En esta lección aprenderás por qué las transacciones de Bitcoin no son instantáneas, qué son las comisiones, y qué significan las confirmaciones, para usar la red con expectativas realistas.
🎯 Objetivo de la lección
Reconocer cómo se roban bitcoins en la práctica. No mediante criptografía rota, sino aprovechando un descuido en el momento justo. Van aquí, antes de tu primera transacción, porque el momento en que te conviertes en objetivo es cuando consigues los primeros.
🎯 Por qué aquí sale más rentable
Las estafas existen en cualquier sistema de pago. Lo que cambia con Bitcoin es la economía del atacante, y conviene entender por qué.
Con una tarjeta, quien estafa tiene que convertir el cargo en dinero antes de que lo reviertan, y muchas veces no lo consigue. Aquí una transacción confirmada no se deshace: no hay a quién llamar, no hay departamento que investigue y no hay plazo de reclamación. El primer intento que funciona es definitivo.
De ahí salen dos consecuencias que explican casi todo lo que sigue:
Compensa invertir esfuerzo en un solo objetivo, porque el premio es firme.
Compensa esperar al momento exacto, el instante en que vas a mover fondos y estás concentrado en otra cosa.
Por eso casi ningún ataque intenta romper nada. Intentan que seas tú quien firme, o quien copie el dato equivocado.
📋 El portapapeles cambiado
Un programa instalado en tu equipo o tu teléfono vigila lo que copias. Cuando detecta algo con forma de dirección de Bitcoin, la sustituye por otra del atacante.
Tú copias la dirección correcta desde tu cartera, la pegas en el sitio de enviar, y lo que se pega es otra. Si no la miras, firmas un pago a un desconocido.
Es silencioso y no requiere que hagas nada raro: basta con haber instalado en algún momento algo que no debías.
La defensa es una costumbre, no un programa: comprobar la dirección después de pegarla, y comprobarla entera. Mirar solo el principio no sirve, porque las direcciones que generan estos ataques empiezan igual a propósito.
🪤 Direcciones envenenadas
Una variante más sutil, y que funciona justo porque eres cuidadoso.
El atacante te envía una cantidad mínima desde una dirección construida para parecerse a una que tú ya usas: mismos primeros caracteres, mismos últimos. Esa transacción aparece en tu historial.
Días después, cuando vas a repetir un envío, tomas la dirección "de la vez anterior" copiándola del historial. Y tomas la suya.
Aprovecha un hábito razonable —reutilizar lo que ya funcionó— y por eso cuela. La defensa es no sacar nunca una dirección del historial: pídesela otra vez a quien vas a pagar, o genérala de nuevo si es tuya.
📱 Aplicaciones falsas
Copias de carteras conocidas, con el mismo nombre y el mismo icono, publicadas en las tiendas de aplicaciones. Funcionan como la original salvo en un detalle: la semilla que generan la conoce alguien más, o se la envían en cuanto la anotas.
Las tiendas las retiran cuando las detectan, y eso ocurre después de que alguien haya caído. También aparecen como anuncios en los buscadores, por encima del resultado legítimo.
La defensa: llegar al programa escribiendo tú la dirección del sitio oficial, y desconfiar por sistema de cualquier anuncio. Es la costumbre que ya mencionamos en la lección 1.1.
💬 El mensaje privado después de preguntar en público
Este es el que más afecta a quien está aprendiendo, precisamente porque hace lo correcto: preguntar.
Publicas una duda en un foro, en un grupo o en un servidor de Discord. A los pocos minutos recibes un mensaje directo de alguien amable que se ofrece a ayudarte. A veces dice ser del soporte del proyecto, a veces solo un usuario con experiencia y mucha paciencia.
La conversación es genuinamente útil durante un rato. Y en algún momento aparece una de estas tres:
Que compartas pantalla o instales una herramienta de asistencia remota "para verlo mejor".
Que introduzcas tu frase de recuperación en una web de "validación" o "sincronización".
Que hagas un envío de prueba a una dirección que te pasa.
Funciona porque llega cuando estás atascado, confundido y agradecido de que alguien conteste.
La regla que lo desactiva entero: la ayuda legítima ocurre en público, donde otros pueden corregirla. Quien te escribe por privado antes de que tú lo pidas está haciendo algo que la gente honesta no necesita hacer.
Dicho de forma concreta para esta comunidad: Nodo360 no te escribirá nunca por mensaje directo primero. Si recibes uno diciendo ser de Nodo360 y ofreciéndote ayuda, soporte o una oportunidad, no lo somos. Coméntalo en el canal público, que además avisa a los demás.
🩹 Los falsos servicios de recuperación
El más cruel, porque va a por quien ya ha perdido algo.
Después de contar públicamente que te han robado o que has perdido el acceso, aparecen mensajes ofreciendo recuperarlo: especialistas, "hackers éticos", empresas con web de aspecto serio. Piden un adelanto, o tu frase de recuperación, o ambas cosas.
Conviene tener claro el hecho técnico que lo cierra: una transacción confirmada no se puede revertir, y una semilla perdida no se puede reconstruir. No es que sea caro o difícil. Es que no existe el procedimiento. Cualquiera que ofrezca lo contrario está mintiendo, sin excepciones.
🔒 La regla que no tiene matices
Todo lo anterior se puede resumir en una sola frase, y es la única de este curso que no admite ningún caso especial:
Nadie legítimo necesita jamás tus palabras de recuperación.
Ni el soporte de tu cartera, ni el fabricante de tu dispositivo, ni una plataforma, ni una web de validación, ni Nodo360. Para cobrar basta con una dirección; para ayudarte con un problema, basta con la descripción del problema.
Si alguien te las pide, la conversación ha terminado. No hay contexto que lo justifique.
📚 Lo que se queda fuera
Esta lección cubre los ataques que van específicamente contra una transacción de Bitcoin. El ecosistema tiene otros —proyectos fraudulentos, regalos de monedas falsos, promesas de rentabilidad, manipulación emocional prolongada— que se tratan en el curso Seguridad básica en Bitcoin y criptomonedas, lección "Estafas más habituales".
📌 En resumen
Aquí las estafas salen más rentables porque una transacción confirmada no se deshace. Compensa el esfuerzo y compensa esperar al momento justo.
Portapapeles cambiado: comprueba la dirección después de pegarla, y entera. El principio coincide a propósito.
Direcciones envenenadas: no saques nunca una dirección del historial. Pídela de nuevo.
Aplicaciones falsas: escribe tú la dirección del sitio oficial. Desconfía de los anuncios.
Mensaje privado tras preguntar en público: la ayuda legítima ocurre en público. Nodo360 no escribe primero por privado.
Falsos recuperadores: una transacción confirmada no se revierte y una semilla perdida no se reconstruye. No existe el procedimiento.
Nadie legítimo necesita jamás tus palabras de recuperación. Sin excepciones.
➡️ Qué viene después
Con la cartera elegida, los primeros bitcoins en camino y las defensas puestas, ya se puede hacer lo que da nombre al curso. El siguiente módulo es la práctica: enviar, recibir, y qué mirar antes de firmar.