acaban en manos ajenas si se vulnera la cuenta.
- No guarde la frase en notas, mensajería, correo, documentos en la nube ni en un gestor de contraseñas sin protección adicional.
- No introduzca la frase en sitios web, ni en formularios de «verificación del monedero», «sincronización» o «confirmación de titularidad».
- No envíe la frase ni la clave privada al chat de soporte, aunque el interlocutor se presente como empleado del servicio o desarrollador del monedero.
- No dicte las palabras por teléfono ni las muestre por videollamada.
Recuerde una regla sencilla: la frase seed solo hace falta en un caso, cuando usted mismo restablece su monedero en la aplicación o en un dispositivo de hardware.
Aparte, sobre las claves privadas: son los mismos datos de acceso, solo que en otra forma. Una cadena de «clave privada» o un archivo con la clave exigen el mismo trato que las palabras de la frase. Al importar una clave en un programa ajeno, en la práctica le está entregando el monedero.
Cómo son los sitios y mensajes de phishing
El phishing es un intento de hacer que usted entregue datos voluntariamente o firme una operación maliciosa. La copia de un sitio puede parecer casi idéntica al original, por eso hay que evaluar no el diseño, sino la dirección y el contexto.
- El dominio difiere en una o dos letras, contiene palabras adicionales, guiones o una zona inusual.
- El enlace llegó desde publicidad en el buscador, un mensaje personal, un comentario o un correo, y no desde un marcador guardado por usted.
- La página mete prisa: «su cuenta será bloqueada», «el sorteo termina en 10 minutos».
- El sitio pide introducir la frase seed o la clave privada «para recuperar el acceso».
- Le ofrecen un intercambio «a un tipo de cambio especial» en mensajes privados.
Sobre cómo reconocer servicios deshonestos hay más detalles en el material señales de un intercambiador falso.
Sustitución de direcciones y clipboard hijacking
El clipboard hijacking es un programa malicioso que vigila el portapapeles. Cuando usted copia la dirección de un monedero, la sustituye discretamente por la del atacante. Usted pega una dirección ajena sin notar la diferencia y envía los fondos al atacante.
La protección se basa en el hábito de comparar:
- Tras pegar, compare la dirección con el original por completo, no solo los primeros y los últimos caracteres: los estafadores suelen elegir direcciones con principio y final parecidos.
- Para cantidades grandes, envíe primero un pequeño pago de prueba y compruebe que ha llegado.
- Use la libreta de direcciones del monedero para destinatarios habituales y verifique la dirección guardada allí.
- Mantenga el sistema y el antivirus actualizados y no instale programas de fuentes dudosas.
El procedimiento de comprobación se describe en el artículo cómo comprobar la dirección del monedero.
Confirmaciones approve de tokens: en qué fijarse
En redes con contratos inteligentes (por ejemplo, Ethereum, BNB Chain) los tokens, como USDT, pueden enviarse de dos maneras: con una transferencia normal o mediante una autorización (approve). El approve otorga a un contrato el derecho a descontar sus tokens en un volumen determinado, a veces sin límite de importe ni de plazo. Si concedió una autorización así a un contrato malicioso, este puede llevarse los tokens más tarde, sin una nueva solicitud.
Antes de confirmar, compruebe:
- Qué contrato o sitio solicita el acceso y si fue usted quien inició esa acción.
- Qué token y qué importe autoriza. La fórmula «ilimitado» (unlimited) aumenta el riesgo.
- Para qué hace falta la autorización. Para una transferencia simple a la dirección de un intercambio no se requiere approve.
Revise periódicamente las autorizaciones concedidas en el explorador de bloques o en herramientas especializadas y revoque las innecesarias. La revocación también es una transacción y requiere una comisión de red.
Firma de mensajes y «sorteos gratuitos»
El monedero pide firmar no solo transacciones, sino también mensajes. La firma de un mensaje por sí sola no descuenta fondos, pero algunas firmas se usan como autorizaciones para operaciones futuras. Lea el texto de la solicitud: si no entiende qué está firmando, rechácela.
Una categoría aparte de engaño son los «sorteos gratuitos», las invitaciones a «recibir un bono» y los tokens que aparecen de repente en su dirección. Intentar vender ese token o «reclamar» la recompensa en un sitio ajeno suele terminar en un approve malicioso. Si un token desconocido aparece por sí solo, lo más seguro es no hacer nada con él.
Monedero frío y monedero caliente: cuál es la diferencia
El monedero caliente está conectado a internet de forma permanente: una aplicación móvil, una extensión del navegador, un monedero web. Es cómodo para operaciones frecuentes, pero vulnerable a programas maliciosos y al phishing. El monedero frío guarda las claves en un dispositivo no conectado a la red de forma permanente: un monedero de hardware o un almacenamiento sin conexión. La firma se realiza dentro del dispositivo y las claves no salen de él. En la pantalla del dispositivo ve la dirección y el importe de la operación, y eso es precisamente lo que hay que comprobar antes de pulsar el botón.
- El monedero caliente es adecuado para cantidades pequeñas y transferencias cotidianas.
- El monedero frío es adecuado para el almacenamiento a largo plazo de cantidades notables.
- Ninguno de los dos tipos protege del error del usuario: si confirma una operación maliciosa en un dispositivo de hardware, igualmente pierde los fondos.
Es práctica habitual separar funciones: un pequeño saldo para operaciones se mantiene en un monedero caliente y el resto se guarda aparte.
Cómo elegir monedero y dispositivo
No hay una respuesta universal, pero existen criterios que ayudan a comparar opciones.
- Quién guarda las claves. En un monedero no custodial las claves son suyas y la responsabilidad recae en usted; en uno custodial (por ejemplo, en un exchange) las claves las gestiona la empresa.
- Compatibilidad con las redes necesarias: compruebe que el monedero funciona con la moneda y la red que va a recibir.
- Origen de la aplicación. Descargue el monedero solo del sitio oficial del desarrollador o de la tienda oficial, comprobando el nombre y el desarrollador.
- Transparencia del proyecto: código abierto, actualizaciones regulares, historial claro.
En el dispositivo donde está instalado el monedero, mantenga una higiene básica: actualizaciones, bloqueo de pantalla, ausencia de extensiones dudosas. No use para cantidades grandes ordenadores de acceso público ni redes públicas no verificadas. Para los sitios de intercambio resulta útil crear un perfil de navegador aparte sin extensiones superfluas: una extensión maliciosa puede leer las páginas y cambiar las direcciones.
Cómo asegurarse de que está en el sitio auténtico del servicio
Comprobar un sitio lleva menos de un minuto y elimina la mayor parte del riesgo.
- Abra el servicio desde un marcador o escriba la dirección a mano, no entre por un enlace de un mensaje o de publicidad.
- Lea el dominio en la barra de direcciones carácter por carácter. BITWHITE tiene un único dominio oficial: bitwhite.net.
- Asegúrese de que la conexión es segura, pero recuerde: el icono del candado indica cifrado, no honestidad del sitio.
- Busque los contactos solo en la página oficial «Contactos» del propio servicio.
- Si el servicio pide la frase seed o la clave privada, cierre la página: ningún servicio auténtico actúa así.
Qué hacer si la frase seed pudo caer en manos de estafadores
Si introdujo la frase en un sitio sospechoso o se la envió a un extraño, considere el monedero comprometido. Hay que actuar rápido.
- Cree un monedero nuevo en un dispositivo limpio con una frase seed nueva.
- Transfiera lo antes posible los fondos restantes a la nueva dirección, teniendo en cuenta la comisión de red.
- Revoque las autorizaciones (approve) concedidas desde la dirección antigua, si aún queda algo en ella.
- Cambie las contraseñas de las cuentas vinculadas y compruebe que el dispositivo no tenga programas maliciosos.
No confíe en desconocidos que ofrezcan recuperar el dinero a cambio de un pago por adelantado: es la siguiente oleada de engaño. Recuperar fondos ya descontados normalmente es imposible, por lo que estos pasos buscan proteger lo que queda. Si la cantidad es considerable, conviene acudir a un abogado y a las fuerzas del orden.
Protección de las cuentas y dispositivos alrededor del monedero
Ni siquiera un almacenamiento perfecto de la frase seed servirá si un atacante accede al correo o al teléfono a los que están vinculados los servicios. Varios hábitos reducen el riesgo de forma notable.
- Use contraseñas largas y únicas para cada servicio y active la autenticación de dos factores mediante una aplicación autenticadora, no solo por SMS.
- No abra archivos adjuntos ni enlaces de correos que imiten notificaciones de un exchange, un monedero o un intercambiador.
- No instale programas de acceso remoto a petición de un «especialista de soporte»: a través de ellos pueden ver su pantalla y confirmar operaciones por usted.
- Guarde por separado las copias de seguridad y el dispositivo en el que está el monedero.
Si algo en la situación parece urgente y exige introducir datos o enviar fondos de inmediato, deténgase. La urgencia es la principal herramienta de la ingeniería social, y un servicio honesto no le quita el tiempo para comprobar.
Errores típicos
- Guardar la frase en una foto o en notas del teléfono «temporalmente».
- Comparar solo el principio y el final de la dirección.
- Confirmar un approve sin leer el importe ni la dirección del contrato.
- Entrar en un servicio por un enlace de publicidad o de un mensaje personal.
- Confiar en un interlocutor que «ayuda» con el monedero y pide datos para la recuperación.
- Guardar toda la cantidad en un monedero caliente en el mismo dispositivo donde se instalan programas al azar.
- Enviar un pago en la red equivocada: véase qué hacer si se envió a otra red o a una dirección incorrecta.
Lista de comprobación de seguridad antes de enviar fondos
- La frase seed está anotada en papel o metal, se guarda sin conexión y no se ha fotografiado.
- El sitio se abrió desde un marcador y el dominio se comprobó carácter por carácter.
- La dirección del destinatario se ha comparado completa tras pegarla.
- Se ha elegido la red correcta y, si es necesario, se ha indicado memo o destination tag (cómo funciona).
- Para una cantidad grande se ha hecho un pago de prueba.
- Todas las solicitudes de firma y approve se han leído antes de confirmar.
- El número de pedido y el enlace se han guardado; más tarde la transacción se puede encontrar por el txid (cómo usar el explorador).
El procedimiento general de un intercambio se explica en la guía paso a paso.
Cómo se relaciona esto con el intercambio en BITWHITE
Para intercambiar en BITWHITE no hacen falta ni la frase seed ni las claves privadas: el servicio nunca las pide ni propone intercambios por mensajes privados. El único dominio oficial es bitwhite.net, y los canales oficiales de soporte figuran en la página «Contactos». Para crear un pedido no se requiere registro.
La dirección de recepción la indica usted mismo, por eso compárela tras pegarla. La dirección de pago se entrega por separado para cada pedido y es válida hasta 2 horas; envíe el importe exacto y en la red elegida. Las transferencias a datos erróneos no son reembolsables, y en el modo automático la dirección de devolución también la indica usted, así que conviene comprobarla igualmente. Si necesita ayuda, contacte solo por los canales oficiales, indicando el número de pedido (BW-…), la moneda, el importe y el txid. Si está listo para crear un pedido, abra el formulario de intercambio en bitwhite.net desde un marcador.