Las aplicaciones descentralizadas (dApps) de finanzas DeFi se usan a través de una web que conecta con tu wallet. Esa web, llamada frontend, es la puerta de entrada al protocolo, y es justo lo que copian los estafadores. Una web clonada es visualmente idéntica a la original, pero las transacciones que te pide firmar envían tus fondos al atacante. Esta guía explica cómo llegan las víctimas a estas webs y cómo comprobar que estás en la oficial.
Cómo llegas a una web clonada
- Anuncios patrocinados en buscadores: el primer resultado al buscar el nombre del protocolo puede ser un anuncio que lleva a un dominio falso.
- Dominios parecidos: una letra cambiada, un guion añadido o una extensión distinta.
- Enlaces en redes y Discord: publicaciones de cuentas falsas o hackeadas, como en los airdrops falsos.
- Frontends comprometidos: en algunos casos, atacantes han logrado alterar la web o el dominio oficial de un proyecto real durante un tiempo.
- Extensiones o apps falsas que redirigen a webs clonadas.
Qué ocurre en la web clonada
Al conectar la wallet, la web puede analizar qué activos tienes y proponerte la firma que más le interese: una aprobación ilimitada de un token, un permiso sobre tus NFT o una transacción que, presentada como un intercambio, envía directamente tus fondos. El mecanismo es el de los wallet drainers. La interfaz puede incluso mostrar un mensaje de error tras la firma para que intentes de nuevo y firmes más permisos.
Por qué son tan difíciles de detectar
A diferencia de otras estafas, una web clonada no necesita convencerte de nada: tú ya querías usar ese servicio. La copia reproduce el diseño, los textos, los colores y hasta los enlaces a la documentación y las redes del proyecto real. Muchas incluyen certificado de seguridad, por lo que el candado del navegador aparece igual que en la original; ese candado solo indica que la conexión está cifrada, no que la web sea legítima.
Además, los estafadores pagan anuncios que aparecen por encima de los resultados normales, justo donde la mayoría de usuarios hace clic sin pensar. Y como el robo se produce mediante firmas que la víctima aprueba en su propia wallet, a menudo tarda en darse cuenta de qué ocurrió y en qué momento. Por eso la prevención se basa en hábitos sencillos y constantes más que en detectar detalles visuales.
Una situación típica
Una usuaria quiere cambiar unos tokens en un exchange descentralizado que ya ha usado otras veces. En lugar de usar su marcador, escribe el nombre en el buscador y pulsa el primer resultado. La web es idéntica. Conecta la wallet, introduce el intercambio y aparece una solicitud de aprobación. Firma. La web muestra un error y le pide reintentar. Firma de nuevo. Minutos después, varios tokens de su wallet salen hacia una dirección desconocida. Al revisar el historial del navegador, ve que el dominio tenía una letra de diferencia con el oficial.
Cómo verificar que estás en la web oficial
| Hábito | Por qué ayuda |
|---|---|
| Guardar en marcadores la web oficial y entrar siempre desde ahí | Evita anuncios y resultados manipulados |
| Contrastar el dominio en varias fuentes oficiales del proyecto | Reduce el riesgo de dominios parecidos |
| No hacer clic en anuncios patrocinados de servicios cripto | Son una vía frecuente de webs clonadas |
| Leer las solicitudes de firma y desconfiar de errores repetidos | Una web clonada suele pedir varias firmas |
| Usar una wallet con pocos fondos para interactuar con DeFi | Limita el daño si algo sale mal |
| Seguir los avisos de seguridad del proyecto | Si su web ha sido comprometida, lo comunicará |
Aviso de la wallet: muchas wallets advierten cuando una web figura en listas de phishing. Si ves un aviso, no lo ignores, aunque la web parezca idéntica a la oficial.
Qué hacer si firmaste en una web clonada
- Revoca de inmediato las aprobaciones concedidas desde una herramienta de revisión de permisos de confianza o desde el explorador de bloques.
- Traslada los fondos que te queden a una wallet nueva.
- Guarda la URL exacta, capturas, el anuncio por el que llegaste (si lo hubo) y los hash de las transacciones.
- Avisa al proyecto oficial y denuncia el anuncio o el dominio ante el buscador o la plataforma.
- Denuncia ante la Policía Nacional o la Guardia Civil y consulta la parte técnica con la línea 017 de INCIBE.
Si necesitas documentar lo ocurrido para la denuncia, puedes solicitar un análisis de operaciones o una consulta.
