Cómo evitar las estafas de crypto swap
Cómo evitar las estafas de crypto swap
CoinGecko contabilizó 164 incidentes de hackeos y exploits de crypto hasta el 7 de agosto de 2026. Desde 2016, se han perdido más de 14.270 millones de dólares de proyectos DeFi y exchanges de crypto. Estas son cifras de hackeos y exploits, no un recuento de víctimas individuales de estafas.
Los consejos habituales sobre estafas empiezan con una lista enorme de esquemas aterradores. Así que céntrate en qué debes verificar antes de que una transacción salga de tu wallet. El aviso de la wallet importa más que el titular.
Pero un swap sencillo no requiere el riesgo adicional de un exchange custodial: si el exchange es hackeado o quiebra, tus activos quedan bajo la custodia de otra persona. Un swap no custodial como SwapCherry mantiene el swap centrado en la transacción, en lugar de en un depósito.
Así que sigue las decisiones en orden: identifica las señales de advertencia, verifica el token y la plataforma, inspecciona las approvals y, después, limita los daños si algo sale mal.
En este artículo
- Las estafas de crypto están muy extendidas, pero el riesgo es más fácil de desglosar
- La primera pregunta es si otra persona controla tus fondos
- Una rentabilidad garantizada o un mensaje urgente son señales para detenerse
- La dirección del token importa más que el nombre del token
- Debes investigar tanto la plataforma de swap como el token
- Una approval puede sobrevivir al swap
- Haz que la comprobación previa al swap sea sencilla y repetible
- Si firmaste algo sospechoso, actúa antes de investigar
- SwapCherry te ofrece la forma no custodial de hacer swap
Las estafas de crypto están muy extendidas, pero el riesgo es más fácil de desglosar
El recuento de CoinGecko del 7 de agosto sitúa 2022 en 2.770 millones de dólares, el año más costoso de su serie. El recuento actual de incidentes proporciona contexto para todo el mercado. La pregunta práctica es mucho más pequeña:
- ¿Quién controla tus fondos antes del swap? ¿Tu wallet o un exchange custodial?
- ¿Qué estás autorizando? ¿El swap previsto o un contrato con permisos más amplios?
Un swap correctamente no custodial elimina el riesgo de dejar fondos depositados en ese exchange. El phishing, los tokens maliciosos, las direcciones incorrectas y las approvals peligrosas siguen siendo riesgos que debes evaluar en el momento de firmar con la wallet.
Por eso, el resto de esta guía puede centrarse en comprobaciones prácticas.
La primera pregunta es si otra persona controla tus fondos
Un exchange custodial toma posesión de tus activos mientras su sistema registra el saldo de tu cuenta. Un hackeo, un evento de insolvencia o el bloqueo de retiros pueden afectar a los fondos depositados allí. Los incidentes históricos relacionados con Mt. Gox, FTX, WazirX y DMM Bitcoin ilustran esta categoría; Hedge With Crypto los incluye entre los principales incidentes de exchanges centralizados.
Un swap no custodial deja la custodia en tu wallet hasta que se ejecuta la transacción. El servicio facilita el swap, mientras que tu wallet sigue siendo el lugar donde se encuentran tus activos antes y después de la transacción. Este acuerdo elimina el riesgo de fallo de la custodia del exchange. Los exploits de contratos, el phishing y las approvals inseguras siguen requiriendo tu atención.
| Modelo | Dónde se encuentran los fondos antes del swap | Riesgo que debes examinar |
|---|---|---|
| Exchange custodial | Con el exchange | Hackeo, insolvencia y restricciones de retiro |
| Swap no custodial | En tu wallet | Phishing, contratos, approvals y detalles de la transacción |
| Interacción directa con un contrato desconocido | En tu wallet, sujeto a los permisos posteriores a la firma | Comportamiento del contrato y permisos de la wallet |
SwapCherry no es custodial. Ofrece swaps rápidos, una comisión del 0,5 % y no requiere KYC ni registro. No necesitas depositar fondos primero en un exchange custodial.
Si necesitas custodia a largo plazo, acceso a fiat u otros tipos de órdenes avanzadas, utiliza un exchange para eso. Por tanto, para un swap sencillo de tokens, normalmente no hay razón para depositar fondos primero.
Una rentabilidad garantizada o un mensaje urgente son señales para detenerse
Empieza por las señales de alerta que puedes detectar antes de realizar una revisión técnica.
Las rentabilidades garantizadas, los beneficios fijos y el rendimiento «sin riesgo» son motivos inmediatos para detenerse. Un proyecto puede parecer legítimo mediante equipos anónimos, whitepapers falsos y afirmaciones sobre auditorías que no puedes verificar. Un dashboard pulido que muestra beneficios inventados sigue siendo una mentira con una tipografía mejor.
Los mensajes urgentes dificultan pensar con claridad. «Compra en los próximos diez minutos», «tu asignación caduca esta noche» y «envía los fondos ahora para que podamos verificar tu wallet» merecen una pausa total. Las instrucciones legítimas de un swap no requieren tu frase semilla ni te piden enviar crypto a un desconocido para verificarla.
Los mensajes directos no solicitados merecen la misma desconfianza. Una estafa de pig-butchering puede comenzar con una conversación amistosa. Puede convertirse en una sugerencia de inversión y terminar en una plataforma falsa que muestra beneficios inventados. Después, un dominio parecido puede recopilar datos de inicio de sesión, una conexión de wallet o una transacción firmada.
Si la dirección del contrato de un token procede de un anuncio en un buscador, una publicación social aleatoria o un mensaje directo, trátala como no confiable hasta que la confirmes a través de los canales oficiales del proyecto.
Supongamos que una publicación social promociona un token recién descubierto. Enlaza a un sitio de swap casi familiar, promete un aumento de precio en una hora y proporciona una dirección de contrato. Deja de seguir sus instrucciones. Abre el sitio web oficial del proyecto desde una fuente que puedas verificar, busca sus enlaces documentados y obtén allí la dirección.
La dirección del token importa más que el nombre del token
La dirección proporcionada en la publicación social sigue sin ser confiable. Un ticker y un logo pueden copiarse; el contrato o la dirección mint identifica el activo en su red.
Utiliza esta guía cuando estés aprendiendo a verificar un token antes de hacer swap.
-
Encuentra la dirección a través de canales oficiales.
Utiliza el sitio web del proyecto, su documentación o una cuenta social verificada. Walllet y Defi-Intel describen este enfoque. Evita las direcciones de mensajes directos, publicaciones aleatorias y anuncios en buscadores. Copia la dirección completa en lugar de confiar en una búsqueda por ticker dentro de una wallet o interfaz de swap. -
Confirma la red junto con la dirección.
El mismo ticker puede referirse a distintos activos en diferentes redes; verifica conjuntamente la chain y su dirección de contrato o mint. Compara la dirección oficial con la que muestra tu wallet o interfaz de swap. -
Abre el block explorer correspondiente.
Utiliza el explorer de esa red, como Etherscan o Solscan. Busca el indicador de código verificado del explorer. Un deployment verificado generalmente tiene código fuente publicado que coincide con su bytecode. Esto describe la coincidencia del código fuente; por sí solo no dice nada sobre la economía del token ni la gobernanza de un proxy actualizable. -
Inspecciona las funciones y los controles de acceso.
Busca funciones comomint,pause,burnytransferOwnership, y examina quién puede llamarlas y bajo qué condiciones. En las pestañas Contract o Read/Write del explorer, busca direcciones de owner o roles y controles de acceso documentados. Si no puedes interpretarlos, considera que la comprobación está incompleta en lugar de hacer suposiciones. -
Revisa los holders y la liquidez.
Una concentración muy elevada de holders aumenta el riesgo de dump, pero interpreta las direcciones. Una treasury, un pool de liquidez, un bridge o una wallet de vesting son distintos de una wallet no identificada que posee la mayor parte del supply. Revisa si la liquidez está bloqueada y si podría retirarse una posición grande del proveedor de liquidez. -
Evalúa el historial y las auditorías.
Un activo nuevo con poco historial de trading te proporciona menos datos con los que trabajar. Una auditoría cubre el código y el alcance especificados en un momento determinado. No cubre automáticamente cambios futuros, gobernanza, liquidez ni la economía del token. Si un proyecto afirma tener una auditoría, localiza el informe a través de los propios canales del auditor y compara la dirección y la versión del contrato. -
Simula la transacción cuando sea posible.
Las herramientas de simulación pueden mostrar los efectos propuestos antes de firmar. Las herramientas de detección de honeypots pueden señalar restricciones que dificultan la venta. Utiliza ambas como señales, no como veredictos.
Un contrato no verificado, una propiedad concentrada, una liquidez retirable o un historial mínimo deberían provocar una pausa y una investigación adicional. Estas señales justifican cautela; por sí solas no demuestran fraude.
Debes investigar tanto la plataforma de swap como el token
Un proyecto legítimo aún puede aparecer a través de una interfaz falsa. Empieza por el dominio. Abre el servicio desde su sitio web oficial o desde un marcador que hayas creado tú mismo; después, inspecciona la ortografía y el dominio de nivel superior.
Un sitio no supera la prueba básica de seguridad si te pide depositar fondos para procesarlos, enviar crypto al soporte o revelar una frase semilla. Comprueba el modelo de custodia antes de conectar tu wallet. Después, compara la comisión indicada, la información sobre slippage y la ruta de la transacción con la interfaz.
En el ejemplo utilizado, el sitio parecido falla la comprobación de la plataforma porque su enlace procedía de la publicación social. El modelo no custodial de SwapCherry mantiene el flujo de trabajo centrado en conectar tu wallet y revisar la transacción, en lugar de depositar fondos en una cuenta de exchange.
Una insignia de Proof of Reserves no es un certificado de seguridad. Puede mostrar que una plataforma controlaba determinados activos en un momento concreto. No demuestra que la plataforma no tenga pasivos ocultos ni riesgo operativo.
| Comprobación | Qué puede decirte | Qué no puede decirte |
|---|---|---|
| Reservas on-chain | Qué activos controlaba la plataforma en el snapshot | Si los activos se tomaron prestados temporalmente |
| Árbol de pasivos | Si tu saldo declarado aparece en ese árbol de pasivos | Si la plataforma incluyó todos los pasivos o los declaró correctamente |
| Fecha y frecuencia del informe | Cuán actualizada está la evidencia | Qué ocurrió después del snapshot |
| Auditor o proveedor de atestación | Quién realizó los procedimientos indicados | Si se examinó cada riesgo operativo |
| Resultado de reservas frente a pasivos | Si las reservas declaradas cubrían los pasivos declarados en ese momento | Rentabilidad, deuda oculta o solvencia a largo plazo |
Un explicador educativo de Proof of Reserves de Blockchain Council describe el modelo del snapshot. Una plataforma podría pedir activos prestados antes del snapshot y devolverlos después, mientras las obligaciones off-chain permanecen fuera del informe.
Estas comprobaciones no pueden demostrar que un servicio seguirá siendo solvente ni que un contrato no contiene ningún bug no descubierto. La investigación de esta guía es más sólida en los riesgos observables de las transacciones y más débil en las operaciones de empresas privadas. Interpreta la evidencia en consecuencia y, después, pasa a lo que tu wallet te está pidiendo autorizar.
Una approval puede sobrevivir al swap
En los tokens de tipo ERC-20, una approval concede a un contrato permiso para mover tokens desde tu wallet hasta el límite de una allowance. El swap puede completarse rápidamente, mientras ese permiso permanece activo hasta que lo revoques o lo sustituyas por una allowance menor.
Un informe de CCN de enero de 2026 situó la pérdida de SwapNet en 13,4 millones de dólares después de un exploit de unlimited-approval. La lección es más concreta: una approval merece la misma atención que el propio swap.
Las unlimited approvals intercambian seguridad por comodidad. Aprueba la cantidad que necesites y revoca los permisos que ya no utilices.
Revisión ilustrativa de una wallet, no una copia de ninguna interfaz específica:
En la interfaz de swap, revisa:
- Ruta y cantidad: qué recorrido utilizará el swap y cuánto estás intercambiando
- Mínimo recibido: la cantidad mínima que aceptarás
- Slippage: el movimiento de precio permitido para la operación
En el aviso de la wallet, revisa:
- Contrato y spender: la dirección que recibe el permiso, cuando se muestre
- Red y comisión: la chain y el coste de la transacción
- Allowance de la approval: la cantidad exacta o una cantidad ilimitada
Si el objetivo de la approval no ha superado tu comprobación, rechaza la solicitud hasta que puedas identificarlo y justificarlo. Una dirección legítima de token no convierte en aceptable a un spender desconocido.
Revocar una approval no utilizada es una transacción on-chain. Requiere una comisión de red. Hazlo desde la wallet afectada mediante una herramienta de gestión de approvals confiable y lee esa transacción antes de firmarla. La revocación impide el uso futuro de esa allowance; no puede revertir una transferencia que ya haya ocurrido.
Haz que la comprobación previa al swap sea sencilla y repetible
Utiliza esta rutina de 60 segundos antes de que los fondos salgan de tu wallet:
- Plataforma: Abre la URL oficial y determina si el servicio es custodial o no custodial.
- Activo: Comprueba la dirección del token, la dirección mint y la red a través de los canales oficiales del proyecto.
- Contrato y mercado: En el explorer, inspecciona la verificación del código fuente, los permisos, la distribución de holders, la liquidez y el historial de trading.
- Transacción: Compara la ruta, la cantidad, el mínimo recibido, el slippage, el receptor, el spender, la comisión y la allowance de la approval con la autorización que pretendes realizar.
- Wallet: Nunca compartas tu frase semilla ni tu clave privada. Una hardware wallet protege el almacenamiento de la clave privada y añade confirmación física; no hará segura una transacción maliciosa si la apruebas. Ledger Academy cubre prácticas de seguridad relacionadas.
Conserva registros para la declaración de impuestos. Guarda la fecha, el activo, la cantidad, la comisión de red, el tipo de cambio o valor en fiat, la marca de tiempo o fuente de valoración y el hash de la transacción cuando esté disponible. Esto no es asesoramiento fiscal; las normas de declaración varían según la jurisdicción y el tipo de transacción.
La rutina es aburrida. Ese es el objetivo.
Si firmaste algo sospechoso, actúa antes de investigar
La respuesta aburrida es mejor que la ingeniosa: primero limita los daños, después investiga.
Una approval puede seguir activa después de desconectar una wallet, y una frase semilla expuesta proporciona a un atacante control continuo.
- Deja de firmar. Si una transacción está pendiente, comprueba si tu wallet y la red permiten cancelarla o sustituirla. No envíes otro swap para comprobar la situación.
- Desconecta el sitio sospechoso. Después, revoca por separado las token approvals. Desconectarse deja activas las approvals existentes y no cancela una transacción pendiente.
- Evalúa el compromiso. Un problema de approval requiere una revocación y una revisión de los activos. Si introdujiste tu frase semilla o clave privada, da por comprometida la wallet.
- Mueve los activos restantes cuando la clave esté expuesta. Crea una wallet segura nueva y transfiere lo que quede. Nunca introduzcas la frase antigua en otro sitio que afirme ofrecer recuperación.
- Conserva las pruebas. Guarda las direcciones de las wallets, los hashes de las transacciones, las URL, las capturas de pantalla, las marcas de tiempo y los mensajes.
- Contacta con los servicios relevantes y denuncia el incidente. Notifica a cualquier exchange o proveedor de wallet implicado. Encuentra los contactos de seguridad de la chain a través del sitio web verificado o la documentación oficial del proyecto afectado y, después, denuncia el incidente ante las fuerzas de seguridad locales o los servicios de ciberdelincuencia.
- Rechaza a los agentes de recuperación. Cualquiera que prometa recuperar fondos a cambio de una comisión por adelantado podría estar ejecutando una segunda estafa.
Es posible que los fondos no puedan recuperarse. Tus objetivos inmediatos son detener permisos adicionales, proteger los activos cuyas claves sigan a salvo y conservar pruebas útiles.
SwapCherry te ofrece la forma no custodial de hacer swap
Para un swap sencillo, este es el modelo que recomendamos: mantén los activos en tu wallet, revisa la transacción y evita depositar fondos primero en un exchange custodial.
SwapCherry ofrece swaps rápidos, una comisión del 0,5 %, no requiere KYC ni registro Por ejemplo, intercambia BTC por XMR o intercambia ETH por USDT sin cuenta en un exchange. y utiliza un flujo de trabajo no custodial. Cuando se aplica la comisión indicada, un swap de 1.000 dólares incurre en una comisión de servicio de 5 dólares antes de los costes de red y de cualquier spread indicado.
Si estás haciendo un swap sencillo, conecta tu wallet a SwapCherry, confirma la URL oficial, la dirección del token y la red, revisa la approval y la transacción exactas y firma únicamente lo que te muestre la wallet. Así mantienes la custodia donde corresponde mientras realizas el swap.