Estafes cripto: com detectar-les abans que et buidin la cartera

Ajunta tres ingredients i tens el brou de cultiu perfecte. Les transaccions són irreversibles: no hi ha cap banc a qui demanar una devolució. Les adreces no porten nom i cognoms. I els diners creuen fronteres en minuts. Afegeix-hi cobdícia, pressa i una mica de FOMO, i l'estafador gairebé no s'ha d'esforçar. En aquest short ho resumeixo en una frase: l'anonimat i la cobdícia creen la tempesta perfecta, i després de passar per mescladors el rastre es complica molt.

Estafas Cripto: ¡No seas la próxima víctima! #shorts

L'escala fa por. L'informe anual 2025 de l'IC3, el centre de denúncies de ciberdelictes de l'FBI i una de les estadístiques públiques més detallades, va recollir als Estats Units 181.565 denúncies relacionades amb criptomonedes i 11.366 milions de dòlars en pèrdues, un 22 % més que el 2024. El frau d'inversió cripto va ser, tot sol, la font de pèrdues més gran de tot l'informe.

Espanya no publica una xifra tan desglossada, però els casos van en la mateixa línia. El juny de 2025 la Guàrdia Civil, amb el suport d'Europol, va detenir cinc membres d'una xarxa de frau d'inversió cripto que, segons Europol, havia blanquejat més de 460 milions d'euros de més de 5.000 víctimes de tot el món. I l'abril de 2025, la Guàrdia Civil i la Policia Nacional van desarticular a Alacant una organització que havia estafat més de 19 milions a 208 persones amb vídeos de famosos manipulats amb intel·ligència artificial.

Si t'hi fixes, gairebé totes es recolzen en el mateix: que facis alguna cosa de pressa (pagar, signar, enviar, instal·lar) abans de comprovar-la. Per això la defensa més eficaç no és tècnica, és de ritme: si una cosa no pot esperar a demà, no la facis avui.

La CNMV fa servir el terme xiringuito financer (en castellà, chiringuito) per a les entitats que ofereixen i presten serveis d'inversió sense estar autoritzades. La seva guia ho diu sense embuts: els rendiments que prometen solen ser massa bons per ser veritat, només són l'esquer, i quan no poden justificar les pèrdues desapareixen o canvien de nom. Com que no estan registrats, tampoc no et cobreix cap fons de garantia si s'esfumen amb els teus diners.

El pig butchering és la versió més cruel. El nom ve del xinès sha zhu pan, «engreixar el porc abans de la matança», com va explicar l'agència financera nord-americana FinCEN en una alerta del 2023. L'FBI en descriu el guió així: et contacten per SMS, xarxes socials, anuncis o apps de cites; de seguida passen la conversa a una app de missatgeria; et presenten un grup d'«experts»; inverteixes en una plataforma falsa que t'ensenya beneficis inventats i fins i tot t'ofereix préstecs per invertir-hi més. Quan intentes retirar, apareixen els impostos i les comissions. I després, ningú.

Els «robots de trading» amb rendibilitat fixa diària són el mateix truc amb una altra roba: un esquema Ponzi que paga els primers amb els diners dels següents. I els famosos que els recomanen gairebé mai no saben que existeixen. L'INCIBE fa anys que avisa dels anuncis amb imatges de famosos que enllacen a notícies falses, i en l'operació d'Alacant els estafadors ja feien servir vídeos manipulats amb IA. El patró es repeteix: et deixen retirar un petit guany al principi perquè confiïs i hi posis més.

La vacuna és en aquest short: et van vendre la inversió com un camí ràpid cap a la riquesa, i la realitat és avorrida, lenta i feixuga. Qualsevol cosa que prometi el contrari mereix sospita automàtica.

Te Han Engañado Con La Inversión #shorts

La regla d'or cap en una línia: ningú legítim no et demanarà mai la frase de recuperació. Ni el suport del teu exchange, ni el fabricant del teu moneder, ni un «tècnic» que t'escriu per Telegram. Si algú te la demana, ja saps què és. El mateix val per instal·lar programes de control remot o dictar codis de verificació.

Que una cosa sigui en una botiga oficial tampoc no és garantia. L'abril de 2026 va aparèixer a l'App Store de Mac una còpia falsa de Ledger Live, publicada per un desenvolupador sense relació amb Ledger, que demanava la frase de recuperació. Segons AppleInsider i BleepingComputer, se li atribueixen uns 9,5 milions de dòlars robats a unes 50 persones abans que Apple la retirés. Ledger només distribueix la seva app d'escriptori per a macOS des del seu web oficial.

Una app falsa de Ledger llegó a la App Store. Descubre cómo evitar esta estafa. #Shorts #cripto

Els wallet drainers són més subtils. A DeFi no només envies diners: també signes permisos. Una web maliciosa (un airdrop, un mint «exclusiu») et demana signar una aprovació que concedeix permís il·limitat per moure els teus tokens, i el moneder et mostra un text tècnic que gairebé ningú no llegeix. Defensa't llegint què signes, fent servir un moneder separat amb poc saldo per experimentar i revocant de tant en tant les aprovacions antigues.

L'address poisoning (enverinament d'adreces) juga amb la mandra. L'atacant genera una adreça que comença i acaba igual que una que fas servir i t'envia una transacció minúscula per colar-se al teu historial. La pròxima vegada que copiïs «la de sempre» des d'allà, li envies els diners a ell. Un estudi acadèmic del 2025 va comptar 270 milions d'intents contra 17 milions de víctimes a Ethereum i BNB Chain en dos anys. Copia sempre des de la teva agenda d'adreces o un QR, revisa l'adreça sencera i fes un enviament de prova.

A finals de juliol de 2026, Coinkite, el fabricant dels moneders freds Coldcard, va publicar un avís de seguretat: per un error de compilació, diverses versions de firmware generaven la llavor amb un generador aleatori de programari feble en lloc del de maquinari. Als Mk4, Mk5 i Q, això deixava uns 72 bits d'entropia en lloc de 128. Cap dispositiu no va ser piratejat a distància: els atacants van provar llavors febles per força bruta, sense tocar l'aparell. Les llavors creades amb almenys 50 tirades de daus pròpies no estaven afectades.

La factura va ser enorme. Segons el recompte de Galaxy Research que recollia TRM Labs el 5 d'agost, uns 1.816 BTC (prop de 116 milions de dòlars) van sortir de més de 5.200 adreces en quatre onades des del 30 de juliol. Al vídeo t'explico què va passar, per què, qui estava en perill de debò i qui no, i aclareixo el que més s'estava confonent: això no és una fallada de Bitcoin.

¿Qué ha pasado con Coldcard? ¿Tú dinero está en peligro?7:15

La clau pràctica és al short: el que importa és amb quina versió de firmware vas generar la llavor, no quina fas servir avui, perquè actualitzar no arregla una llavor ja creada. Si és a la llista de l'avís oficial, mou els fons a un moneder nou generat amb entropia independent (daus) i afegeix-hi passphrase o multisignatura. A més, Galaxy Research va detectar una tercera onada dirigida a saldos petits, així que «en tinc massa poc perquè em busquin» no protegeix ningú.

Exploit de Coldcard: no fue el chip, fue la semilla (cómo comprobar la tuya) #cripto #shorts

I per què és això en una guia d'estafes? Perquè cada incident així porta al darrere una onada de phishing: webs clonades, falsos suports i «eines de comprovació» que només busquen la teva frase. Ho avisava a la descripció del vídeo:

“

Entra només a través del web oficial (coldcard.com). En aquestes situacions apareixen webs falses que imiten l'original per robar-te. MAI no introdueixis la teva frase de recuperació en cap web ni app.

Si estàs pensant en la teva pròpia custòdia, a la guia de moneder fred o calent tens els pros i contres de cada opció.

1. Et prometen una rendibilitat alta sense risc, o fixa cada dia o cada mes.
2. Et contacten ells: trucada, WhatsApp, Telegram, Instagram o una app de cites.
3. Hi ha pressa: «només avui», «últimes places», «si no hi entres ara, la perds».
4. Et demanen la frase de recuperació, la clau privada o un codi de verificació.
5. Et demanen instal·lar una app de control remot per «ajudar-te».
6. Per retirar, primer has de pagar alguna cosa.
7. L'entitat no està autoritzada, no surt al registre d'ESMA o figura a les advertències de la CNMV.
8. Un famós la recomana en un anunci o una «notícia» que no trobes al mitjà real.
9. Et deixen retirar una quantitat petita al principi per guanyar-se la teva confiança.
10. T'ofereixen bons per portar amics i familiars.
11. El web o l'app s'assemblen a l'oficial, però el domini o el desenvolupador no coincideixen.
12. Et demanen signar una transacció que no entens, i amb pressa.

A la descripció del meu vídeo sobre els errors que arruïnen els principiants ho deixo per escrit: no comparteixis mai la frase de recuperació i compra els moneders de maquinari només al web oficial.

7 errores que ARRUINAN a los principiantes en cripto (evítalos antes de perder dinero)12:34

Des de l'1 de juliol de 2026, amb el final del període transitori de MiCA, només poden operar a Espanya proveïdors autoritzats per la CNMV o per una altra autoritat europea, tal com explica la mateixa CNMV a la seva pàgina sobre MiCA (en castellà). Això fa que comprovar-ho sigui més senzill que mai.

1. 01

   Busca l'entitat exacta al registre d'ESMA

   ESMA publica un registre de proveïdors de criptoactius autoritzats (i un altre d'entitats no conformes) que s'actualitza cada setmana; la pàgina de la CNMV hi enllaça. Compte: la protecció de MiCA cobreix l'entitat jurídica autoritzada, no altres empreses del mateix grup amb la mateixa marca.

2. 02

   Mira les advertències de la CNMV

   El seu cercador d'advertències inclou els xiringuitos detectats per la CNMV i les alertes de reguladors estrangers. Si hi surt, s'ha acabat la conversa.

3. 03

   Pregunta si dubtes

   La CNMV atén consultes d'inversors al 900 535 015. Trucar costa cinc minuts; no trucar et pot costar els estalvis.

4. 04

   Comprova el domini i el desenvolupador

   Escriu l'adreça tu mateix o fes servir un marcador, mai l'enllaç d'un anunci. A les apps, revisa que el desenvolupador sigui l'empresa real.

5. 05

   Llegeix qui et presta el servei

   Al contracte o a les condicions hi ha de figurar l'entitat que opera amb tu i el seu país. Si no ho trobes, ja tens la resposta.

Primer, respira. Segon, no paguis ni un euro més, et diguin el que et diguin. Després, en aquest ordre:

1. 01

   Talla el contacte i desa les proves

   Identificadors de transacció (TXID), adreces, captures dels xats, URL, noms d'usuari, extractes i l'hora de cada moviment. Sense el TXID, rastrejar els fons és gairebé impossible.

2. 02

   Truca al teu banc

   Si hi ha targeta o transferències pel mig, bloqueja i comunica les operacions. Segons el Banc d'Espanya, dels càrrecs fraudulents amb targeta anteriors a l'avís en respons com a màxim per 50 euros, llevat de negligència, i els posteriors van a càrrec del banc. Si la transferència la vas fer tu enganyat, recuperar-la és bastant més difícil.

3. 03

   Avisa l'exchange

   Si els fons van passar per una plataforma regulada, explica-li-ho com més aviat millor: pot bloquejar comptes vinculats a l'estafa mentre actua la policia.

4. 04

   Denuncia

   A Catalunya, a qualsevol comissaria dels Mossos d'Esquadra. Els Mossos permeten iniciar algunes denúncies per internet, però les has de validar i signar a comissaria en 72 hores. A la resta d'Espanya, Policia Nacional (la seva Oficina Virtual de Denúncies té la mateixa regla de les 72 hores) o Guàrdia Civil.

5. 05

   Truca al 017 de l'INCIBE

   La Línia d'Ajuda en Ciberseguretat és gratuïta i confidencial, atén de 8.00 a 23.00 tots els dies de l'any i també per WhatsApp (900 116 117) i Telegram (@INCIBE017), amb assessorament tècnic, legal i psicosocial.

6. 06

   Si era un xiringuito, avisa la CNMV

   Ajudaràs a evitar que altres hi caiguin i que l'entitat aparegui a les advertències.

Perquè no arribis a aquest punt, a la secció de wallets, exchanges i seguretat tens més vídeos sobre custòdia, i si hi ha termes que no coneixes, són al glossari. Si comences de zero, la guia per començar en cripto t'estalvia molts d'aquests ensurts. I no oblidis l'avís de risc: això és informació, no assessorament financer.

Més vídeos per protegir les teves criptos

9:10

Las 5 MEJORES wallets frías para proteger tus criptos en 2026 (máxima seguridad)

19 de jul. del 2026 · 718 vis.

20:30

Cómo Crear tu Wallet MetaMask y Pasar Dinero del Exchange sin Perderlo

9 de set. del 2026 · 151 vis.