Antes de preocuparte por qué exchange usar o qué wallet te conviene, hay una capa previa que se salta con demasiada frecuencia: la seguridad básica de la cuenta. La mayoría de robos de cuentas individuales no ocurren por un fallo sofisticado del sistema, sino por contraseñas débiles, reutilizadas o por caer en un mensaje que pide datos que nunca deberías dar.
Qué es la autenticación en dos pasos y por qué el usuario y la contraseña ya no bastan
La autenticación en dos pasos (2FA) añade una segunda comprobación además de tu contraseña: algo que tienes (tu móvil, una llave física) o algo que eres (una huella). La idea es que, aunque alguien consiga tu contraseña — por una filtración de datos de otro servicio, por ejemplo—, no pueda entrar en tu cuenta sin ese segundo factor. En exchanges y wallets custodiadas, activar 2FA suele ser lo primero que se recomienda al crear la cuenta, y con razón: es la medida individual que más reduce el riesgo de acceso no autorizado.
SMS, app autenticadora y llave física: no todos los "segundos factores" protegen igual
No todos los métodos de 2FA ofrecen el mismo nivel de protección:
- Código por SMS: es mejor que nada, pero es el método más débil. Existe una técnica llamada SIM swapping, en la que un atacante engaña o soborna a un operador móvil para transferir tu número de teléfono a una tarjeta SIM que controla él. Con eso recibe tus códigos por SMS sin tocar tu móvil.
- App autenticadora (TOTP): genera un código numérico que cambia cada 30 segundos, calculado localmente en tu móvil a partir de una clave secreta compartida solo entre la app y el servicio, sin pasar por la red telefónica. Al no depender de tu operador, es inmune al SIM swapping.
- Llave física de seguridad: un dispositivo USB o NFC que debes conectar o acercar físicamente para confirmar el acceso. Es la opción más resistente porque requiere posesión física del objeto, no solo un código que se pueda interceptar o copiar.
Gestores de contraseñas: dejar de repetir la misma clave en todas partes
Reutilizar la misma contraseña en varios servicios es uno de los errores más comunes y más caros. Si un servicio cualquiera sufre una filtración de datos —algo que pasa con más frecuencia de la que parece— y usabas esa misma contraseña en tu exchange, alguien puede probarla ahí directamente. Un gestor de contraseñas genera y recuerda una contraseña larga y distinta para cada servicio, de forma que una filtración en un sitio no compromete el resto de tus cuentas.
La seed phrase no se comparte nunca, ni con "soporte técnico"
Si usas una wallet de custodia propia, al crearla se te muestra una frase semilla (seed phrase): una secuencia de 12 o 24 palabras que funciona como copia de seguridad maestra de todas tus claves privadas. Cualquiera que la tenga puede recrear tu wallet completa y mover tus fondos, exactamente igual que tú.
Ningún exchange, wallet o servicio de soporte legítimo te pedirá jamás tu seed phrase ni tu clave privada, por teléfono, chat o email. Si alguien te la pide "para verificar tu cuenta" o "para solucionar un problema", es un intento de robo, sin excepción.
Por la misma razón, guardarla en una nota del móvil, en un email o en una foto en la galería es arriesgado: cualquier malware, cuenta comprometida o backup en la nube filtrado expone la frase entera de golpe. La forma más segura de guardarla sigue siendo en papel o en un soporte físico, fuera de cualquier dispositivo conectado a internet.
Un resumen práctico
- Activa 2FA con una app autenticadora o una llave física, evita depender solo del SMS si el servicio te da otra opción.
- Usa un gestor de contraseñas y no repitas claves entre servicios.
- Nunca escribas tu seed phrase ni tu clave privada en ningún sitio conectado a internet.
- Desconfía por sistema de cualquier mensaje que te pida esos datos, venga de donde venga.