01 /
Wallet o exchange: quién tiene de verdad tus claves
Cuando compras Bitcoin en un exchange y lo dejas allí, lo que ves en la app es un saldo: en la práctica, una deuda del exchange contigo. Las claves privadas que mueven esos bitcoins las controla la plataforma. Si quiebra, si la hackean o si te bloquea la cuenta, dependes de ella para recuperar tu dinero. Con una wallet propia, lo que se llama autocustodia, las claves son tuyas y ningún intermediario puede bloquearte la cuenta. Eso sí, tampoco hay nadie a quien llamar si las pierdes.
De ahí el dicho más repetido en Bitcoin: «not your keys, not your coins», si no son tus claves, no son tus monedas. No quiere decir que los exchanges sean el enemigo; quiere decir que custodiar es un riesgo y conviene saber quién lo asume. La historia va sobrada de ejemplos. Mt. Gox, que a principios de 2014 movía más del 70 % de las transacciones de bitcoin, suspendió operaciones en febrero de ese año y pidió la quiebra con cientos de miles de bitcoins desaparecidos. FTX quebró en noviembre de 2022, cuando una avalancha de retiradas destapó un agujero de unos 8.000 millones de dólares, y sus clientes se quedaron sin poder sacar su dinero.
En «Wallet vs Exchange» lo explico clarito y sin líos: cuál es más segura, cuándo usar cada una y cómo proteger tu dinero para que nadie te lo pueda quitar.
02 /
La frase semilla: lo que sí y lo que no
La frase semilla, o frase de recuperación, suele ser de 12 o 24 palabras sacadas de una lista estándar de 2048 (el estándar BIP-39 admite de 12 a 24). De ella salen todas las claves de tu wallet. Quien tenga esas palabras tiene tus fondos, desde cualquier dispositivo del mundo, sin necesitar tu móvil ni tu contraseña. Y si la pierdes y además se te estropea el dispositivo, no hay recuperación posible. Las autoridades supervisoras europeas lo dicen sin rodeos: si pierdes las claves privadas, pierdes el acceso y la propiedad de tus criptoactivos de manera permanente e irreversible.
Lo que sí
- Escríbela a mano en papel o grábala en metal, en el orden exacto y comprobando cada palabra.
- Guarda dos copias en lugares distintos, lejos del agua, del fuego y de miradas ajenas.
- Haz una prueba: restaura la wallet con la frase y envía una cantidad pequeña antes de mover lo gordo.
- Valora una passphrase adicional para cantidades serias, sabiendo que si la olvidas tampoco hay vuelta atrás.
Lo que no
- Ni fotos, ni capturas, ni notas del móvil, ni la nube, ni el correo, ni el gestor de contraseñas del navegador.
- Nunca la escribas en una web, un formulario o una app que te la pida «para verificar» o «sincronizar».
- Nunca se la des a nadie: ningún soporte legítimo, de ningún fabricante ni de ningún exchange, te la va a pedir.
- No uses una frase que venga ya escrita dentro de la caja del dispositivo.
Nunca introduzcas ni compartas tu frase de recuperación (seed phrase) en ninguna app, web o con ninguna persona.
En el tutorial de MetaMask hay un capítulo entero sobre cómo guardar la frase semilla sin liarla, además de cómo crear la wallet paso a paso y cómo pasar fondos del exchange a MetaMask y de vuelta para vender. Un detalle que repito en la descripción: descárgala solo desde su web oficial.
Capítulos (5)
03 /
Wallet fría o caliente: cuál necesitas de verdad
Una wallet caliente guarda las claves en un dispositivo conectado a internet: una app en el móvil o una extensión del navegador. Es gratis y cómoda, perfecta para el día a día. Una wallet fría guarda las claves en un dispositivo que firma las operaciones sin exponerlas a internet. Es más incómoda y cuesta dinero, pero reduce muchísimo la superficie de ataque. No hay una mejor para todo el mundo: hay una mejor para tu caso, según cuánto dinero tengas y cómo lo uses.
Capítulos (7)
Si ya tienes claro el tipo, tengo dos rankings: las cinco mejores wallets calientes de 2026 (las gratuitas, las del día a día) y las cinco mejores frías, con sus pegas reales y sus precios. Una regla que repito en los dos: el dispositivo, siempre de la web oficial del fabricante, nunca de segunda mano ni de terceros. Para profundizar, la guía wallet fría vs caliente lo desarrolla con más calma.
Los dos rankings de 2026: wallets calientes y wallets frías
Las 5 MEJORES wallets calientes para tus criptos en 2026 (cuál elegir sin liarte)
· 2.929 vis.
Las 5 MEJORES wallets frías para proteger tus criptos en 2026 (máxima seguridad)
· 718 vis.
Un reparto que funciona para mucha gente: en el exchange, solo lo que vas a operar; en la caliente, lo que usas durante el mes; en la fría, el ahorro. Es una costumbre, no una regla, pero obliga a pensar en cada bolsillo por separado.
04 /
El caso Coldcard: no fue el chip, fue la semilla
A finales de julio de 2026, Coinkite, el fabricante de Coldcard, publicó un aviso de seguridad. Un error al compilar el firmware hizo que varios modelos generaran la semilla con un generador de números aleatorios de software débil, en lugar del de hardware previsto. En los Mk4, Mk5 y Q afectados, las semillas tenían unos 72 bits de entropía en vez de los 128 esperados, y en los Mk2 y Mk3 con firmware 4.0.1 a 4.1.9 el problema era aún mayor. Con tan poca aleatoriedad, un atacante puede calcular las claves por fuerza bruta sin tocar el dispositivo. Según la firma de análisis TRM Labs, a principios de agosto ya se habían vaciado unos 1.816 BTC, más de 100 millones de dólares, de más de 5.200 direcciones.
Lo importante es también lo que no pasó. Coinkite dejó claro que los dispositivos no fueron hackeados ni controlados a distancia, y la criptografía de Bitcoin sigue intacta: el fallo estaba en el momento de crear la semilla. Por eso actualizar el firmware no arregla nada si tu semilla ya se generó con una versión afectada; hay que crear una nueva y mover los fondos. Las semillas generadas con al menos 50 tiradas de dados propias no se ven afectadas.
Capítulos (6)
En el short lo resumí en cuatro pasos para comprobar si tu wallet está afectada:
- 01
Mira con qué firmware la generaste
Lo que importa es la versión con la que creaste la semilla, no la que usas hoy.
- 02
Consulta el aviso oficial de Coinkite
Ahí están las versiones afectadas. Entra escribiendo tú la dirección: en estas situaciones aparecen webs falsas que imitan a la original.
- 03
Si estás en la lista, migra ya
Crea una wallet nueva con entropía independiente, por ejemplo con dados, y mueve los fondos.
- 04
Añade otra capa
Una passphrase o una configuración multifirma (multisig) hacen que una sola semilla no baste para vaciarte.
La lección va más allá de una marca: una wallet fría no es infalible, es tan segura como la semilla que genera. Y otra que se suele olvidar: en el short cuento que Galaxy Research detectó una oleada de barridos dirigida a saldos pequeños. Pensar «tengo demasiado poco para que vengan a por mí» no te protege.
05 /
MiCA explicado en cristiano
MiCA es el Reglamento (UE) 2023/1114, la ley europea de criptoactivos. Las reglas sobre stablecoins se aplican desde el 30 de junio de 2024 y el resto, incluidas las de exchanges y custodios, desde el 30 de diciembre de 2024. Su idea central es sencilla: para prestar servicios de criptoactivos en la UE (custodiar, comprar y vender, intercambiar) hace falta autorización como proveedor de servicios de criptoactivos, lo que en la jerga se llama CASP. Con esa autorización, la entidad puede prestar servicios en otros países de la UE tras notificarlo, el llamado pasaporte europeo.
Para ti, como cliente, lo más útil está en la custodia. Un proveedor autorizado debe separar tus criptos de las suyas, de forma que sus acreedores no puedan reclamarlas si quiebra; responde de las pérdidas que se le puedan atribuir, hasta el valor de mercado de lo perdido; y te envía un estado de tus posiciones al menos cada tres meses. Lo que MiCA no te da: un fondo de garantía de inversiones como el de otros productos financieros, ni protección alguna frente a que el precio se hunda.
Hubo un periodo de transición. Quien ya operaba legalmente con la normativa nacional antes del 30 de diciembre de 2024 podía seguir como máximo hasta el 1 de julio de 2026, y cada país podía acortar ese plazo. España eligió los 18 meses completos; la CNMV es aquí la autoridad competente. Países Bajos, por ejemplo, se quedó en 6. En abril de 2026 ESMA lo dejó por escrito: desde el 1 de julio de 2026, quien preste servicios de criptoactivos a clientes de la UE sin licencia MiCA infringe el Derecho de la Unión y debe dejar de hacerlo.
1 jul 2026
fin del periodo transitorio de MiCA en España (18 meses)
359
proveedores autorizados en el registro interino de ESMA a 30-09-2026
15
de ellos autorizados por la CNMV
1.000 €
a partir de esa cifra, el exchange debe comprobar que tu wallet es tuya
06 /
Binance y el 1 de julio de 2026
El caso que más ruido hizo fue el de Binance. En junio de 2026 retiró la solicitud de licencia MiCA que tenía presentada en Grecia y avisó por correo a sus usuarios europeos, también en España, de que restringía servicios. Desde el 1 de julio pausó sus servicios cripto para clientes de la UE, sin nuevos registros ni depósitos, aunque con los fondos accesibles para retirarlos, y dijo confiar en conseguir una licencia en los meses siguientes. A 30 de septiembre de 2026, Binance no figuraba en el registro interino de ESMA.
Publiqué el vídeo el 30 de junio, justo antes de la fecha: qué es MiCA y por qué existe, el caso Binance y qué pasaba el 1 de julio, cómo proteger tus criptos en tres pasos y el detalle de Hacienda que nadie te cuenta.
Capítulos (5)
En junio de 2026 ESMA explicó qué deben hacer las plataformas que se quedaron sin licencia: dejar de captar clientes y limitarse a permitir que vendas, retires o cierres posiciones, guardando tus criptos solo el tiempo imprescindible para una salida ordenada. Sus clientes, además, no tienen las protecciones de MiCA. Si tienes saldo en una plataforma así, la recomendación oficial es moverlo a un proveedor autorizado o a una wallet propia. Hazlo con calma pero sin dejarlo pasar: con prisas es cuando se copian mal las direcciones.
Al retirar a tu wallet quizá te pidan demostrar que es tuya. No es un capricho: el Reglamento (UE) 2023/1113, aplicable desde el 30 de diciembre de 2024, obliga a los proveedores a comprobar que una dirección autocustodiada pertenece a su cliente cuando la transferencia supera los 1.000 euros.
07 /
Cómo comprobar si un exchange está autorizado
Cinco minutos de comprobación te ahorran muchos disgustos. La regla de oro: busca la sociedad, no la marca. Una misma marca puede operar con varias empresas en países distintos, y solo la que figura en el registro está autorizada.
- 01
Localiza la razón social
En los términos y condiciones de la plataforma aparece la empresa que te presta el servicio y su país.
- 02
Búscala en el registro de ESMA
El registro interino de MiCA de ESMA publica cada semana un archivo con los proveedores autorizados en la UE: nombre, autoridad, fecha, servicios y países en los que los presta.
- 03
Compruébala en la CNMV
Si opera desde España, la CNMV tiene su propio registro de proveedores de servicios de criptoactivos, enlazado desde su página sobre MiCA.
- 04
Mira qué servicios tiene autorizados
Puede estar autorizada para custodiar y cambiar, pero no para todo lo que te ofrece la app.
- 05
Revisa las advertencias
ESMA publica también una lista de entidades no conformes, y la CNMV, sus advertencias sobre entidades no autorizadas.
- 06
Entra siempre escribiendo la dirección
Nada de enlaces de anuncios, mensajes o buscadores: las webs clonadas existen precisamente para eso.
Antes de MiCA, en España existía otro listado: el registro del Banco de España de proveedores de cambio y custodia de monedas virtuales. Era un registro de prevención del blanqueo, no una autorización para operar, y desde el 30 de diciembre de 2024 ya no admite nuevas inscripciones. Si una web te enseña ese registro como si fuera una licencia MiCA, desconfía.
Si buscas plataforma, en «Los 3 MEJORES Exchanges de criptomonedas en 2026 (con licencia MiCA)» comparo tres con licencia MiCA confirmada: cuál es el más seguro, cuál encaja mejor si eres español y cuál tiene las comisiones más bajas, con sus pros y sus contras. Y en el tutorial de OKX enseño el proceso completo con euros, del registro y la verificación a comprar, vender y enviar, además de lo que implica MiCA para ti. El contexto legal lo tienes más desarrollado en la guía de exchanges y MiCA.
Exchanges con licencia MiCA: comparativa y tutorial paso a paso
Los 3 MEJORES Exchanges de criptomonedas en 2026 (con licencia MiCA)
· 1.171 vis.
OKX Tutorial 2026: Cómo Registrarse, Comprar y Vender con Euros | Ley MiCA
· 566 vis.
08 /
Las estafas que más wallets vacían
La mayoría de los robos no rompen ninguna criptografía. Te engañan para que hagas tú el trabajo: escribir la frase semilla donde no debes, firmar lo que no debes o enviar a la dirección equivocada. Estos son los patrones que más se repiten.
- Apps falsas
- En abril de 2026, una app falsa de «Ledger Live» para Mac apareció en la App Store de Apple y, pidiendo la frase de recuperación, robó unos 9,5 millones de dólares a unas 50 personas, según BleepingComputer. Ledger solo distribuye su app de Mac desde su web oficial.
- Phishing y webs clonadas
- Correos, SMS y anuncios que imitan a tu exchange o a tu wallet para que inicies sesión o «verifiques» la cuenta. INCIBE recomienda activar siempre el doble factor (2FA) y descargar las apps solo de fuentes oficiales.
- Falso soporte
- Alguien te escribe por Telegram, Discord o X «para ayudarte» con un problema que no has reportado. Te pide la frase semilla o que instales una app de control remoto. El soporte real no hace eso.
- Envenenamiento de direcciones
- Te llega una transacción minúscula desde una dirección casi idéntica a una que usas, con el mismo principio y el mismo final, para que la copies del historial. Un estudio de 2025 contó 270 millones de intentos y al menos 83,8 millones de dólares perdidos en Ethereum y BNB Smart Chain.
- Inversiones milagro
- Rentabilidades altas «sin riesgo», prisa para entrar y famosos que nunca han dicho eso. Son las primeras señales de alarma que señala INCIBE.
- Recovery room
- Tras una estafa aparece alguien que promete recuperar tu dinero a cambio de un pago por adelantado. Es la segunda estafa. La CNMV recuerda que nunca contacta con los afectados para recuperar pérdidas.
En los shorts tienes tres avisos rápidos: la app falsa de Ledger, por qué el anonimato y la codicia son la tormenta perfecta para los estafadores, y cómo funcionan los mezcladores (mixers) que se usan para esconder el rastro de las transacciones de Bitcoin. Dificultan el seguimiento, pero no son infalibles, así que denunciar siempre tiene sentido.
Tres minutos que pueden ahorrarte un disgusto
Una app falsa de Ledger llegó a la App Store. Descubre cómo evitar esta estafa. #Shorts #cripto
· 317 vis.
Estafas Cripto: ¡No seas la próxima víctima! #shorts
· 376 vis.
Cómo Los Mixers Hacen Invisibles Tus Transacciones Bitcoin #shorts
· 791 vis.
09 /
Checklist antes de mover un euro
- Comprueba en el registro de ESMA o en el de la CNMV la sociedad concreta con la que vas a operar.
- Activa el doble factor con una app de autenticación y usa una contraseña única para el exchange.
- Deja en el exchange solo lo que vas a operar; el resto, en tu wallet.
- Escribe la frase semilla a mano, guarda dos copias y prueba la restauración con poco dinero.
- Compra la wallet fría solo en la web oficial del fabricante.
- Antes de un envío grande, manda una cantidad de prueba y revisa la dirección entera, no solo el principio y el final.
- Nunca compartas la frase semilla ni instales apps de control remoto porque alguien te lo pida.
- Si una oferta promete mucho, rápido y sin riesgo, ya sabes la respuesta.
Si estás empezando, la guía de cómo empezar en cripto te ordena los primeros pasos, el glosario te traduce la jerga y en los vídeos para principiantes tienes el resto de la base.
FAQ /