Estafes cripto: com detectar-les abans que et buidin la cartera

Ajunta tres ingredients i tens el brou de cultiu perfecte. Les transaccions són irreversibles: no hi ha cap banc a qui demanar una devolució. Les adreces no porten nom i cognoms. I els diners creuen fronteres en minuts. Afegeix-hi cobdícia, pressa i una mica de FOMO, i l'estafador gairebé no s'ha d'esforçar. I si després els fons passen per mescladors i desenes d'adreces, seguir-ne el rastre es complica moltíssim.

L'escala fa por. L'informe anual 2025 de l'IC3, el centre de denúncies de ciberdelictes de l'FBI i una de les estadístiques públiques més detallades, va recollir als Estats Units 181.565 denúncies relacionades amb criptomonedes i 11.366 milions de dòlars en pèrdues, un 22 % més que el 2024. El frau d'inversió cripto va ser, tot sol, la font de pèrdues més gran de tot l'informe.

Espanya no publica una xifra tan desglossada, però els casos van en la mateixa línia. El juny de 2025 la Guàrdia Civil, amb el suport d'Europol, va detenir cinc membres d'una xarxa de frau d'inversió cripto que, segons Europol, havia blanquejat més de 460 milions d'euros de més de 5.000 víctimes de tot el món. I l'abril de 2025, la Guàrdia Civil i la Policia Nacional van desarticular a Alacant una organització que havia estafat més de 19 milions a 208 persones amb vídeos de famosos manipulats amb intel·ligència artificial.

Si t'hi fixes, gairebé totes es recolzen en el mateix: que facis alguna cosa de pressa (pagar, signar, enviar, instal·lar) abans de comprovar-la. Per això la defensa més eficaç no és tècnica, és de ritme: si una cosa no pot esperar a demà, no la facis avui.

Els pump and dump i els rug pull se solen disfressar de «la pròxima gran cripto». Al meu vídeo sobre les tres pitjors criptomonedes del 2026 analitzo justament això: els senyals d'estafa, les tokenomics perilloses i en què t'has de fixar per no caure-hi.

Las 3 Peores Criptomonedas de 2026 | No Inviertas Aquí6:32

La CNMV fa servir el terme xiringuito financer (en castellà, chiringuito) per a les entitats que ofereixen i presten serveis d'inversió sense estar autoritzades. La seva guia ho diu sense embuts: els rendiments que prometen solen ser massa bons per ser veritat, només són l'esquer, i quan no poden justificar les pèrdues desapareixen o canvien de nom. Com que no estan registrats, tampoc no et cobreix cap fons de garantia si s'esfumen amb els teus diners.

El pig butchering és la versió més cruel. El nom ve del xinès sha zhu pan, «engreixar el porc abans de la matança», com va explicar l'agència financera nord-americana FinCEN en una alerta del 2023. L'FBI en descriu el guió així: et contacten per SMS, xarxes socials, anuncis o apps de cites; de seguida passen la conversa a una app de missatgeria; et presenten un grup d'«experts»; inverteixes en una plataforma falsa que t'ensenya beneficis inventats i fins i tot t'ofereix préstecs per invertir-hi més. Quan intentes retirar, apareixen els impostos i les comissions. I després, ningú.

Els «robots de trading» amb rendibilitat fixa diària són el mateix truc amb una altra roba: un esquema Ponzi que paga els primers amb els diners dels següents. I els famosos que els recomanen gairebé mai no saben que existeixen. L'INCIBE fa anys que avisa dels anuncis amb imatges de famosos que enllacen a notícies falses, i en l'operació d'Alacant els estafadors ja feien servir vídeos manipulats amb IA. El patró es repeteix: et deixen retirar un petit guany al principi perquè confiïs i hi posis més.

La vacuna és saber com es guanyen diners de debò en cripto, que és molt menys emocionant del que et venen. En aquest vídeo repasso tres estratègies reals i els paranys que arruïnen la majoria, sense prometre't que et faràs ric d'un dia per l'altre. Qualsevol cosa que prometi el contrari mereix sospita automàtica.

Cómo ganar dinero con criptomonedas en 2026: 3 estrategias reales12:53

La regla d'or cap en una línia: ningú legítim no et demanarà mai la frase de recuperació. Ni el suport del teu exchange, ni el fabricant del teu moneder, ni un «tècnic» que t'escriu per Telegram. Si algú te la demana, ja saps què és. El mateix val per instal·lar programes de control remot o dictar codis de verificació.

Que una cosa sigui en una botiga oficial tampoc no és garantia. L'abril de 2026 va aparèixer a l'App Store de Mac una còpia falsa de Ledger Live, publicada per un desenvolupador sense relació amb Ledger, que demanava la frase de recuperació. Segons AppleInsider i BleepingComputer, se li atribueixen uns 9,5 milions de dòlars robats a unes 50 persones abans que Apple la retirés. Ledger només distribueix la seva app d'escriptori per a macOS des del seu web oficial.

Les filtracions de dades alimenten un altre tipus de phishing, el més creïble: el que arriba amb el teu nom i la teva adreça reals. Ledger va perdre el 2020 dades de 272.853 clients, amb nom, adreça postal i telèfon, que van acabar publicades, i el setembre de 2026 algú va fer servir el proveïdor de butlletins de Trezor per enviar a unes 347.000 adreces un avís fals de vulnerabilitat. Cap filtració no va incloure frases de recuperació, així que el truc sempre acaba igual: un correu, un SMS o una trucada que et demana «verificar» el dispositiu o escriure les teves 24 paraules. Ni Ledger ni Trezor no te les demanaran mai, com recordo a la descripció de la meva comparativa entre totes dues.

Ledger vs Trezor en 2027: ¿Cuál es Mejor? (Comparativa Honesta)9:25

Els wallet drainers són més subtils. A DeFi no només envies diners: també signes permisos. Una web maliciosa (un airdrop, un mint «exclusiu») et demana signar una aprovació que concedeix permís il·limitat per moure els teus tokens, i el moneder et mostra un text tècnic que gairebé ningú no llegeix. Defensa't llegint què signes, fent servir un moneder separat amb poc saldo per experimentar i revocant de tant en tant les aprovacions antigues.

L'address poisoning (enverinament d'adreces) juga amb la mandra. L'atacant genera una adreça que comença i acaba igual que una que fas servir i t'envia una transacció minúscula per colar-se al teu historial. La pròxima vegada que copiïs «la de sempre» des d'allà, li envies els diners a ell. Un estudi acadèmic del 2025 va comptar 270 milions d'intents contra 17 milions de víctimes a Ethereum i BNB Chain en dos anys. Copia sempre des de la teva agenda d'adreces o un QR, revisa l'adreça sencera i fes un enviament de prova.

A finals de juliol de 2026, Coinkite, el fabricant dels moneders freds Coldcard, va publicar un avís de seguretat: per un error de compilació que venia del març de 2021, diverses versions de firmware generaven la llavor amb un generador aleatori de programari feble en lloc del de maquinari. Això deixava uns 40 bits d'entropia als Mk2 i Mk3 i uns 72 als Mk4, Mk5 i Q, en lloc de 128. Cap dispositiu no va ser piratejat a distància: els atacants van provar llavors febles per força bruta, sense tocar l'aparell. Les llavors creades amb almenys 50 tirades de daus pròpies no estaven afectades.

La factura va ser enorme. Segons el recompte de Galaxy Research que recollia TRM Labs el 5 d'agost, uns 1.816 BTC (prop de 116 milions de dòlars) van sortir de més de 5.200 adreces en quatre onades des del 30 de juliol. Al vídeo t'explico què va passar, per què, qui estava en perill de debò i qui no, i aclareixo el que més s'estava confonent: això no és una fallada de Bitcoin.

¿Qué ha pasado con Coldcard? ¿Tú dinero está en peligro?7:15

La clau pràctica: el que importa és amb quina versió de firmware vas generar la llavor, no quina fas servir avui, perquè actualitzar no arregla una llavor ja creada. Si és a la llista de l'avís oficial (als Mk2 i Mk3, de la 4.0.1 a la 4.1.9; als Mk4 i Mk5, qualsevol anterior a la 5.6.0; al Q, anterior a la 1.5.0Q), mou els fons a un moneder nou generat amb el firmware corregit i entropia independent, com els daus, i valora afegir-hi passphrase o multisignatura. A més, Galaxy Research va detectar una tercera onada dirigida a saldos petits, així que «en tinc massa poc perquè em busquin» no protegeix ningú.

I per què és això en una guia d'estafes? Perquè cada incident així porta al darrere una onada de phishing: webs clonades, falsos suports i «eines de comprovació» que només busquen la teva frase. Ho avisava a la descripció del vídeo:

“

Entra només a través del web oficial (coldcard.com). En aquestes situacions apareixen webs falses que imiten l'original per robar-te. MAI no introdueixis la teva frase de recuperació en cap web ni app.

Octubre de 2026: Ledger manipulats a la cadena de venda

El cas de Ledger, a l'octubre, sí que va ser un cop criminal de manual, i dels sofisticats. Algú va ficar un implant en dispositius que venia CryptoBilis, un revenedor oficial del sud-est asiàtic: llegia la frase de recuperació a la pantalla mentre el comprador configurava l'aparell i l'enviava per la xarxa mòbil. El control d'autenticitat de Ledger no el detecta, perquè el xip segur original continua intacte. Les estimacions del que s'ha robat van dels 72 als 93 milions de dòlars en més de 300 moneders, xifres que Ledger no ha verificat, i la marca assegura que totes les pèrdues confirmades provenen d'aparells d'aquell revenedor.

La defensa és avorrida i funciona: compra el moneder físic només a la botiga oficial del fabricant, mai de segona mà, en un marketplace o amb un descompte sospitós, i configura'l tu des de zero. El que jo recomano és Ledger, i Trezor si prefereixes codi obert: la botiga oficial de Ledger i la botiga oficial de Trezor són les úniques que enllaço (enllaços d'afiliat: si hi compres, cobro una comissió sense cap cost extra per a tu). Què ha fallat a cada marca t'ho explico a Ledger vs Trezor.

Si estàs pensant en la teva pròpia custòdia, a la guia de moneder fred o calent tens els pros i contres de cada opció.

1. Et prometen una rendibilitat alta sense risc, o fixa cada dia o cada mes.
2. Et contacten ells: trucada, WhatsApp, Telegram, Instagram o una app de cites.
3. Hi ha pressa: «només avui», «últimes places», «si no hi entres ara, la perds».
4. Et demanen la frase de recuperació, la clau privada o un codi de verificació.
5. Et demanen instal·lar una app de control remot per «ajudar-te».
6. Per retirar, primer has de pagar alguna cosa.
7. L'entitat no està autoritzada, no surt al registre d'ESMA o figura a les advertències de la CNMV.
8. Un famós la recomana en un anunci o una «notícia» que no trobes al mitjà real.
9. Et deixen retirar una quantitat petita al principi per guanyar-se la teva confiança.
10. T'ofereixen bons per portar amics i familiars.
11. El web o l'app s'assemblen a l'oficial, però el domini o el desenvolupador no coincideixen.
12. Et demanen signar una transacció que no entens, i amb pressa.

A la descripció del meu vídeo sobre els errors que arruïnen els principiants ho deixo per escrit: no comparteixis mai la frase de recuperació i compra els moneders de maquinari només al web oficial.

7 errores que ARRUINAN a los principiantes en cripto (evítalos antes de perder dinero)12:34

El període transitori de MiCA va acabar a Espanya el 30 de juny de 2026 i, des de l'1 de juliol, només poden operar a Espanya proveïdors autoritzats per la CNMV o per una altra autoritat europea, tal com explica la mateixa CNMV a la seva pàgina sobre MiCA (en castellà). A més, ESMA va demanar el 23 de juny, en una declaració pública (en castellà), que les plataformes sense autorització deixessin de captar clients i de fer publicitat. Així que una plataforma sense llicència que t'anuncia els seus serveis a Espanya ja t'està donant el primer senyal d'alarma.

1. 01

   Busca l'entitat exacta al registre d'ESMA

   ESMA publica un registre de proveïdors de criptoactius autoritzats (i un altre d'entitats no conformes) que s'actualitza cada setmana; la pàgina de la CNMV hi enllaça. Compte: la protecció de MiCA cobreix l'entitat jurídica autoritzada, no altres empreses del mateix grup amb la mateixa marca. I no n'hi ha prou que la marca sigui enorme: a 15 d'octubre de 2026, ni Binance ni Bitget no figuraven al registre.

2. 02

   Mira les advertències de la CNMV

   El seu cercador d'advertències inclou els xiringuitos detectats per la CNMV i les alertes de reguladors estrangers. Si hi surt, s'ha acabat la conversa.

3. 03

   Pregunta si dubtes

   La CNMV atén consultes d'inversors al 900 535 015. Trucar costa cinc minuts; no trucar et pot costar els estalvis.

4. 04

   Comprova el domini i el desenvolupador

   Escriu l'adreça tu mateix o fes servir un marcador, mai l'enllaç d'un anunci. A les apps, revisa que el desenvolupador sigui l'empresa real.

5. 05

   Llegeix qui et presta el servei

   Al contracte o a les condicions hi ha de figurar l'entitat que opera amb tu i el seu país. Si no ho trobes, ja tens la resposta.

Primer, respira. Segon, no paguis ni un euro més, et diguin el que et diguin. Després, en aquest ordre:

1. 01

   Talla el contacte i desa les proves

   Identificadors de transacció (TXID), adreces, captures dels xats, URL, noms d'usuari, extractes i l'hora de cada moviment. Sense el TXID, rastrejar els fons és gairebé impossible.

2. 02

   Truca al teu banc

   Si hi ha targeta o transferències pel mig, bloqueja i comunica les operacions. Segons el Banc d'Espanya, dels càrrecs fraudulents amb targeta anteriors a l'avís en respons com a màxim per 50 euros, llevat de negligència, i els posteriors van a càrrec del banc. Si la transferència la vas fer tu enganyat, recuperar-la és bastant més difícil.

3. 03

   Avisa l'exchange

   Si els fons van passar per una plataforma regulada, explica-li-ho com més aviat millor: pot bloquejar comptes vinculats a l'estafa mentre actua la policia.

4. 04

   Denuncia

   A Catalunya, a qualsevol comissaria dels Mossos d'Esquadra. Els Mossos permeten iniciar algunes denúncies per internet, però les has de validar i signar a comissaria en 72 hores. A la resta d'Espanya, Policia Nacional (la seva Oficina Virtual de Denúncies té la mateixa regla de les 72 hores) o Guàrdia Civil.

5. 05

   Truca al 017 de l'INCIBE

   La Línia d'Ajuda en Ciberseguretat és gratuïta i confidencial, atén de 8.00 a 23.00 tots els dies de l'any i també per WhatsApp (900 116 117) i Telegram (@INCIBE017), amb assessorament tècnic, legal i psicosocial.

6. 06

   Si era un xiringuito, avisa la CNMV

   Ajudaràs a evitar que altres hi caiguin i que l'entitat aparegui a les advertències.

Perquè no arribis a aquest punt, a la secció de seguretat tens més vídeos sobre custòdia, i si hi ha termes que no coneixes, són al glossari. Si comences de zero, la guia per començar en cripto t'estalvia molts d'aquests ensurts. I no oblidis l'avís de risc: això és informació, no assessorament financer.

Més vídeos per protegir les teves criptos

9:10

Las 5 MEJORES wallets frías para proteger tus criptos en 2026 (máxima seguridad)

19 de jul. del 2026 · 718 vis.

20:30

Cómo Crear tu Wallet MetaMask y Pasar Dinero del Exchange sin Perderlo

9 de set. del 2026 · 148 vis.