Cada día miles de personas caen estafadas en Telegram, X, WhatsApp y grupos de Discord. No son solo principiantes — veteranos con siete años de experiencia también se quiebran. Según una estadística interna que OKX dejó circular el año pasado, las pérdidas globales por firmas de autorización phishing superaron los 2.100 millones de dólares en el año. Estas ocho son las estafas que vi más en los últimos siete años. Cada case study está desmenuzado: cómo empieza el guion, qué hacen técnicamente debajo, por qué la gente inteligente también muerde el anzuelo. Reconocer cada una te ahorra, como mínimo, un año perdido.
Falso soporte de exchange · te toma el control remoto de la cuenta
Guion típico
Tu cuenta «tiene un problemita» — recibes un SMS de «retiro fallido» o un email tipo «inicio de sesión anómalo desde IP en el extranjero». En 2024 el negocio del falso soporte se industrializó: en una semana en Telegram se cruzan cinco a ocho mensajes privados de supuesto «soporte Binance», y ni uno solo es real. Pocos minutos después, un «agente» te agrega por Telegram o te llama directo al móvil. La voz es amable, te saluda con tu nombre real, y te pide instalar una «herramienta de asistencia remota» (TeamViewer o AnyDesk) «para revisar el problema rápido». Vos la instalas.
El «agente» se sienta en tu computadora para «reparar el problema», y tú miras el cursor moverse — ingresa al exchange, modifica permisos de API, mueve fondos hacia afuera. No te animás a tocar nada porque el «agente» te está explicando cada paso. Para cuando reaccionás, la cuenta está vacía.
Mecánica técnica
- El estafador parte de filtraciones de bases de datos de exchanges (caso filtración KYC de Binance en 2022, filtración de emails de OKX en 2023, entre otras) con tus datos reales.
- Falsifica SMS y emails (SMS spoofing, phishing email) para hacerte creer que hubo un incidente real.
- El golpe efectivo viene en el momento de la «asistencia remota» — le diste control sobre tu pantalla, y 2FA / Google Authenticator quedan eludidos porque eres tú mismo el que confirma cada operación.
Defensas
- Ningún soporte legítimo te contacta de manera proactiva por Telegram, WhatsApp o teléfono. Cualquier «agente» que te escribe primero es, con certeza del 100%, un estafador. Si necesitas soporte, busca el chat oficial dentro de la app del exchange.
- Nunca instales TeamViewer, AnyDesk o herramientas similares para personas que no conocés. Aunque el «agente» insista que es una «herramienta oficial».
- Si pasa algo con la cuenta, entra tú mismo a la app del exchange y revisa los anuncios y los tickets. No confíes en links que vienen por SMS o email.
- Si tienes dudas sobre una herramienta, verificá primero en la cuenta oficial de Twitter del exchange. Ningún empleado oficial te va a pedir permisos remotos.
Caso real · 30.000 USDT en 18 minutos
En 2023 una usuaria mexicana publicó en redes: a las 10 de la noche recibió una llamada de quien decía ser «departamento de control de riesgos de Binance». El interlocutor manejaba su nombre completo, los últimos cuatro dígitos del móvil y el monto de la última operación — y le dijo que «la cuenta tiene un acceso desde IP de Ucrania, necesitamos validar identidad». Ella instaló AnyDesk siguiendo las instrucciones, la supuesta «validación» fue en realidad habilitar permisos de escritura en la API y desactivar la verificación SMS de retiros. Dieciocho minutos después, los 30.000 USDT salieron en lotes hacia seis direcciones distintas. El rastreo on-chain mostró que los fondos terminaron en el mezclador Tornado Cash; hasta hoy no se recuperaron. Para casos internacionales como este, la tasa histórica de recuperación está sostenida por debajo del 5%, y abrir una causa formal toma seis meses o más.
«El gurú con señales» · eres combustible para sus VIP
Guion típico
En X o en TikTok aparece un «trader millonario». Postea capturas de ganancias, fotos del Ferrari, transferencias de seguidores agradeciéndole. Te invita a un grupo gratis de Telegram, tira algunas señales gratuitas — casualmente, las tres primeras pegan, y tú sacaste algo. El tipo parece un genio. Después el «gurú» dice: «se viene la oportunidad del año, esta hay que ir con 10× apalancamiento». Vos cargás fuerte. Te liquidan. Volvés al grupo: te bloquearon.
Lo brillante del guion es la secuencia «primero dulce, después amargo» — las primeras señales son reales, pero el «gurú» tiene mil novatos en su pipeline, manda «comprar» a la mitad y «vender» a la otra mitad. Los que ganan se quedan, los que pierden son descartados. A la próxima ronda vuelve a dividir a los ganadores en dos mitades. Después de tres o cuatro rondas, los «afortunados» que quedaron creen que el gurú es un dios. Y entonces les pega el último golpe.
Mecánica técnica
- El 95% de las capturas de «ganancias» en los grupos son retoque digital o cuentas de demo. Las cuentas verificables on-chain son rarísimas.
- Los «compañeros del grupo» que postean «¡el gurú la clavó otra vez!», «¡yo ya gané 50 lucas verdes!» son en buena parte bots con guion preestablecido.
- El nivel más cínico es «el broker que te tira al ring»: el «gurú» tiene un acuerdo con la plataforma sin licencia donde te abres cuenta, y cuando te liquidan, una parte del PnL adverso queda en su bolsillo. Esa plataforma a menudo no es ni un exchange real — directamente no puedes retirar.
Defensas
- Los traders realmente buenos no postean señales públicas — lo que ganan tradando supera por lejos lo que sacarían cobrando una suscripción VIP.
- Cualquier «gurú» que te cobre una membresía + te empuje a abrir cuenta en una plataforma poco conocida = 100% estafa.
- Si ves un «gurú» mostrando capturas de PnL, exigí que muestre una dirección de wallet on-chain verificable, no capturas del exchange.
- Mirá la distribución temporal de los mensajes de «¡felicitaciones, gané plata!» en el grupo: si se concentran en una ventana de cinco minutos justo después de cada call del gurú, son bots.
Variante · «copy trading» en plataformas reguladas
En los últimos dos años apareció una variante más sofisticada: en plataformas legítimas de copy trading (tipo Bitget Copy Trading), algunos «traders top con ROI exhibido» inflan deliberadamente una cuenta apalancada para llamar la atención — cuando los seguidores los copian, abren posiciones inversas en otra cuenta paralela. Los seguidores se liquidan, su cuenta paralela captura las posiciones del otro lado. Este movimiento es imposible de detectar incluso en plataformas reguladas, porque la plataforma no puede distinguir «operación real» de «juego sucio coordinado». Solo copiá traders con historial mínimo de un año, drawdown máximo < 30% y curva de equity suave. No te dejes llevar por ROIs mensuales explosivos — los mejores meses suelen ser preámbulo del peor.
Approve phishing · una firma te vacía la wallet entera
Guion típico
Ves un anuncio de airdrop de un proyecto NFT, o un producto DeFi con rendimientos absurdamente altos. Hacés clic (la URL se ve casi idéntica a la oficial, con una letra de diferencia), conectas tu MetaMask, tocás «Claim Airdrop» o «Stake Now», aparece el popup de firma en MetaMask y tú lo confirmas pensando que es la firma de rutina. En el siguiente segundo, tu USDT, ETH y WBTC desaparecieron.
Mecánica técnica
- Pensaste que firmaste «claim airdrop», en realidad firmaste
approve(direccion_del_atacante, MAX_UINT256)— le diste al atacante autorización ilimitada de gasto sobre tus tokens. - Versión más cruel:
setApprovalForAll(atacante, true)— le diste permiso de transferencia sobre todos tus NFTs de esa colección. - Lo nuevo de 2024 es «Permit2 phishing»: aprovecha el mecanismo EIP-2612 que permite gastar USDC con solo una firma sin tener que hacer una transacción on-chain previa. Más difícil de detectar porque no deja huella de interacción on-chain antes del robo.
Defensas
- Cualquier popup de la wallet — fijate primero qué función te está pidiendo firmar: Transfer = transferencia (monto visible); Approve = autorización (peligroso); Sign Message = firma de mensaje (en general inocua, pero atención con Permit2).
- Antes de reclamar un airdrop o usar un DeFi nuevo, validá la URL carácter por carácter y verificá una segunda vez en la cuenta oficial de Twitter/Discord del proyecto.
- Usá una wallet separada para operaciones de alto riesgo — por ejemplo, una «wallet de airdrops» con solo el ETH justo para gas; la wallet principal nunca toca esos contratos.
- Periódicamente entrá a
revoke.cashy revisá qué contratos tienen autorización sobre tu wallet, revocá los que no usas (cada revoke cuesta un poco de gas). - Usá una hardware wallet en modo seguro: las firmas tipo Approve van a mostrar los datos completos antes de confirmarlas.
Caso real · Ledger Connect Kit envenenado (diciembre 2023)
La librería Connect Kit de Ledger, que la propia compañía publicaba para que los DeFi se conectaran a sus wallets, fue alterada maliciosamente por un ex-empleado.
Durante cinco horas, todos los sitios DeFi que la usaban — SushiSwap, Zapper, hasta la propia Revoke.cash, entre otros nombres conocidos — quedaron convertidos en sitios de phishing potenciales.
Cualquier usuario que conectara su wallet y firmara estaba activando una autorización que vaciaba sus fondos.
Las pérdidas totales rondaron los 600.000 dólares.
Lo más irónico es que la propia Revoke.cash quedó comprometida —
lo que muestra que incluso las «herramientas confiables» pueden volverse vector de ataque de un día para otro.
La wallet operativa de DeFi tiene que estar separada de la wallet principal,
sí o sí, sin segunda opción.
Airdrops envenenados · aparecen tokens raros en tu wallet
Guion típico
Abrís MetaMask y aparece un token nuevo en tu wallet — llamado «Visit Site Claim Reward», o «$25000_USDT_Reward». La cantidad es grande, parece valer una fortuna. Hacés clic queriendo venderlo, te dice «pasá por el sitio oficial para reclamar la recompensa», te lleva a una página que se ve profesional, te pide conectar wallet y firmar. Firmás. Adiós USDT/ETH.
Mecánica técnica
- El estafador usa la función
airdroppara enviar masivamente «tokens» a cientos de miles de direcciones (cuesta solo el gas, nada más). - Estos tokens son honeypots: los ves en la wallet pero no puedes venderlos. El contrato tiene cableado que «solo direcciones específicas pueden hacer transfer».
- El nombre del token incluye la URL del sitio phishing, para inducirte a visitarlo.
- Una vez en el sitio, la mecánica es la misma del CASE 03: firmás un approve, te vacían.
Defensas
- Si aparece un token raro en tu wallet, 99% es estafa — escondelo y no interactúes.
- En los exploradores de bloques (Etherscan / OKLink) estos tokens aparecen marcados como «Spam» o «Phishing», y los puedes bloquear directamente desde ahí.
- Los airdrops oficiales se anuncian con anticipación por Twitter/Discord oficial del proyecto. Suelen requerir que tú hagas claim manualmente — nunca «aparecen mágicamente» en la wallet.
- Si ves un airdrop tentador, esperá 24 horas antes de decidir — los airdrops reales no caducan en 24 horas.
Señales para distinguir airdrop real de fake
- Airdrop real: cuenta oficial del proyecto (verificada con historial coherente) anuncia con semanas de anticipación → snapshot → sitio de claim en dominio oficial → habitualmente tú tienes que firmar manualmente para reclamar (el contenido de la firma es un mensaje simple, no un approve).
- Airdrop falso: aparece «de la nada» en tu wallet → nombre del token con URL embebida → sitio para «reclamar» en dominio extraño (.xyz / .top / .live son los preferidos) → te pide approve sobre un token de monto alto apenas conectas.
Uniswap, Arbitrum, Optimism y ENS son ejemplos históricos de airdrops reales — todos siguieron el patrón anterior. Si dudás si un airdrop específico es real, lo más simple es ir al Discord oficial del proyecto y buscar en el canal de anuncios. Ahí va a decir explícitamente «ya terminó» o «no existe».
Exchange clonado · dominio look-alike y app fake
Guion típico
Buscás «Binance descargar» en Google, haces clic en el primer anuncio, bajás una app, la interfaz es idéntica a la real. Hacés KYC, depositas, operas — todo normal. Pasan meses. Querés retirar, la app te dice «para completar el retiro, primero hay que pagar la regularización fiscal: transferir 1.000 USDT a la dirección de verificación». Pagás. Te pide más. Pagás otra vez, ya empezás a desconfiar — pero a esa altura el saldo de tu cuenta no se ve más por ningún lado.
Mecánica técnica
- El estafador registra dominios parecidos (binance-cn.app, binance.live, etc.) y los promociona en buscadores.
- La app es un clon visual del frontend oficial, pero el backend es la base de datos del estafador — tu «depósito» va directo a la wallet del estafador, y la app simula el saldo en pantalla.
- En iOS estas apps se distribuyen vía «certificado empresarial» (no pasan el filtro de la App Store). En Android se instalan como APK desde fuera de Google Play.
Defensas
- No bajes apps de exchanges desde anuncios de buscador. Bajalas directo desde App Store / Google Play, o desde el sitio oficial del exchange marcado en favoritos.
- Para iOS: si una app te pide instalar un «perfil de configuración» o un «certificado empresarial», 99% es falsa. Los exchanges legítimos están todos en App Store.
- Antes de depositar grande, hacé una prueba de retiro pequeña primero — si el retiro sale sin problema, es una plataforma real.
- Cualquier «garantía para retirar» con la excusa que sea = 100% estafa. Los exchanges legítimos no te piden depositar más para retirar.
Trucos comunes de los dominios falsos
Los dominios falsos suelen usar uno o varios de estos métodos para hacerse pasar por el original:
- Sustitución de letras: binance con la i minúscula reemplazada por L minúscula (binance vs blnance) — en muchas tipografías son casi indistinguibles.
- Sustitución de TLD: binance.com pasa a binance.app, binance.live, binance.io — el sufijo cambia pero el nombre se mantiene.
- Subdominio engañoso: binance-cn.com, binance-official.com — agregan algún sufijo que parece oficial.
- Punycode homoglífico: usan caracteres del alfabeto cirílico o de otros bloques Unicode que se ven como a/e/o pero son letras distintas.
Guardá el dominio oficial en favoritos del navegador, y de ahí en más entrá siempre desde el favorito, no desde buscadores ni desde links de mensajes. Es la defensa más simple y a la vez la más eficaz.
Adónde van los fondos del exchange falso
Lo que «depositas» al exchange falso suele moverse en 10-30 minutos hacia afuera, siguiendo un patrón de blanqueo en tres pasos: primero a una wallet caliente colectora, después se dispersa en decenas de direcciones intermedias, y finalmente confluye en un mezclador (Tornado Cash) o pasa por un puente cross-chain (a Tron o Solana donde después se rotan a otras monedas). Las bandas industrializadas comprimen todo el proceso en menos de dos horas, dejando una ventana de reacción muy chica para la víctima. Por eso la «prueba de retiro» tiene que hacerse antes de depositar fuerte — si la haces después, aunque descubras que la plataforma es falsa, la plata ya está en la cadena de blanqueo y la recuperación es prácticamente imposible.
Pig butchering · romance a distancia + «plataforma de ganancia garantizada»
Guion típico
En Tinder, Bumble o Hinge te aparece una mujer (o un hombre — los géneros se invierten según el target) supuestamente «ejecutiva de banca de inversión», trabajando en Singapur, Hong Kong, San Francisco o Madrid. Las fotos son reales, atractivas, y la conversación fluye natural. Te habla varias semanas sobre la vida, el trabajo, la familia, y de a poco menciona que su tío tiene un «sistema interno» que da rendimientos seguros en cripto trading, que ella misma saca un 5-10% por semana, y te tienta a probar con poco.
Vos invertís 1.000 dólares, te ganás 200, retirás sin problema. «¿Ves?», te dice, y te empuja a meter 10.000, 50.000, 100.000. Llega un punto, ya con todo dentro, quieres retirar todo: la plataforma te pide «depositar margen adicional». Si no depositas, te congelan los fondos. Si depositas, te piden más. Las llamadas que hacías con tu interlocutora ya no entran. Ella desapareció de WhatsApp y Tinder, todo el personaje era una construcción de cero.
Mecánica técnica
- La «ejecutiva de banca» es un personaje construido. Las fotos del perfil suelen estar robadas de Instagram a alguna influencer.
- La «plataforma de ganancia garantizada» la levantó el propio estafador. El frontend está cuidado, el backend es un videojuego de números — la plata que ingresás va directo al bolsillo del estafador.
- Los retiros pequeños del comienzo son el costo de generar confianza. Los retiros grandes del final, garantizado, nunca se concretan.
Defensas
- Cualquier «oportunidad cripto» que te llega presentada por un desconocido que te conoció online = pig butchering. Es la estafa más violenta de los últimos cinco años. El FBI registró 3.500 millones de dólares solo en 2023, y el FMI estimó pérdidas globales aún mayores incluyendo las no denunciadas.
- Cuando alguien que conociste online te empuja a bajar una app o registrarte en una plataforma específica, 99% es el primer movimiento del pig butchering.
- Durante videollamadas, observá detalles: muchos estafadores ya usan deepfake en tiempo real con AI, y tienen microdesincronización entre labios y voz, frecuencia de parpadeo anormal y otros tells.
- Inversión real + relación real, nadie te enseña «sistemas internos» después de tres semanas de conocidos.
Anatomía industrial del pig butchering
El término «pig butchering» (del chino «sha zhu pan», traducido literal «matanza del cerdo») describe la mecánica completa: engordar a la víctima (cultivar confianza + hacerla meter cada vez más) y después carnearla (sacar la plata y desaparecer). Es la estafa cripto más completa e industrializada de los últimos cinco años, y opera con cadena de valor formal:
- Equipo de captación: en Tinder, Bumble, Hinge, Instagram, TikTok, usando perfiles atractivos para sumar contactos masivamente. Un captador agrega 200+ targets por día.
- Equipo de conversación: mantiene el personaje «amor/amistad + ejecutiva financiera», sigue un manual emocional (buenos días/buenas noches, anécdotas, infiltración gradual del tema inversión). Un conversador maneja decenas de targets en paralelo.
- Equipo técnico: monta la plataforma falsa + el dashboard, simula «saldo creciendo mes a mes» con datos inventados.
- Equipo de blanqueo: mueve los USDT robados por mezcladores, puentes cross-chain, OTC on-chain y P2P en distintos exchanges.
Las bases de operación más conocidas están en el norte de Birmania y en Camboya, regiones de baja capacidad de enforcement. Lo recuperado de los fondos robados suele ser menor al 10%. Una operación coordinada del FBI en 2023 elevó la tasa a ~12%, pero sigue siendo categoría «prácticamente no se recupera». El único método realmente eficaz es no morder el anzuelo — cualquier desconocido que te enseña «cómo ganar plata» se asume default como estafador, sin segunda evaluación.
Address poisoning · creíste copiar tu propia dirección
Guion típico
Tenés una dirección de cobro habitual 0xabc123...def456.
Vas a hacer una transferencia, copiás la dirección desde el historial de Etherscan (miras solo los primeros y últimos cuatro caracteres por costumbre).
Pegás, controlas de un vistazo, confirmas, firmás, mandás.
La plata llegó a una dirección «poisoning» con los mismos primeros cuatro y últimos cuatro caracteres que tu objetivo —
pero distinta. La plata se fue.
Mecánica técnica
- El estafador corre crawlers sobre la cadena monitoreando transferencias de wallets con saldos altos.
- Cuando ve tu dirección de transferencia reciente
0xabc123...def456, usa un vanity address generator para crear una dirección phishing con los mismos primeros y últimos caracteres (es brute-force con GPU, tarda algunas horas pero es barato). - Después manda desde esa dirección phishing una transferencia de valor cero hacia tu wallet (0,000001 ETH o un token falso) — así, la próxima vez que abres Etherscan, ves una «contraparte reciente» con dirección casi idéntica a tu objetivo.
- Si copiás distraído desde el historial de transacciones, caés.
Defensas
- Cuando haces una transferencia, siempre copiá la dirección completa y validá la dirección completa — no solo los primeros y últimos cuatro caracteres, jamás.
- Copiá direcciones desde fuentes confiables (la libreta de direcciones de tu wallet, un .txt propio), no desde el historial de transacciones.
- Para transferencias grandes, mandá primero una transferencia de prueba pequeña (1 USDT), confirmá que llegó al destino correcto, y después mandá el monto principal.
- Usá la función de whitelist de direcciones que ofrecen wallets como MetaMask, Coinbase Wallet y otras. Solo se permite transferir a direcciones previamente agregadas.
Caso real · pérdida de 68 millones USD por address poisoning (mayo 2023)
En mayo de 2023, una whale anónima quiso mandar 68 millones de USDT a su propia cold wallet, y por error copió una dirección de poisoning desde el historial de transacciones (primeros y últimos cuatro caracteres idénticos). La plata fue directo a la wallet del atacante. Después de varias horas de seguimiento on-chain y presión de la comunidad, el atacante terminó devolviendo los fondos — es el caso más dramático de address poisoning hasta hoy, pero el 99% de las víctimas no recupera nada. A partir de ese episodio, la comunidad de hardware wallets adoptó como funcionalidad obligatoria «mostrar la dirección completa al firmar». Ledger, Trezor y otras marcas top muestran ahora por defecto los 40 caracteres completos de la dirección, y el usuario tiene que pasar varias pantallas hasta poder confirmar.
Backdoor en contrato · rug pull, el equipo desaparece de noche
Guion típico
Un nuevo farm DeFi muestra un APY de 5.000%. Ves KOLs retuiteando, el grupo de Telegram está activo, el equipo del proyecto dice «ya auditados». Hacés stake de algunos miles de USDT, a las 24 horas volvés a mirar, pool de liquidez en cero, el token en cero, la cuenta de Twitter del equipo eliminada, todos los canales de contacto desaparecidos.
Mecánica técnica
Los backdoors del rug pull tienen muchas variantes, las más comunes:
- Función Mint sin límite: el equipo puede emitir tokens infinitos cuando quiera, después los descarga al mercado.
- Owner puede retirar liquidez: la LP está controlada por el equipo, con un solo botón se llevan casi todo el USDT/ETH del pool y desaparecen.
- Función Blacklist: pueden bloquear a direcciones específicas para que no vendan el token (tú compras, no puedes salir).
- «Auditoría falsa»: dicen «auditado por CertiK / PeckShield», pero la captura es Photoshop o el contrato auditado es distinto al desplegado.
Defensas
- Cualquier proyecto con APY arriba del 100%, 98% es ponzi o rug pull. Los rendimientos on-chain sostenibles están en el rango 5-30% APY.
- Revisá los permisos del owner del contrato — si puede mint sin tope, pausar el contrato, o blacklistear usuarios, equivale a darle control absoluto al equipo.
- Revisá si la liquidez está bloqueada. Unicrypt o Team Finance con un lock de 1 año o más son relativamente seguros; sin lock, pueden irse en cualquier momento.
- Revisá la auditoría — CertiK, Trail of Bits, OpenZeppelin y Halborn son las firmas de auditoría top. El reporte tiene que estar publicado en el canal oficial de la firma (buscable en certik.com, por ejemplo), no en un PDF cargado por el equipo del proyecto.
- Empezá con monto chico, así si todo se quema, queda como costo de aprendizaje. En proyectos nuevos, no entres en la primera semana, no metas grueso en el primer mes.
Rug pulls emblemáticos de los últimos años
- Squid Game Token (noviembre 2021): aprovechando el hype del Squid Game de Netflix, 10.000× en cinco días, después cash out total del equipo. Pérdida ~3,3 millones USD.
- AnubisDAO (octubre 2021): imitación de OlympusDAO, levantó 60 millones USD en ETH en unas pocas horas, el equipo transfirió todo en una sola operación.
- Snowdog (noviembre 2021): imitación de Wonderland, en las primeras 24 horas el owner activó un backdoor preinstalado y sacó 10 millones USD.
- Mantra (abril 2025): proyecto ya auditado, listado en varios CEX, con varios miles de millones de market cap, un día cae 90% repentino — se sospecha venta interna coordinada por el equipo.
La regla a aprender: market cap alto + tiempo en producción + listado en CEX = NO equivale a inmune al rug pull. A Mantra todos lo veían como «proyecto mainstream regulado». Nunca bajes la guardia con un proyecto solo por su tamaño.
§ Los números · radiografía de la industria
El reporte de Chainalysis 2024: el volumen total recibido por direcciones vinculadas a crimen cripto alcanzó los 51.000 millones de dólares globales, de los cuales 9.900 millones son scams claramente identificados, 2.200 millones son hacks / robos, y 1.200 millones son ransomware. Estos números cubren solo lo rastreable on-chain; el pig butchering y otros fraudes con componentes off-chain probablemente sumen entre 20.000 y 30.000 millones más.
Desglose por tipo:
- Phishing / Approve ~35%, el vector de ataque más común.
- Pig butchering ~25%, pero con la pérdida promedio más alta por víctima (50-100 mil USD por caso).
- Rug pull ~20%, zona de desastre del DeFi temprano, ya bajando en 2024.
- Exchanges falsos / plataformas falsas ~12%, víctima preferida del retail asiático e hispanohablante.
- Otros (address poisoning, deepfake AI, MEV on-chain, etc.) ~8%, pero la categoría que más crece.
Lo recuperado del total no supera el 5%. Por eso «defenderse >> recuperar» — una vez que caíste, la plata prácticamente nunca vuelve.
§ Cinco reglas universales que valen para los ocho casos
Los ocho cases de arriba son distintos en mecánica, pero la lógica base es la misma: usan dos debilidades humanas: la codicia y el miedo. El APY alto activa la codicia, «tu cuenta tiene problemas» activa el miedo y te bloquea el juicio, «airdrop por tiempo limitado» activa el FOMO. Para estos ocho ataques, las cinco reglas que siguen valen más que cualquier truco específico:
- Cualquier «oportunidad» que llega proactivamente desde el otro lado = estafa por default. El «soporte» que te escribe, la «ejecutiva financiera» que aparece, el «airdrop» que te cae, el «compañero del grupo» que comparte un dato — por default, todo. Necesitás dos veces la evidencia normal para dejarlo pasar.
- Gestión por capas de wallets: principal (cold wallet), interactiva (hot wallet, poco ETH para gas), de airdrops (wallet aislada, solo toca contratos no confiables). Los tres no se cruzan, comprometer uno no afecta a los otros.
- Antes de firmar, mirá la función — si no entendés qué es, cancelá y empezá de nuevo. Cualquier ambiente que te apura «firma rápido o lo perdés», 100% es estafa.
- Regla de las 24 horas de enfriamiento: cualquier «oportunidad por tiempo limitado» se evalúa con 24 horas de delay. Las oportunidades reales no caducan en 24 horas; las falsas no te dejan enfriar.
- Auditá tus autorizaciones periódicamente: una vez al mes pasá por revoke.cash y revocá los contratos que ya no usas; una vez al mes limpiá los tokens raros que aparecieron en la wallet.
Primer reflejo: transferí los activos restantes a una wallet nueva (cortás más pérdidas);
De inmediato: con revoke.cash revocá todos los approve de la wallet comprometida;
Denuncia: en España a Policía Nacional grupo de Delitos Telemáticos + CNMV; en México CONDUSEF + UIF; en Argentina UFEch y UIF; complementariamente FBI IC3 para casos transfronterizos;
Rastreo: usá Chainabuse o MistTrack para marcar la dirección del estafador (muchas no se recuperan, pero ayuda a frenar al próximo);
Recordá: cualquier persona que te escribe después diciendo «yo te puedo ayudar a recuperar» (incluido «abogados cripto» o «expertos en seguridad»), 90% es una estafa secundaria. Te van a cobrar «honorarios de investigación previa» y desaparecen.
Multisig + timelock · defensa avanzada
Para usuarios con activos relevantes, dos movimientos avanzados valen la pena:
- Wallet multisig: Gnosis Safe en configuración 2/3 o 3/5, significa que comprometer una sola clave privada no pierde la plata — se necesitan varias firmas independientes para mover fondos. Apropiado para reservas familiares, fondos de equipo, HODL de largo plazo.
- Timelock: transferencias grandes requieren un delay de 24-72 horas, durante el cual la operación se puede cancelar. Esto te da ventana de «rescate posterior». MakerDAO y otros protocolos DeFi importantes usan este mecanismo para sus tesorerías.
La contra es operación más compleja, no apto para trading frecuente, pero perfecto para la posición HODL de largo plazo en BTC/ETH. Una vez configurado, el costo de mantenimiento operativo es casi cero, y el upgrade de seguridad es sustancial.
§ Por qué la gente inteligente también cae
Una observación contraintuitiva: entre las víctimas que vi, muchas son programadores, médicos, abogados, ejecutivos — gente con coeficiente alto. Tres razones:
- Cuanto más inteligente, más cree que puede detectar la estafa — y entonces, en una tarde cansada, un popup que se ve «profesional», hace clic en «confirmar» en piloto automático. La autoconfianza es la puerta de entrada principal.
- Las técnicas avanzan, tu conocimiento es de una sola vez — sabías Approve phishing en 2020, pero Permit2 phishing de 2024 es un mecanismo nuevo que tal vez ni escuchaste nombrar. La defensa necesita actualización constante, leer este tipo de artículos no es algo que se haga una sola vez.
- La emoción evade la razón — la «confianza» cultivada por el pig butchering, la euforia colectiva del grupo del «gurú», la urgencia de «el airdrop ya se va» — todo activa el modo no-racional del cerebro. Reconocer esto, forzarte a enfriar 24 horas antes de cualquier operación de «alta emoción», ya te saca del 80% de las estafas.
§ Ataques nuevos · los tres que más crecieron en 2024-2026
Las técnicas cambian todos los años. Estos tres son los que más crecieron en los últimos dieciocho meses y merecen atención especial:
1. Deepfake de video y clonación de voz suplantando a familiares
El estafador junta fotos y videos cortos de tus amigos/familiares desde redes sociales, los pasa por un modelo de AI y genera un video de «pedido de auxilio» — «estoy en una situación complicada con la policía, necesito que me transfieras urgente 5.000 USDT, después te devuelvo». En la videollamada, las expresiones y el movimiento de labios son casi indistinguibles del original, y la voz está clonada. Defensa: para cualquier pedido urgente de plata por video o audio, usá una palabra clave acordada previamente (por ejemplo, «¿cómo se llamaba mi perro de cuando éramos chicos?» — algo que AI no puede saber).
2. Sandwich attacks on-chain (MEV) y phishing en la ruta de orden
Cuando operas en Uniswap, PancakeSwap u otro DEX, bots especializados monitorean tu transacción pending, compran antes que tú (empujando el precio para arriba) y venden después de la tuya (capturando el slippage). Esto no es «estafa» técnicamente — es «extracción on-chain» — pero el efecto es el mismo: lo que pagaste de más en slippage va directo al bolsillo del bot. Defensa: usá un RPC con protección MEV (MEV Blocker, Flashbots Protect), o operá directamente en CowSwap o 1inch Fusion (DEX con «liquidación privada»).
3. Falsos «abogados cripto» de recuperación · la estafa secundaria
En el peor momento post-estafa, suele aparecerte alguien en X o LinkedIn: «Vi tu historia, nuestro estudio se especializa en recuperar activos cripto, tasa de éxito 70%+, solo pagas 2.000 USDT de honorarios iniciales de investigación…» Después de pagar los honorarios el «abogado» desaparece, o sigue pidiéndote «honorarios de traducción, costo transfronterizo, fianza». Defensa: post-estafa, cualquier «experto» que te contacta proactivamente = estafa secundaria, por default. Si quieres efectivamente perseguir el caso, hacelo por canales oficiales: Chainalysis, CipherTrace, TRM Labs son empresas reales, pero no contactan particulares vía DM — todas trabajan bajo convenio con autoridades.
§ Perspectiva para lectores hispanohablantes (Argentina, México, España, El Salvador)
Las ocho estafas de arriba son genéricas — funcionan igual en cualquier país. Pero en los últimos cinco años hubo casos emblemáticos específicos en el mundo hispanohablante que vale tener presentes. Esta sección no aparece en la versión china original.
Argentina · «Generación Zoe» y el esquema piramidal de Cositorto
Es probablemente el caso más mediático de estafa cripto-financiera en Argentina de los últimos años. Leonardo Cositorto fundó «Generación Zoe» como supuesta plataforma de «coaching y trading institucional» con prometida ganancia mensual del 7,5% sobre depósitos en USDT. El esquema funcionó como una pirámide clásica: pagaban con plata de los que entraban después. El monto involucrado, según las distintas causas que se abrieron, superó los 250 millones de pesos argentinos en denuncias formales, con miles de damnificados en Argentina y replicación del modelo en Colombia, Panamá y otros países latinoamericanos. Cositorto fue detenido en República Dominicana en 2022, extraditado a Argentina, y condenado en 2024. El takeaway estructural: el guion combinaba la estética del CASE 02 (gurú con señales) con el CASE 06 (relación de confianza prolongada) y el CASE 08 (estructura ponzi). Reconocer que el rendimiento mensual del 7,5% fijo no existe en ningún mercado del mundo habría detenido todo a la primera reunión.
México · fraude Iconito y la avalancha de plataformas falsas
En 2023, la plataforma Iconito (también referida como ICBPI en algunas notas de prensa) terminó implosionando dejando miles de usuarios mexicanos sin acceso a fondos. Era una plataforma que ofrecía «yield del 18% anual en USDT» con frontend pulido y publicidad en redes con influencers locales. Casos similares con otras marcas se acumularon ese mismo año en CDMX, Guadalajara y Monterrey — plataformas que no tenían registro ITF ante la CNBV, operaban sin supervisión, y desaparecieron con el dinero de los depositantes. La señal de alerta más clara, en todos los casos, fue la falta de registro ITF ante la CNBV mexicana. Bitso, por contraste, tiene registro ITF desde el comienzo, opera supervisado, y nunca tuvo un evento de impago a usuarios. El takeaway: cualquier plataforma operando en México sin registro ITF visible en la CNBV se asume default no confiable.
España · «Innova Capital» y la línea CNMV
En España, entre 2022 y 2023, varios esquemas piramidales cripto operaron bajo nombres similares a fondos legítimos. «Innova Capital» fue uno de los más mediáticos: prometían rendimientos del 12-18% anual con trading cripto «automatizado por IA». La Audiencia Nacional emitió sentencias en 2024 contra los responsables de varios de estos esquemas. Las pérdidas declaradas superan los varios millones de euros, con cientos de denunciantes. El factor común con todos los esquemas españoles fue la ausencia de autorización CNMV o CASP. Desde la entrada en vigor de MiCA a fines de 2024, las plataformas que operan en España necesitan autorización CASP visible. Bit2Me, Binance Spain y otras pocas la tienen — el resto, por default, no. La CNMV mantiene una lista pública de «entidades advertidas» (chiringuitos financieros). Es la primera pantalla a chequear antes de transferir un solo euro.
El Salvador y la región · grupos falsos con endorsement de Bukele
Desde la Ley Bitcoin de 2021, decenas de grupos de WhatsApp y Telegram circularon con la consigna «invertí con el plan oficial del presidente Bukele». Ninguno era real. Bukele jamás avaló esquemas privados de inversión, y la billetera oficial Chivo nunca tuvo «socios autorizados» para captar depósitos. El patrón se repitió con Milei en Argentina en 2024-2025 (el caso $LIBRA es el más mediático: un token meme promovido y luego no respaldado, con pérdidas significativas para los compradores tardíos) y con figuras como Cristina Kirchner en operaciones de deepfake mucho antes. La regla: ningún presidente o figura política activa avala plataformas privadas de inversión. Si vez la cara de Bukele, Milei, Cristina, Sheinbaum o Pedro Sánchez en una pieza promocional de inversión cripto, es deepfake o uso no autorizado. Tirá el link.
Pig butchering desde redes camboyanas y birmanas apuntando a hispanos
Las operaciones industrializadas de pig butchering del sudeste asiático fueron expandiendo sus targets de víctimas chinas y angloparlantes a hispanos durante 2023-2025. Hoy es común que en Tinder o Bumble (en CDMX, Madrid, Buenos Aires, Bogotá) aparezcan perfiles atractivos «de Singapur» o «de Hong Kong» que hablan castellano fluido, con guion adaptado al contexto latino o ibérico — incluido referencias al peso, al euro, a Bitso o Bit2Me, para sonar local. Investigaciones de Reuters y de la BBC en 2024 documentaron varios complejos de estafa en Sihanoukville (Camboya) y en zonas de la frontera birmano-china operando equipos hispanohablantes — muchas veces con personal víctima de trata humana, forzado a operar bajo coerción. La defensa es la misma del CASE 06, sin importar de dónde vengan: cualquier desconocido por app de citas que te empuja a una plataforma de inversión = pig butchering, hispanohablante o no.
MetaMask phishing en castellano · sitios falsos optimizados al SERP local
En los últimos dos años aparecieron sitios de phishing de MetaMask específicamente optimizados para SERPs en español: «descargar MetaMask», «metamask soporte», «recuperar wallet metamask». Los sitios falsos copian el frontend de metamask.io y te invitan a «restaurar tu wallet ingresando la frase semilla de 12 palabras» — el momento en que ingresás esas palabras, perdiste toda la wallet. Regla absoluta: la frase semilla NO se ingresa nunca en ningún sitio web bajo ninguna circunstancia. La aplicación MetaMask legítima (extensión de navegador o app móvil oficial) solo te pide la semilla durante el setup inicial — y aún así, te la pide en una pantalla de la extensión, no en una página web. Defensa adicional: bajá MetaMask únicamente desde el sitio oficial metamask.io (escrito directo en el navegador, no desde un buscador), o desde la Chrome Web Store / Firefox Add-ons / App Store / Google Play oficiales.
SIM swap en México y Argentina · cuando te roban el número
El SIM swap es un ataque donde el estafador convence a la operadora móvil (Telcel, AT&T MX, Movistar Argentina, Personal, Claro) de que «perdió el chip» y le emiten un chip nuevo con tu mismo número. A partir de ese momento, todos los SMS de 2FA llegan al teléfono del atacante, no al tuyo. Si el exchange usa SMS como segundo factor, ya están dentro de tu cuenta. En México hubo varios casos documentados en 2023-2024 contra usuarios de exchanges nacionales y offshore. Las operadoras endurecieron los protocolos pero siguen ocurriendo. Defensa: nunca uses SMS como 2FA para cripto. Usá Google Authenticator, Authy o (mejor todavía) una hardware key tipo YubiKey. Configurá la opción «desactivar 2FA SMS» en todos los exchanges que la permitan.
Canales formales de denuncia por país
- Argentina: Unidad Fiscal Especializada en Ciberdelincuencia (UFECI) del Ministerio Público Fiscal; Unidad de Información Financiera (UIF) para casos de lavado; Comisión Nacional de Valores (CNV) para esquemas de inversión no registrados.
- México: CONDUSEF para reclamos contra instituciones financieras supervisadas; Unidad de Inteligencia Financiera (UIF) para casos de lavado; CNBV para reportar plataformas operando sin registro ITF.
- España: Brigada Central de Investigación Tecnológica de Policía Nacional; CNMV para reportar chiringuitos financieros (CNMV mantiene lista pública de entidades advertidas); AEPD para uso indebido de datos personales en estafas.
- El Salvador: Fiscalía General de la República, División de Investigación Cibernética. Para temas de Chivo y BTC oficial, Banco Central de Reserva.
- Internacional: FBI IC3 (Internet Crime Complaint Center) para casos transfronterizos relevantes; Interpol Cybercrime para coordinación regional.
Tres reglas de oro para el inversor hispanohablante
- Verificá la licencia antes de transferir. En México, registro ITF en CNBV. En España, autorización CASP en CNMV. En Argentina, registro PSAV ante la CNV. Si no aparece en la lista pública del regulador, no es plataforma confiable, sin importar cuánta publicidad haga.
- Hardware wallet por encima de 5.000 USD de exposición. Ledger Nano S Plus o Trezor Safe 3 cuestan entre 70 y 80 euros. Es el mejor seguro que vas a pagar en cripto. Y nunca, jamás, ingreses tu frase semilla en una página web. Solo en la app oficial al hacer el setup.
- Bloqueá cualquier DM de «soporte» en WhatsApp, Telegram, LINE, X. Ningún exchange real, ningún banco real, ningún wallet real, te contacta proactivamente por DM. La regla no admite excepciones, ni siquiera cuando «tu cuenta tiene un problema urgente». Si tienes un problema real, abre el ticket de soporte desde la app oficial, y espera.
§ Para cerrar
Las ocho estafas de arriba no son la lista completa — técnicas nuevas aparecen cada mes, deepfakes en video y clonaciones de voz recién se masificaron en 2024. Pero la lógica subyacente cambia poco: explotar la codicia, el miedo, la urgencia y la confianza.
Sobrevivir como principiante en cripto no se trata de «encontrar el bull market». Se trata de no terminar estafado en el camino. Lo que ganaste — primero tiene que estar protegido, y solo después tiene sentido pensar en hacerlo crecer. La pérdida en una sola gran estafa puede tomar tres bull markets enteros para recuperarse — y la mayoría de las personas no tiene la paciencia ni la oportunidad para esperar otro ciclo.
Algo para anclar antes de cerrar: haber caído en una estafa no es vergüenza. Yo mismo, en 2018, perdí 2 ETH en un esquema de «pre-venta privada» de un proyecto que ahora ni recuerdo el nombre. En ese momento ETH cotizaba unos pocos cientos de dólares — hoy esa pérdida sería un número incómodo de leer. Lo importante es reconocerlo y no repetirlo, no aferrarse a la fantasía de «un par de operaciones más y recupero todo» — esa autosugestión es exactamente el cuchillo final del pig butchering. Reconocer rápido, recortar exposición, sentarse a hacer la postmortem, vale cien veces más que evitar la segunda estafa. Escribí cada lección en una libreta: el guion del otro lado, el segundo exacto en que te diste cuenta de algo extraño, por qué no chequeaste una vez más — esa autopsia personal es más útil que cien artículos defensivos, porque salió de algo que viviste en primera persona.
Guardalo en favoritos, revisalo cada tres meses. Cada vez vas a encontrar un «ah, esa señal estaba ahí seis meses antes, no la vi» distinto. La seguridad se va apilando, no se construye de una vez. Leer más, ver más, desconfiar más — en esta industria no hay segundo camino.