Estafas cripto: cómo detectarlas antes de que te vacíen la cartera

Junta tres ingredientes y tienes el caldo de cultivo perfecto. Las transacciones son irreversibles: no hay banco al que pedir una devolución. Las direcciones no llevan nombre y apellidos. Y el dinero cruza fronteras en minutos. Añade codicia, prisa y un poco de FOMO, y el estafador apenas tiene que esforzarse. En este short lo resumo en una frase: anonimato y codicia crean la tormenta perfecta, y después de pasar por mezcladores el rastro se complica mucho.

Estafas Cripto: ¡No seas la próxima víctima! #shorts

La escala asusta. El informe anual 2025 del IC3 del FBI, una de las estadísticas públicas más detalladas, recogió en Estados Unidos 181.565 denuncias relacionadas con criptomonedas y 11.366 millones de dólares en pérdidas, un 22 % más que en 2024. El fraude de inversión cripto fue, por sí solo, la mayor fuente de pérdidas de todo el informe.

España no publica una cifra tan desglosada, pero los casos van en la misma línea. En junio de 2025 la Guardia Civil, con apoyo de Europol, detuvo a cinco miembros de una red de fraude de inversión cripto que, según Europol, había blanqueado más de 460 millones de euros de más de 5.000 víctimas en todo el mundo. Y en abril de 2025, Guardia Civil y Policía Nacional desarticularon en Alicante una organización que estafó más de 19 millones a 208 personas con vídeos de famosos manipulados con inteligencia artificial.

Si te fijas, casi todas se apoyan en lo mismo: que hagas algo deprisa (pagar, firmar, enviar, instalar) antes de comprobarlo. Por eso la defensa más eficaz no es técnica, es de ritmo: si algo no puede esperar a mañana, no lo hagas hoy.

La CNMV usa el término chiringuito financiero para las entidades que ofrecen y prestan servicios de inversión sin estar autorizadas. Su guía lo dice sin rodeos: los rendimientos que prometen suelen ser demasiado buenos para ser ciertos, son solo el cebo, y cuando no pueden justificar las pérdidas desaparecen o cambian de nombre. Al no estar registrados, tampoco te cubre ningún fondo de garantía si se esfuman con tu dinero.

El pig butchering es la versión más cruel. El nombre viene del chino sha zhu pan, «engordar al cerdo antes de la matanza», como explicó la agencia financiera estadounidense FinCEN en una alerta de 2023. El FBI describe el guion así: te contactan por SMS, redes sociales, anuncios o apps de citas; enseguida pasan la conversación a una app de mensajería; te presentan a un grupo de «expertos»; inviertes en una plataforma falsa que te muestra beneficios inventados y hasta te ofrece préstamos para invertir más. Cuando intentas retirar, aparecen los impuestos y las comisiones. Y luego, nadie.

Los «robots de trading» con rentabilidad fija diaria son el mismo truco con otra ropa: un esquema Ponzi que paga a los primeros con el dinero de los siguientes. Y los famosos que los recomiendan casi nunca saben que existen. INCIBE lleva años avisando de los anuncios con imágenes de famosos que enlazan a noticias falsas, y en la operación de Alicante los estafadores ya usaban vídeos manipulados con IA. El patrón se repite: te dejan retirar una pequeña ganancia al principio para que confíes y metas más.

La vacuna está en este short: te vendieron la inversión como un camino rápido a la riqueza, y la realidad es aburrida, lenta y tediosa. Cualquier cosa que prometa lo contrario merece sospecha automática.

Te Han Engañado Con La Inversión #shorts

La regla de oro cabe en una línea: nadie legítimo te pedirá nunca tu frase de recuperación. Ni el soporte de tu exchange, ni el fabricante de tu wallet, ni un «técnico» que te escribe por Telegram. Si alguien la pide, ya sabes lo que es. Lo mismo vale para instalar programas de control remoto o dictar códigos de verificación.

Que algo esté en una tienda oficial tampoco es garantía. En abril de 2026 apareció en la App Store de Mac una copia falsa de Ledger Live, publicada por un desarrollador sin relación con Ledger, que pedía la frase de recuperación. Según AppleInsider y BleepingComputer, se le atribuyen unos 9,5 millones de dólares robados a unas 50 personas antes de que Apple la retirara. Ledger solo distribuye su app de escritorio para macOS desde su web oficial.

Una app falsa de Ledger llegó a la App Store. Descubre cómo evitar esta estafa. #Shorts #cripto

Los wallet drainers son más sutiles. En DeFi no solo envías dinero: también firmas permisos. Una web maliciosa (un airdrop, un mint «exclusivo») te pide firmar una aprobación que concede permiso ilimitado para mover tus tokens, y el monedero te muestra un texto técnico que casi nadie lee. Defiéndete leyendo qué firmas, usando una wallet separada para experimentos con poco saldo y revocando de vez en cuando las aprobaciones antiguas.

El address poisoning juega con la pereza. El atacante genera una dirección que empieza y termina igual que una que usas y te envía una transacción minúscula para colarse en tu historial. La próxima vez que copies «la de siempre» desde ahí, le envías el dinero a él. Un estudio académico de 2025 contó 270 millones de intentos contra 17 millones de víctimas en Ethereum y BNB Chain en dos años. Copia siempre desde tu agenda de direcciones o un QR, revisa la dirección entera y haz un envío de prueba.

A finales de julio de 2026, Coinkite, el fabricante de las wallets frías Coldcard, publicó un aviso de seguridad: por un error de compilación, varias versiones de firmware generaban la semilla con un generador aleatorio de software débil en lugar del de hardware. En los Mk4, Mk5 y Q, eso dejaba unos 72 bits de entropía en vez de 128. Ningún dispositivo fue hackeado a distancia: los atacantes probaron semillas débiles por fuerza bruta, sin tocar el aparato. Las semillas creadas con al menos 50 tiradas de dados propias no estaban afectadas.

La factura fue enorme. Según el recuento de Galaxy Research que recogía TRM Labs el 5 de agosto, unos 1.816 BTC (cerca de 116 millones de dólares) salieron de más de 5.200 direcciones en cuatro oleadas desde el 30 de julio. En el vídeo te cuento qué pasó, por qué, quién estaba en peligro de verdad y quién no, y aclaro lo que más se estaba confundiendo: esto no es un fallo de Bitcoin.

¿Qué ha pasado con Coldcard? ¿Tú dinero está en peligro?7:15

La clave práctica está en el short: lo que importa es con qué versión de firmware generaste la semilla, no cuál usas hoy, porque actualizar no arregla una semilla ya creada. Si está en la lista del aviso oficial, mueve los fondos a una wallet nueva generada con entropía independiente (dados) y añade passphrase o multifirma. Galaxy Research detectó además una tercera oleada dirigida a saldos pequeños, así que «tengo demasiado poco para que me busquen» no protege a nadie.

Exploit de Coldcard: no fue el chip, fue la semilla (cómo comprobar la tuya) #cripto #shorts

¿Y por qué está esto en una guía de estafas? Porque cada incidente así trae detrás una ola de phishing: webs clonadas, falsos soportes y «herramientas de comprobación» que solo buscan tu frase. Lo avisaba en la descripción del vídeo:

“

Entra solo a través de la web oficial (coldcard.com). En estas situaciones aparecen webs falsas que imitan a la original para robarte. NUNCA introduzcas tu frase de recuperación en ninguna web ni app.

Si estás pensando en tu propia custodia, en la guía de wallet fría frente a caliente tienes los pros y contras de cada opción.

1. Te prometen rentabilidad alta sin riesgo, o fija cada día o cada mes.
2. Te contactan ellos: llamada, WhatsApp, Telegram, Instagram o una app de citas.
3. Hay prisa: «solo hoy», «últimas plazas», «si no entras ya, la pierdes».
4. Te piden la frase semilla, la clave privada o un código de verificación.
5. Te piden instalar una app de control remoto para «ayudarte».
6. Para retirar, primero tienes que pagar algo.
7. La entidad no está autorizada, no aparece en el registro de ESMA o figura en las advertencias de la CNMV.
8. Un famoso la recomienda en un anuncio o una «noticia» que no encuentras en el medio real.
9. Te dejan retirar una cantidad pequeña al principio para ganarse tu confianza.
10. Te ofrecen bonos por traer a amigos y familiares.
11. La web o la app se parecen a la oficial, pero el dominio o el desarrollador no coinciden.
12. Te piden firmar una transacción que no entiendes, y con prisa.

En la descripción de mi vídeo sobre los errores que arruinan a los principiantes lo dejo por escrito: nunca compartas tu frase de recuperación y compra las wallets hardware solo en la web oficial.

7 errores que ARRUINAN a los principiantes en cripto (evítalos antes de perder dinero)12:34

Desde el 1 de julio de 2026, con el fin del periodo transitorio de MiCA, solo pueden operar en España proveedores autorizados por la CNMV u otra autoridad europea, según explica la propia CNMV en su página sobre MiCA. Eso hace la comprobación más sencilla que nunca.

1. 01

   Busca la entidad exacta en el registro de ESMA

   ESMA publica un registro de proveedores de criptoactivos autorizados (y otro de entidades no conformes) que se actualiza cada semana; la página de la CNMV enlaza a él. Ojo: la protección de MiCA cubre a la entidad jurídica autorizada, no a otras empresas del mismo grupo con la misma marca.

2. 02

   Mira las advertencias de la CNMV

   Su buscador de advertencias incluye los chiringuitos detectados por la CNMV y las alertas de reguladores extranjeros. Si aparece ahí, fin de la conversación.

3. 03

   Pregunta si dudas

   La CNMV atiende consultas de inversores en el 900 535 015. Llamar cuesta cinco minutos; no llamar puede costarte los ahorros.

4. 04

   Comprueba el dominio y el desarrollador

   Escribe la dirección tú mismo o usa un marcador, nunca el enlace de un anuncio. En las apps, revisa que el desarrollador sea la empresa real.

5. 05

   Lee quién te presta el servicio

   En el contrato o los términos debe figurar la entidad que opera contigo y su país. Si no lo encuentras, ya tienes la respuesta.

Primero, respira. Segundo, no pagues ni un euro más, te digan lo que te digan. Después, por este orden:

1. 01

   Corta el contacto y guarda las pruebas

   Hashes de transacción (TXID), direcciones, capturas de los chats, URLs, nombres de usuario, extractos y la hora de cada movimiento. Sin el TXID, rastrear los fondos es casi imposible.

2. 02

   Llama a tu banco

   Si hay tarjeta o transferencias de por medio, bloquea y comunica las operaciones. Según el Banco de España, por los cargos fraudulentos con tarjeta anteriores al aviso respondes como mucho por 50 euros, salvo negligencia, y los posteriores corren a cargo del banco. Si la transferencia la hiciste tú engañado, recuperarla es bastante más difícil.

3. 03

   Avisa al exchange

   Si los fondos pasaron por una plataforma regulada, cuéntaselo cuanto antes: puede bloquear cuentas vinculadas a la estafa mientras actúa la policía.

4. 04

   Denuncia

   En comisaría de la Policía Nacional, en un cuartel de la Guardia Civil o ante la policía autonómica (en Cataluña, los Mossos d'Esquadra). La Oficina Virtual de Denuncias de la Policía Nacional te deja empezarla por internet, pero tienes que firmarla en comisaría en un máximo de 72 horas o no tendrá validez.

5. 05

   Llama al 017 de INCIBE

   La Línea de Ayuda en Ciberseguridad es gratuita y confidencial, atiende de 8:00 a 23:00 todos los días del año y también por WhatsApp (900 116 117) y Telegram (@INCIBE017), con asesoramiento técnico, legal y psicosocial.

6. 06

   Si era un chiringuito, avisa a la CNMV

   Ayuda a que otros no caigan y a que la entidad aparezca en las advertencias.

Para que no llegues a este punto, en la sección de wallets, exchanges y seguridad tienes más vídeos sobre custodia, y si hay términos que no conoces, están en el glosario. Si empiezas de cero, la guía para empezar en cripto te ahorra muchos de estos sustos. Y no olvides el aviso de riesgo: esto es información, no consejo financiero.

Más vídeos para proteger tus criptos

9:10

Las 5 MEJORES wallets frías para proteger tus criptos en 2026 (máxima seguridad)

19 jul 2026 · 718 vis.

20:30

Cómo Crear tu Wallet MetaMask y Pasar Dinero del Exchange sin Perderlo

9 sept 2026 · 151 vis.