Manual de seguridad de activos para el Año Nuevo: ¿Cómo proteger tus Tokens mientras visitas a familiares y amigos y te relajas?

Escrito por: imToken

Se acerca el Año Nuevo Lunar, momento de despedir lo viejo y dar la bienvenida a lo nuevo, y también llega el momento de hacer una revisión:

¿Has caído alguna vez en la trampa de proyectos Rug Pull que desaparecen con los fondos? ¿Has comprado impulsado por influencers o KOLs que luego te dejan en la estacada? ¿O has sido víctima de ataques de phishing cada vez más frecuentes, por hacer clic en enlaces o firmar contratos por error y sufrir pérdidas?

Objetivamente, el Año Nuevo no genera riesgos, pero puede amplificarlos —cuando la circulación de fondos aumenta, cuando la atención se dispersa por las festividades, cuando el ritmo de las transacciones se acelera, cualquier pequeño error se puede convertir fácilmente en una pérdida significativa.

Por ello, si estás planeando ajustar tus posiciones o reorganizar tus fondos durante las vacaciones, te recomiendo hacer primero una «revisión de seguridad previa a las festividades» en tu cartera. En este artículo, partiré de algunos escenarios de riesgo reales y frecuentes, y te ofreceré una serie de acciones concretas que los usuarios comunes pueden tomar.

1. Cuidado con las estafas de «AI de cambio de rostro» y simulación de voz

Recientemente, la tendencia en toda la red de SeeDance 2.0 ha vuelto a poner en evidencia un hecho: en una era donde la AGI se está infiltrando rápidamente, «ver para creer y escuchar para confiar» ya no funciona.

Desde 2025, las tecnologías de fraude mediante IA en videos y voces se han vuelto claramente más sofisticadas, incluyendo clonación de voz, cambio de rostro en videos, imitación de expresiones faciales en tiempo real y simulación de tono de voz, todo en una fase industrializada, con barreras de entrada bajas y capacidad de replicación a escala.

De hecho, con IA ya se puede reproducir con precisión la voz, el ritmo, las pausas e incluso microexpresiones de una persona. Esto significa que durante el Año Nuevo, estos riesgos pueden ser aún más peligrosos.

Por ejemplo, en tu camino de regreso a casa o en una reunión con familiares y amigos, recibes un mensaje en tu teléfono: un «amigo» en tu lista de contactos te envía un audio o video por Telegram o WeChat, con tono urgente, diciendo que su cuenta está restringida, que necesita hacer un giro de fondos, o que debe adelantar un pequeño token en garantía, solicitando que hagas una transferencia inmediata.

El audio suena natural, en el video incluso aparece una persona real, y con la atención dispersa por las festividades, ¿cómo puedes distinguir si es real?

En años anteriores, verificar la identidad mediante video era casi la forma más confiable, pero hoy en día, incluso si la otra parte usa cámara y habla contigo, ya no es 100% confiable.

En este contexto, confiar solo en ver un video o escuchar un audio ya no basta para verificar. La forma más segura es establecer un mecanismo de verificación independiente del canal en línea con personas de confianza (familia, socios, colaboradores a largo plazo), por ejemplo, un código secreto offline que solo ustedes conozcan, o detalles que no puedan deducirse fácilmente de información pública.

Además, hay que reevaluar un riesgo común: hacer clic en enlaces compartidos por conocidos. Durante las festividades, los «red packets» en la cadena o las «recompensas por airdrops» suelen ser vías de propagación viral en la comunidad Web3. Muchas personas no son engañadas por desconocidos, sino que confían en amigos o familiares que reenvían enlaces, y terminan haciendo clic en páginas de autorización disfrazadas cuidadosamente.

Por eso, es fundamental recordar un principio simple pero crucial: no hagas clic en enlaces desconocidos en redes sociales, ni autorices nada, incluso si proviene de un «amigo».

Lo ideal es realizar todas las operaciones en la cadena a través de canales oficiales, guardando las URLs o ingresando en sitios confiables, en lugar de hacerlo en chats o ventanas de conversación.

2. Haz una «limpieza de fin de año» en tu cartera

Si la primera categoría de riesgo proviene de la confianza en tecnologías falsificadas, la segunda surge de las exposiciones ocultas acumuladas por nosotros mismos a lo largo del tiempo.

Es bien sabido que la autorización es uno de los mecanismos más básicos y también más descuidados en DeFi. Cuando interactúas con un DApp, en realidad estás otorgando a un contrato un poder para gestionar tus tokens, ya sea de forma temporal o ilimitada, con un período de validez corto o largo, incluso cuando ya olvidaste que lo hiciste.

En definitiva, esta autorización no siempre representa un riesgo inmediato, pero sí una exposición continua. Muchos usuarios piensan que, si sus activos no están en un contrato, no hay problema de seguridad. Sin embargo, en ciclos alcistas, muchos participan en nuevos protocolos, airdrops, staking, minería y otras interacciones, acumulando permisos. Cuando la tendencia se invierte y algunos protocolos dejan de usarse, esas autorizaciones permanecen.

Con el tiempo, esas autorizaciones antiguas se vuelven como llaves sin dueño, y si alguna vulnerabilidad en un contrato olvidado se aprovecha, puede causar pérdidas.

El Año Nuevo Lunar es un momento ideal para hacer una limpieza: aprovechar la calma previa para revisar sistemáticamente las autorizaciones y permisos en tu cartera, y tomar acciones como:

• Revocar permisos que ya no usas, especialmente aquellos con límites ilimitados;
• Para fondos que manejas a diario, usar permisos con límites en lugar de permisos permanentes para toda la cantidad;
• Separar los activos de almacenamiento a largo plazo de los fondos de uso frecuente, creando una estructura de hot wallet y cold wallet.

Antes, muchos usuarios recurrían a herramientas externas como revoke.cash para revisar y revocar permisos. Hoy, wallets principales como imToken ya integran funciones para verificar y gestionar autorizaciones directamente desde la interfaz.

En definitiva, la seguridad de la cartera no consiste en nunca autorizar, sino en aplicar el principio de menor privilegio: dar solo los permisos necesarios en cada momento y retirarlos cuando ya no sean necesarios.

3. No descuides los viajes, la socialización y las operaciones diarias

Si las dos primeras categorías de riesgo provienen de la evolución tecnológica y la acumulación de permisos, la tercera surge del cambio en el entorno.

Durante las festividades, viajar (regresar a casa, viajar, visitar familiares y amigos), cambiar de dispositivos y redes, y participar en muchas actividades sociales, aumenta la vulnerabilidad en la gestión de claves privadas y en las operaciones cotidianas.

Un ejemplo clásico es la gestión de la frase semilla (mnemonic). Guardarla en capturas de pantalla en la galería del teléfono, en la nube, o enviarla por mensajería, por comodidad, puede parecer práctico, pero en movilidad representa un riesgo enorme.

Por eso, recuerda: la frase semilla debe mantenerse en un lugar físico, aislado de cualquier conexión a internet. La seguridad de la clave privada radica en estar fuera de línea.

En las reuniones sociales, también hay que tener cuidado. Mostrar balances elevados o discutir detalles de tus posiciones puede ser inadvertido, pero puede abrir puertas a riesgos futuros. Además, hay que estar alerta ante intentos de inducir a descargar aplicaciones o plugins falsos bajo el pretexto de «compartir experiencias» o «enseñar».

Todas las descargas y actualizaciones de wallets deben hacerse solo desde canales oficiales, no a través de enlaces en chats.

Antes de hacer una transferencia, verifica siempre tres cosas: red, dirección y monto. Ya ha habido casos en los que grandes ballenas han perdido fondos por errores al copiar direcciones similares, y los ataques de phishing con direcciones parecidas se han industrializado en los últimos meses:

Los hackers generan en masa direcciones con primeros y últimos caracteres similares, formando una especie de banco de semillas. Cuando alguien transfiere fondos a una de esas direcciones, el hacker busca en su base de datos una dirección con caracteres similares y realiza transferencias relacionadas, atrapando a los desprevenidos.

A veces, los usuarios copian direcciones directamente de registros de transacciones, solo verificando los primeros y últimos caracteres, y caen en la trampa. Según Yuán Yóu, fundador de SlowMist, los ataques de phishing con direcciones similares son como redes que buscan a los incautos, en un juego de azar con altas probabilidades de éxito.

Dado que el costo de gas es muy bajo, los atacantes pueden generar en masa cientos o miles de direcciones, esperando que algunos usuarios cometan errores al copiar y pegar. Una sola operación exitosa puede generar beneficios mucho mayores que el costo.

Estos problemas no dependen de la complejidad técnica, sino de los hábitos cotidianos:

• Verifica cuidadosamente cada carácter de la dirección, no solo los extremos;
• No copies direcciones de transacción sin revisarlas;
• Cuando envíes a una dirección nueva, haz primero una pequeña prueba;
• Usa funciones de lista blanca para gestionar direcciones frecuentes.

En el sistema actual basado en cuentas EOA, el usuario sigue siendo la primera línea de defensa y la última responsabilidad (ver también «33.5 mil millones de dólares en impuestos a las cuentas: ¿qué puede aportar AA a Web3 si las EOA se vuelven un costo sistémico?»).

Para concluir

Muchos piensan que el mundo en la cadena es demasiado peligroso y poco amigable para los usuarios comunes.

La realidad es que Web3 no puede ofrecer un entorno sin riesgos, pero sí uno donde los riesgos sean gestionables.

Por ejemplo, el Año Nuevo Lunar es un momento de ritmo más pausado, ideal para revisar y reorganizar riesgos. En lugar de hacer operaciones apresuradas durante las festividades, es mejor anticiparse y realizar una revisión de seguridad. En lugar de remediar después, optimiza permisos y hábitos con tiempo.

¡Les deseo a todos un Año Nuevo seguro y próspero, y que sus activos en la cadena permanezcan estables y sin preocupaciones en el nuevo año!