Cómo proteger las transacciones criptográficas de phishing

El phishing es la principal causa de pérdidas en la cripta. Los ataques se volvieron más inteligentes: sitios falsos de billeteras, «dreners» en DApp, falsos airdrop's, suscripciones a deducibles interminables (approve/permit), códigos QR sustituidos y «address poisoning». La buena noticia: una simple disciplina operativa cierra casi por completo estos vectores. A continuación, un sistema práctico que protege las transacciones antes y después de hacer clic en "Nat/Sign'.

1) Tres ballenas de protección: dirección → red → firma

1. Dirección del destinatario: consulte al menos los primeros y últimos 4-6 caracteres, utilice sólo QR/datos de su cuenta personal, no de chats/búsquedas.

2. Red/activo: la red de token (ERC-20/TRC-20/BEP-20/Arbitrum/Optimism/Solana/TON, etc.) debe coincidir con el remitente y el destinatario. Para XRP/XLM/BNB/EOS, compruebe Memo/Tag.

3. Firma/transacción: lee exactamente lo que estás firmando: 'transfer', 'approve', 'permit', 'setApprovalForAll', 'swap', 'bridge', 'mint'. Si no lo entiendes, no lo firmes.

2) Vectores principales de phishing (y cómo cerrarlos)

Sitios falsos y dominios homógrafos. Trabaje sólo desde sus propios marcadores; no vaya a anuncios y «soporte» en mensajeros.

Clipboard stylers y reemplazo QR. Escanee el QR desde la página oficial, consulte los caracteres de la dirección. Cualquier inconsistencia es una cancelación.

Address poisoning. No copie direcciones del historial de entrada. Utilice la libreta de direcciones/weitlist.

Scripts drainer en DApp. Nunca importe seed en sitios. Antes de firmar, consulte qué derechos solicita DApp (límite, token, plazo).

Falsos airdrop/NFT. No interactúe con enlaces/NFT de «regalo». Cualquier botón «claim» fuera de las fuentes de confianza es una prohibición.

Socingeneria (correo, Telegram/Discord). «Sapport» nunca pide una clave seed/privada/exportar claves. Se debe incluir una frase antifishing en los intercambios.

Integraciones de WalletConnect. Consulte el nombre de DApp y el dominio en la solicitud de sesión. Si no coincide con un sitio abierto, rechace.

Puentes/puentes. Utilice sólo oficial; consulte la red de destino y el contrato de token.

Facturas Lightning/QR. La factura es desechable, vive minutos. Caducado - generar uno nuevo, no «refrescar» el viejo.

3) Billetera de hardware y «confirmación en pantalla»

La billetera de hardware reduce drásticamente el riesgo de phishing: muestra los datos reales de la firma en sus manos. Hábitos:

Confirme la dirección/cantidad/método en la pantalla del dispositivo.
Nunca introduzca la semilla en su PC/teléfono/sitio - sólo en el dispositivo en sí.
Para grandes sumas, la política de «cuatro ojos»: segunda persona/segunda clave en el multisig.

4) Firmas seguras en redes EVM (ETH, BSC, Polygon, etc.)

Approve/Permit:

Dé acceso sólo al token que desee, ponga un límite mínimo en lugar de un «∞».
Revisa periódicamente (revoke) los permisos antiguos a través de servicios confiables de revocación de billeteras/DApp.
Firmas sin gas (EIP-2612/Permit2/Off-chain pedidos): lee el texto. La «firma gratuita» puede dar acceso a largo plazo a los gastos.
Simulación de transacciones: utilice monederos/extensiones que muestren lo que cambiará después de la ejecución (de dónde/dónde saldrán los tokens).

5) Higiene del navegador y del dispositivo

Perfil de navegador separado para la cripta, mínimo de extensiones.

Actualizaciones automáticas del monedero: sólo de fuentes oficiales; compruebe la firma/hash de los builds de escritorio.

2FA TOTP/U2F en los intercambios; descargue los códigos de copia de seguridad y el segundo token clave.

No realice operaciones importantes en Wi-Fi público.

Mantenga el registro de transacciones: fecha, red, dirección, importe, TxID.

6) Checklist antes del envío/firma (1 minuto)

La dirección se toma del marcador/aplicación oficial, coinciden los primeros/últimos 4-6 caracteres.
Se ha verificado la red/activo y (si es necesario) Memo/Tag.
Entiendo el tipo de operación: 'transfer '/' approve '/' permit '/' swap '/' bridge'.
El límite de resolución está limitado al importe de la transacción, no «∞».
Para la cantidad> $200 - transacción de prueba y pendiente de acreditación.
Billetera de hardware: dirección/importe/contrato confirmado en la pantalla del dispositivo.

7) Protocolo en caso de sospecha de phishing (acción por minuto)

0-5 minutos:

Apague la extensión de Internet de inmediato, detenga otras firmas.
En los intercambios - congelar las conclusiones, cambiar las contraseñas, apagar las sesiones activas.

5-30 minutos:

Compruebe el último approve/permit y retire los sospechosos.
Transfiera activos de una cartera vulnerable a una cartera limpia (sweep), comience con los tokens/monedas más líquidos.
Guarde el TxID, los screens, los registros.

A continuación:

Vuelva a instalar la cartera en el dispositivo limpio, con las nuevas llaves.
Informe a los servicios donde podrían encontrarse los activos del atacante (intercambios/puentes).
Realice un análisis: de dónde vino el enlace, quién solicitó la firma, qué extensiones están instaladas.

8) Frecuentes «banderas rojas»

Urgencia y déficit: «hazlo ahora, de lo contrario congelaremos el bono/cuenta».

Por favor introduzca la seed/clave privada «para verificar/activar/airdrop».

No hay coincidencia entre el dominio en WalletConnect y el sitio abierto.

Solicitar «approve para todos los tokens» o «sin límite para siempre».

Botones falsos «speed up/claim/verify» en sitios clon.

9) Mini preguntas frecuentes

¿La conciliación de los últimos 4 caracteres de dirección es suficiente? Mejor es el primero y el último 4-6: algunos ataques recogen la misma «cola».

¿Es necesario siempre limitar el approve? Sí. El permiso de «∞» es conveniente para el atacante y los drenadores.

¿Cuántas veces hace celos de los derechos? Después de cada sesión con el nuevo DApp y regularmente en el horario (por ejemplo, una vez al mes).

¿La billetera de hardware lo resuelve todo? Reduce mucho el riesgo, pero no te protegerá de tu firma en una operación dañina - lee lo que firmas.

¿Se puede «cancelar» la transferencia? No. Lo máximo es tener tiempo para no firmar una operación perjudicial o retirar los derechos antes de la cancelación.

La protección contra el phishing no es un software anti-todo, sino un procedimiento: sus marcadores, la conciliación de la dirección/red, la lectura de la firma, el approve/permit limitado, la cartera de hardware, los rugidos de derechos superfluos y las traducciones de prueba. Haga una rutina de esto - y la posibilidad de perder fondos debido al phishing será estadísticamente nula, incluso si está utilizando DApp activamente, puentes y intercambios.