Apropiación de cuentas cripto: cómo funciona y cómo evitarla

El fraude por apropiación de cuentas (account takeover) se produce cuando un delincuente obtiene el control de una cuenta existente de otra persona, como el acceso a un exchange de criptomonedas, un buzón de correo o una cuenta bancaria, y la utiliza para robar dinero o datos. En cripto causa un daño especial porque, una vez que las monedas se retiran a una dirección externa, normalmente no hay contracargo ni una forma sencilla de revertir la transferencia.

Esta guía explica cómo se producen las apropiaciones de cuentas, por qué las cuentas cripto son un objetivo favorito, qué pueden hacer los usuarios para blindar sus cuentas y cómo detectan y frenan los exchanges estos ataques. Está pensada para usuarios corrientes y para los equipos de fraude y cumplimiento que los protegen.

Qué es el fraude por apropiación de cuentas

El FBI describe el fraude por apropiación de cuentas (ATO) como el acceso no autorizado de delincuentes a la cuenta en línea de una víctima en una entidad financiera, un servicio de nóminas o una cuenta de ahorro sanitario, «con el objetivo de robar dinero o información en beneficio propio». En un aviso público del 25 de noviembre de 2025, indicó que el Internet Crime Complaint Center (IC3) había recibido más de 5.100 denuncias por ATO desde enero de 2025, con pérdidas superiores a 262 millones de dólares (FBI IC3, I-112525-PSA).

Dos detalles de ese aviso importan a los usuarios de cripto. En primer lugar, el FBI señaló que los fondos robados suelen transferirse a cuentas controladas por delincuentes, «muchas de las cuales están vinculadas a wallets de criptomonedas», por lo que se dispersan rápidamente y son difíciles de rastrear y recuperar. En segundo lugar, en casi todos los casos de ingeniería social los delincuentes cambiaron la contraseña de la cuenta y dejaron fuera al titular.

El ATO es distinto del fraude con cuentas nuevas. En el fraude de identidad sintética, los delincuentes abren cuentas nuevas con identidades falsas. En el ATO, secuestran una cuenta que ya pertenece a un cliente real y verificado, y eso es precisamente lo que la hace valiosa: la cuenta ha superado el KYC, tiene historial y a menudo contiene fondos.

Cómo se apoderan los atacantes de las cuentas

La mayoría de las apropiaciones usan un puñado de técnicas, a menudo combinadas:

• Credential stuffing. OWASP lo define como «la inyección automatizada de pares de usuario y contraseña robados» en formularios de inicio de sesión. Como muchas personas reutilizan contraseñas, las credenciales filtradas en una brecha abren cuentas en otros sitios. OWASP la considera una de las técnicas más comunes para apropiarse de cuentas (OWASP).
• Falso soporte y phishing. El FBI describe a delincuentes que se hacen pasar por empleados de banco, atención al cliente o soporte técnico para convencer a las personas de que entreguen sus credenciales y códigos de un solo uso, y después restablecen ellos mismos la contraseña. También advierte del «SEO poisoning»: anuncios de pago en buscadores que llevan a páginas de inicio de sesión falsas y convincentes.
• SIM swapping. Un delincuente convence a un operador móvil de que traspase el número de la víctima a una SIM que él controla y recibe así los códigos SMS y los mensajes de restablecimiento de contraseña. Nuestra guía sobre los ataques de SIM swapping lo explica en detalle.
• Secuestro de sesión. En lugar de la contraseña, el atacante roba una sesión ya iniciada, por ejemplo mediante malware en el ordenador de la víctima, y la usa para actuar como el usuario sin volver a pasar por el inicio de sesión.
• Datos de clientes filtrados usados en estafas dirigidas. Los datos robados a una empresa pueden hacer mucho más convincente una falsa llamada del soporte.

Esta última vía no es hipotética. En un documento del 15 de mayo de 2025, Coinbase reveló que un actor malicioso había pagado a contratistas o empleados con funciones de soporte fuera de EE. UU. para recopilar datos de clientes de sistemas internos y después exigió dinero a cambio de no publicarlos. Coinbase afirmó que no se vieron comprometidas contraseñas ni claves privadas, rechazó la exigencia de 20 millones de dólares y estimó los costes de remediación y los reembolsos voluntarios en aproximadamente entre 180 y 400 millones de dólares (Formulario 8-K de Coinbase). Su blog explicó el objetivo: una lista de clientes a los que los delincuentes pudieran llamar «haciéndose pasar por Coinbase» para engañarlos y que entregaran sus criptomonedas (Coinbase).

Por qué las cuentas cripto son un objetivo prioritario

Apropiarse de una cuenta en un exchange de criptomonedas resulta atractivo por tres motivos:

• Rapidez y carácter definitivo. Una retirada a una dirección externa se liquida en minutos y no hay ninguna red de tarjetas que pueda revertirla.
• Identidad verificada. La cuenta ya superó el KYC, así que un delincuente puede usarla para mover o blanquear fondos sin aportar sus propios documentos. Esto se solapa con la actividad de las mulas de dinero.
• Accesos vinculados. Las cuentas de exchange suelen estar conectadas a cuentas bancarias, tarjetas y claves API, lo que amplía lo que un atacante puede alcanzar.

Las wallets de autocustodia no tienen una cuenta de la que apropiarse, pero se enfrentan a la misma ingeniería social dirigida a otro botín: la frase semilla o una firma maliciosa. Consulte los wallet drainers y el phishing de aprobaciones.

Señales de que su cuenta está en el punto de mira

• Alertas de inicio de sesión o correos de restablecimiento de contraseña que usted no ha solicitado.
• Llamadas o mensajes inesperados del «soporte» sobre actividad sospechosa, sobre todo si le piden un código, una contraseña o que mueva sus fondos a una wallet «segura».
• Su teléfono se queda de repente sin servicio, lo que puede indicar que hay un SIM swapping en curso.
• Nuevas direcciones de retirada, claves API o dispositivos en su cuenta que usted no ha añadido.
• Cambios en su cuenta de correo, como reglas de reenvío que usted no ha configurado.

La advertencia de la propia Coinbase tras el incidente de 2025 es una buena regla para cualquier plataforma: «nunca le pedirá su contraseña, sus códigos 2FA ni que transfiera activos a una dirección concreta o nueva».

Cómo proteger su cuenta

La mejora más importante es pasar de códigos que se escriben a mano a un inicio de sesión resistente al phishing:

1. Use passkeys o una llave de seguridad física cuando estén disponibles. CISA califica la MFA resistente al phishing, como FIDO/WebAuthn, de «estándar de oro» y señala que otras formas de MFA pueden burlarse mediante phishing, push bombing o SIM swapping (ficha informativa de CISA). Las directrices de autenticación actualizadas del NIST, finalizadas en julio de 2025, establecen que los autenticadores de código de un solo uso y fuera de banda no son resistentes al phishing, porque un código introducido en un sitio falso puede retransmitirse al real (NIST SP 800-63B-4).
2. Si tiene que usar códigos, prefiera una app de autenticación a los SMS. El NIST clasifica los códigos por SMS y por voz como autenticadores «restringidos».
3. Use una contraseña larga y única para cada exchange y para su correo. El FBI recomienda contraseñas únicas y aleatorias de al menos 16 caracteres (FBI IC3, abril de 2024). Un gestor de contraseñas lo hace viable.
4. Active la lista blanca de direcciones de retirada y cualquier periodo de espera que ofrezca la plataforma para direcciones nuevas. Así, un ladrón que consiga entrar no podrá enviar los fondos directamente a su propia wallet.
5. Guarde las páginas de inicio de sesión en marcadores. El FBI desaconseja llegar a las páginas de inicio de sesión a través de resultados de búsqueda o anuncios y advierte de que «la MFA no le protegerá si acaba en una página de inicio de sesión fraudulenta».
6. Cuelgue y vuelva a llamar. Si alguien dice llamar de su exchange, termine la llamada y contacte con la empresa a través de su app o web oficial.

Siempre que pueda, guarde sus tenencias a largo plazo en una wallet que usted controle en lugar de en un exchange. Las aplicaciones de JewelSwap, por ejemplo, no son custodiales: usted conecta su propia wallet en lugar de crear una cuenta de JewelSwap, así que la seguridad depende de cómo proteja esa wallet. Nuestra guía de autocustodia explica lo básico.

Cómo detectan y frenan los exchanges las apropiaciones de cuentas

Para las plataformas, el objetivo es que una contraseña robada no sirva de nada y añadir fricción justo donde sale el dinero. Los controles habituales incluyen:

• Vinculación al dispositivo y señales de riesgo. Un inicio de sesión desde un dispositivo nuevo, un país nuevo y una IP nueva, seguido de un restablecimiento de contraseña y una nueva dirección de retirada, es una secuencia clásica de apropiación. Cada paso por separado es normal; juntos justifican un bloqueo o una revisión.
• Limitación de intentos y detección de bots en los puntos de inicio de sesión y restablecimiento, contra el credential stuffing.
• Periodos de espera tras cambios de seguridad como un nuevo correo, número de teléfono, método 2FA o dirección de retirada.
• Atención a los cambios de SIM. El NIST indica que los servicios que aún envían códigos por SMS deberían tener en cuenta indicadores de riesgo como un cambio de dispositivo, un cambio de SIM o una portabilidad del número antes de confiar en ellos.
• Reverificación reforzada. Para acciones de alto riesgo, pedir al cliente que demuestre que es la misma persona que abrió la cuenta, normalmente con un selfi en directo comparado con el registro KYC original. Tras su incidente de 2025, Coinbase indicó que las cuentas señaladas necesitarían comprobaciones de identidad adicionales en las retiradas grandes.

Las comprobaciones reforzadas solo funcionan si no pueden engañarse con una foto o un vídeo reproducido, por eso importa la prueba de vida. Proveedores de identidad como iDenfy ofrecen comparación facial con prueba de vida que las plataformas pueden activar en esos momentos, no solo en el registro.

Entre bastidores, la monitorización de transacciones ayuda a detectar una cuenta secuestrada que se usa para mover dinero de otras personas, y una apropiación confirmada utilizada para blanquear fondos puede requerir un informe de actividad sospechosa.

Qué hacer si se apropian de su cuenta

El aviso del FBI de noviembre de 2025 establece el orden de actuación:

1. Contacte de inmediato con la plataforma y pídale que congele la cuenta y que recupere o revierta todo lo que pueda.
2. Restablezca o revoque las credenciales comprometidas, también en cualquier otro sitio donde usara la misma contraseña. En un exchange, revoque además las claves API y elimine las direcciones de retirada y los dispositivos desconocidos.
3. Presente una denuncia en ic3.gov con el máximo detalle posible, incluyendo las palabras «Account Takeover» en la descripción, si se encuentra en EE. UU.
4. Informe a la empresa suplantada de cómo le atacaron para que pueda avisar a otros.

Después, proteja su cuenta de correo y su cuenta con el operador móvil, porque son las llaves para restablecer todo lo demás. Desconfíe de cualquiera que se ponga en contacto con usted ofreciendo recuperar sus criptomonedas a cambio de una comisión. Es una estafa posterior habitual, que explicamos en nuestra guía sobre las estafas de recuperación de criptomonedas.

Preguntas frecuentes

¿Qué es el fraude por apropiación de cuentas?

Es cuando un delincuente obtiene el control de una cuenta en línea existente de otra persona, como una cuenta en un exchange de criptomonedas, de correo o bancaria, y la utiliza para robar dinero o información. El FBI registró más de 5.100 denuncias y más de 262 millones de dólares en pérdidas entre enero y finales de noviembre de 2025.

¿Cómo se apoderan los delincuentes de las cuentas en exchanges de criptomonedas?

Sobre todo mediante contraseñas reutilizadas que se prueban automáticamente en las páginas de inicio de sesión (credential stuffing), phishing y falsas llamadas de soporte que capturan contraseñas y códigos de un solo uso, SIM swapping que secuestra los códigos SMS y malware que roba sesiones iniciadas.

¿La autenticación de dos factores impide la apropiación de cuentas?

Ayuda, pero no todos los tipos por igual. Los códigos enviados por SMS o copiados de una app pueden obtenerse mediante phishing o interceptarse. Las passkeys y las llaves de seguridad físicas basadas en FIDO/WebAuthn son resistentes al phishing, lo que CISA llama el estándar de oro.

¿Puedo recuperar mis criptomonedas tras una apropiación de cuenta?

A veces, si actúa rápido y los fondos no han salido de la plataforma. Contacte de inmediato con el exchange y denúncielo al FBI en ic3.gov si se encuentra en EE. UU. Una vez que las monedas se han retirado a una dirección externa, la recuperación es difícil, y quien prometa una recuperación garantizada a cambio de una comisión probablemente sea un estafador.

¿Por qué mi exchange me pide un selfi antes de una retirada?

Es una comprobación reforzada. Comparar un selfi en directo con el rostro de su KYC original confirma que quien mueve los fondos es el titular de la cuenta, lo que frena a un delincuente que solo ha robado su contraseña o sus códigos.

Siga leyendo

• Ataques de SIM swapping: cómo funcionan y cómo proteger sus criptomonedas
• Prueba de vida y verificación facial
• Wallet drainers y phishing de aprobaciones
• Estafas cripto en 2026
• Hot wallet vs. cold wallet

Este artículo es divulgativo y no constituye asesoramiento jurídico, de seguridad ni financiero. Las cifras son las publicadas en las fuentes enlazadas en el texto: aviso del FBI IC3 I-112525-PSA (25 de noviembre de 2025), Formulario 8-K de Coinbase (15 de mayo de 2025) y NIST SP 800-63B-4 (julio de 2025). Fuentes consultadas el 9 de octubre de 2026.