Estafas cripto: cómo detectarlas antes de que te vacíen la cartera

Junta tres ingredientes y tienes el caldo de cultivo perfecto. Las transacciones son irreversibles: no hay banco al que pedir una devolución. Las direcciones no llevan nombre y apellidos. Y el dinero cruza fronteras en minutos. Añade codicia, prisa y un poco de FOMO, y el estafador apenas tiene que esforzarse. Y si los fondos pasan luego por mezcladores y decenas de direcciones, seguir el rastro se complica muchísimo.

La escala asusta. El informe anual 2025 del IC3 del FBI, una de las estadísticas públicas más detalladas, recogió en Estados Unidos 181.565 denuncias relacionadas con criptomonedas y 11.366 millones de dólares en pérdidas, un 22 % más que en 2024. El fraude de inversión cripto fue, por sí solo, la mayor fuente de pérdidas de todo el informe.

España no publica una cifra tan desglosada, pero los casos van en la misma línea. En junio de 2025 la Guardia Civil, con apoyo de Europol, detuvo a cinco miembros de una red de fraude de inversión cripto que, según Europol, había blanqueado más de 460 millones de euros de más de 5.000 víctimas en todo el mundo. Y en abril de 2025, Guardia Civil y Policía Nacional desarticularon en Alicante una organización que estafó más de 19 millones a 208 personas con vídeos de famosos manipulados con inteligencia artificial.

Si te fijas, casi todas se apoyan en lo mismo: que hagas algo deprisa (pagar, firmar, enviar, instalar) antes de comprobarlo. Por eso la defensa más eficaz no es técnica, es de ritmo: si algo no puede esperar a mañana, no lo hagas hoy.

Los pump and dump y los rug pull suelen disfrazarse de «la próxima gran cripto». En mi vídeo sobre las tres peores criptomonedas de 2026 analizo justo eso: las señales de estafa, las tokenomics peligrosas y en qué fijarte para no caer.

Las 3 Peores Criptomonedas de 2026 | No Inviertas Aquí6:32

La CNMV usa el término chiringuito financiero para las entidades que ofrecen y prestan servicios de inversión sin estar autorizadas. Su guía lo dice sin rodeos: los rendimientos que prometen suelen ser demasiado buenos para ser ciertos, son solo el cebo, y cuando no pueden justificar las pérdidas desaparecen o cambian de nombre. Al no estar registrados, tampoco te cubre ningún fondo de garantía si se esfuman con tu dinero.

El pig butchering es la versión más cruel. El nombre viene del chino sha zhu pan, «engordar al cerdo antes de la matanza», como explicó la agencia financiera estadounidense FinCEN en una alerta de 2023. El FBI describe el guion así: te contactan por SMS, redes sociales, anuncios o apps de citas; enseguida pasan la conversación a una app de mensajería; te presentan a un grupo de «expertos»; inviertes en una plataforma falsa que te muestra beneficios inventados y hasta te ofrece préstamos para invertir más. Cuando intentas retirar, aparecen los impuestos y las comisiones. Y luego, nadie.

Los «robots de trading» con rentabilidad fija diaria son el mismo truco con otra ropa: un esquema Ponzi que paga a los primeros con el dinero de los siguientes. Y los famosos que los recomiendan casi nunca saben que existen. INCIBE lleva años avisando de los anuncios con imágenes de famosos que enlazan a noticias falsas, y en la operación de Alicante los estafadores ya usaban vídeos manipulados con IA. El patrón se repite: te dejan retirar una pequeña ganancia al principio para que confíes y metas más. Y si usas un chat de IA para informarte, comprueba sus cifras antes de mover un euro: te explico cómo en IA para invertir en criptomonedas.

La vacuna es saber cómo se gana dinero de verdad en cripto, que es mucho menos emocionante de lo que te venden. En este vídeo repaso tres estrategias reales y las trampas que arruinan a la mayoría, sin prometerte que te harás rico de la noche a la mañana. Cualquier cosa que prometa lo contrario merece sospecha automática. Los números de cada estrategia, con lo que cuestan y lo que tributan, están en cómo ganar dinero con criptomonedas.

Cómo ganar dinero con criptomonedas en 2026: 3 estrategias reales12:53

La regla de oro cabe en una línea: nadie legítimo te pedirá nunca tu frase de recuperación. Ni el soporte de tu exchange, ni el fabricante de tu wallet, ni un «técnico» que te escribe por Telegram. Si alguien la pide, ya sabes lo que es. Lo mismo vale para instalar programas de control remoto o dictar códigos de verificación.

Que algo esté en una tienda oficial tampoco es garantía. En abril de 2026 apareció en la App Store de Mac una copia falsa de Ledger Live, publicada por un desarrollador sin relación con Ledger, que pedía la frase de recuperación. Según AppleInsider y BleepingComputer, se le atribuyen unos 9,5 millones de dólares robados a unas 50 personas antes de que Apple la retirara. Ledger solo distribuye su app de escritorio para macOS desde su web oficial.

Las filtraciones de datos alimentan otro tipo de phishing, el más creíble: el que llega con tu nombre y tu dirección reales. Ledger perdió en 2020 datos de 272.853 clientes, con nombre, dirección postal y teléfono, que acabaron publicados, y en septiembre de 2026 alguien usó el proveedor de newsletter de Trezor para enviar a unas 347.000 direcciones un aviso falso de vulnerabilidad. Ninguna filtración incluyó frases semilla, así que el truco siempre acaba igual: un email, un SMS o una llamada que te pide «verificar» el dispositivo o escribir tus 24 palabras. Ni Ledger ni Trezor te las pedirán nunca, como recuerdo en la descripción de mi comparativa entre las dos. La variante más reciente llega con placa: a un cliente de Keystone le llamó una falsa policía que conocía su pedido real, el día antes de que la marca confirmara su filtración.

Ledger vs Trezor en 2027: ¿Cuál es Mejor? (Comparativa Honesta)9:25

Los wallet drainers son más sutiles. En DeFi no solo envías dinero: también firmas permisos. Una web maliciosa (un airdrop, un mint «exclusivo») te pide firmar una aprobación que concede permiso ilimitado para mover tus tokens, y el monedero te muestra un texto técnico que casi nadie lee. Defiéndete leyendo qué firmas, usando una wallet separada para experimentos con poco saldo y revocando de vez en cuando las aprobaciones antiguas.

El address poisoning juega con la pereza. El atacante genera una dirección que empieza y termina igual que una que usas y te envía una transacción minúscula para colarse en tu historial. La próxima vez que copies «la de siempre» desde ahí, le envías el dinero a él. Un estudio académico de 2025 contó 270 millones de intentos contra 17 millones de víctimas en Ethereum y BNB Chain en dos años. Copia siempre desde tu agenda de direcciones o un QR, revisa la dirección entera y haz un envío de prueba. En octubre de 2026 apareció una variante sin transacción minúscula: servidores maliciosos de Electrum que fingen tu envío a una dirección que termina igual que la tuya para que le subas la comisión. Cómo funciona y cómo protegerte, en Electrum 4.8.3: actualiza ya.

A finales de julio de 2026, Coinkite, el fabricante de las wallets frías Coldcard, publicó un aviso de seguridad: por un error de compilación que venía de marzo de 2021, varias versiones de firmware generaban la semilla con un generador aleatorio de software débil en lugar del de hardware. Eso dejaba unos 40 bits de entropía en los Mk2 y Mk3 y unos 72 en los Mk4, Mk5 y Q, en vez de 128. Ningún dispositivo fue hackeado a distancia: los atacantes probaron semillas débiles por fuerza bruta, sin tocar el aparato. Las semillas creadas con al menos 50 tiradas de dados propias no estaban afectadas.

La factura fue enorme. Según el recuento de Galaxy Research que recogía TRM Labs el 5 de agosto, unos 1.816 BTC (cerca de 116 millones de dólares) salieron de más de 5.200 direcciones en cuatro oleadas desde el 30 de julio. En el vídeo te cuento qué pasó, por qué, quién estaba en peligro de verdad y quién no, y aclaro lo que más se estaba confundiendo: esto no es un fallo de Bitcoin.

¿Qué ha pasado con Coldcard? ¿Tú dinero está en peligro?7:15

La clave práctica: lo que importa es con qué versión de firmware generaste la semilla, no cuál usas hoy, porque actualizar no arregla una semilla ya creada. Si está en la lista del aviso oficial (en Mk2 y Mk3, de la 4.0.1 a la 4.1.9; en Mk4 y Mk5, cualquiera anterior a la 5.6.0; en el Q, anterior a la 1.5.0Q), mueve los fondos a una wallet nueva generada con el firmware corregido y entropía independiente, como los dados, y valora añadir passphrase o multifirma. Galaxy Research detectó además una tercera oleada dirigida a saldos pequeños, así que «tengo demasiado poco para que me busquen» no protege a nadie.

¿Y por qué está esto en una guía de estafas? Porque cada incidente así trae detrás una ola de phishing: webs clonadas, falsos soportes y «herramientas de comprobación» que solo buscan tu frase. Lo avisaba en la descripción del vídeo:

“

Entra solo a través de la web oficial (coldcard.com). En estas situaciones aparecen webs falsas que imitan a la original para robarte. NUNCA introduzcas tu frase de recuperación en ninguna web ni app.

Octubre de 2026: Ledger manipulados en la cadena de venta

Lo de Ledger en octubre sí fue un golpe criminal de manual, y de los sofisticados. Alguien metió un implante en dispositivos que vendía CryptoBilis, un revendedor oficial del sudeste asiático: leía la frase de recuperación en la pantalla mientras el comprador configuraba el aparato y la enviaba por la red móvil. El control de autenticidad de Ledger no lo detecta, porque el chip seguro original sigue intacto. Las estimaciones de lo robado van de 72 a 93 millones de dólares en más de 300 wallets, cifras que Ledger no ha verificado, y la marca asegura que todas las pérdidas confirmadas vienen de aparatos de ese revendedor.

La defensa es aburrida y funciona: compra la wallet física solo en la tienda oficial del fabricante, nunca de segunda mano, en un marketplace o con un descuento sospechoso, y configúrala tú desde cero. La que yo recomiendo es Ledger, y Trezor si prefieres código abierto: la tienda oficial de Ledger y la tienda oficial de Trezor son las únicas que enlazo (enlaces de afiliado: si compras, me llevo una comisión sin coste extra para ti). Qué ha fallado en cada marca te lo cuento en Ledger vs Trezor.

Si estás pensando en tu propia custodia, en la guía de wallet fría frente a caliente tienes los pros y contras de cada opción.

1. Te prometen rentabilidad alta sin riesgo, o fija cada día o cada mes.
2. Te contactan ellos: llamada, WhatsApp, Telegram, Instagram o una app de citas.
3. Hay prisa: «solo hoy», «últimas plazas», «si no entras ya, la pierdes».
4. Te piden la frase semilla, la clave privada o un código de verificación.
5. Te piden instalar una app de control remoto para «ayudarte».
6. Para retirar, primero tienes que pagar algo.
7. La entidad no está autorizada, no aparece en el registro de ESMA o figura en las advertencias de la CNMV.
8. Un famoso la recomienda en un anuncio o una «noticia» que no encuentras en el medio real.
9. Te dejan retirar una cantidad pequeña al principio para ganarse tu confianza.
10. Te ofrecen bonos por traer a amigos y familiares.
11. La web o la app se parecen a la oficial, pero el dominio o el desarrollador no coinciden.
12. Te piden firmar una transacción que no entiendes, y con prisa.

En la descripción de mi vídeo sobre los errores que arruinan a los principiantes lo dejo por escrito: nunca compartas tu frase de recuperación y compra las wallets hardware solo en la web oficial.

7 errores que ARRUINAN a los principiantes en cripto (evítalos antes de perder dinero)12:34

El periodo transitorio de MiCA terminó en España el 30 de junio de 2026 y, desde el 1 de julio, solo pueden operar en España proveedores autorizados por la CNMV u otra autoridad europea, como explica la propia CNMV en su página sobre MiCA. Además, ESMA pidió el 23 de junio, en una declaración pública, que las plataformas sin autorización dejaran de captar clientes y de hacer publicidad. Así que una plataforma sin licencia que te anuncia sus servicios en España ya te está dando la primera señal de alarma.

1. 01

   Busca la entidad exacta en el registro de ESMA

   ESMA publica un registro de proveedores de criptoactivos autorizados (y otro de entidades no conformes) que se actualiza cada semana; la página de la CNMV enlaza a él. Ojo: la protección de MiCA cubre a la entidad jurídica autorizada, no a otras empresas del mismo grupo con la misma marca. Y que la marca sea enorme no basta: a 15 de octubre de 2026, ni Binance ni Bitget figuraban en el registro.

2. 02

   Mira las advertencias de la CNMV

   Su buscador de advertencias incluye los chiringuitos detectados por la CNMV y las alertas de reguladores extranjeros. Si aparece ahí, fin de la conversación.

3. 03

   Pregunta si dudas

   La CNMV atiende consultas de inversores en el 900 535 015. Llamar cuesta cinco minutos; no llamar puede costarte los ahorros.

4. 04

   Comprueba el dominio y el desarrollador

   Escribe la dirección tú mismo o usa un marcador, nunca el enlace de un anuncio. En las apps, revisa que el desarrollador sea la empresa real.

5. 05

   Lee quién te presta el servicio

   En el contrato o los términos debe figurar la entidad que opera contigo y su país. Si no lo encuentras, ya tienes la respuesta.

Primero, respira. Segundo, no pagues ni un euro más, te digan lo que te digan. Después, por este orden:

1. 01

   Corta el contacto y guarda las pruebas

   Hashes de transacción (TXID), direcciones, capturas de los chats, URLs, nombres de usuario, extractos y la hora de cada movimiento. Sin el TXID, rastrear los fondos es casi imposible.

2. 02

   Llama a tu banco

   Si hay tarjeta o transferencias de por medio, bloquea y comunica las operaciones. Según el Banco de España, por los cargos fraudulentos con tarjeta anteriores al aviso respondes como mucho por 50 euros, salvo negligencia, y los posteriores corren a cargo del banco. Si la transferencia la hiciste tú engañado, recuperarla es bastante más difícil.

3. 03

   Avisa al exchange

   Si los fondos pasaron por una plataforma regulada, cuéntaselo cuanto antes: puede bloquear cuentas vinculadas a la estafa mientras actúa la policía.

4. 04

   Denuncia

   En comisaría de la Policía Nacional, en un cuartel de la Guardia Civil o ante la policía autonómica (en Cataluña, los Mossos d'Esquadra). La Oficina Virtual de Denuncias de la Policía Nacional te deja empezarla por internet, pero tienes que firmarla en comisaría en un máximo de 72 horas o no tendrá validez.

5. 05

   Llama al 017 de INCIBE

   La Línea de Ayuda en Ciberseguridad es gratuita y confidencial, atiende de 8:00 a 23:00 todos los días del año y también por WhatsApp (900 116 117) y Telegram (@INCIBE017), con asesoramiento técnico, legal y psicosocial.

6. 06

   Si era un chiringuito, avisa a la CNMV

   Ayuda a que otros no caigan y a que la entidad aparezca en las advertencias.

Para que no llegues a este punto, en la sección de seguridad tienes más vídeos sobre custodia, y si hay términos que no conoces, están en el glosario. Si empiezas de cero, la guía para empezar en cripto te ahorra muchos de estos sustos. Y no olvides el aviso de riesgo: esto es información, no consejo financiero.

Más vídeos para proteger tus criptos

9:10

Las 5 MEJORES wallets frías para proteger tus criptos en 2026 (máxima seguridad)

19 jul 2026 · 718 vis.

20:30

Cómo Crear tu Wallet MetaMask y Pasar Dinero del Exchange sin Perderlo

9 sept 2026 · 148 vis.