La frase semilla (también llamada frase de recuperación o seed phrase) es una lista de 12, 18 o 24 palabras que permite restaurar una wallet de criptomonedas en cualquier dispositivo. Quien la conoce tiene control total sobre los fondos, sin necesidad de tu contraseña ni de tu teléfono. Por eso es el objetivo principal de muchas campañas de phishing. Esta guía explica las técnicas más habituales y cómo actuar si la has compartido.
La regla que lo resume todo
Regla de oro: ninguna empresa, exchange, fabricante de wallets, desarrollador ni autoridad necesita tu frase semilla. Si alguien te la pide, por el motivo que sea, es un intento de robo.
A diferencia de una cuenta bancaria, no hay una entidad que pueda bloquear o anular las transferencias que haga quien tenga tu frase. Por eso la prevención es esencial.
Técnicas habituales para conseguirla
- Correos o SMS de «actualización de seguridad» que suplantan al fabricante de tu wallet de hardware o a tu app y piden «verificar» la wallet.
- Webs falsas de «sincronización» o «validación» que piden introducir las palabras para «resolver un error» o «reclamar» algo.
- Falso soporte técnico en redes sociales y Telegram, tema que desarrollamos en la guía sobre soporte falso de exchanges.
- Apps de wallet falsas que imitan a las reales y envían la frase al atacante en cuanto la importas; lo vemos en la guía sobre apps de wallet falsas.
- Cartas o paquetes físicos que imitan al fabricante de un dispositivo e incluyen instrucciones para «reconfigurarlo».
- Extensiones de navegador maliciosas que leen lo que escribes o lo que copias al portapapeles.
Lo que nunca hará un proveedor legítimo
Conocer cómo actúan las empresas reales ayuda a detectar a las falsas. Un fabricante de wallets o un exchange legítimo:
- No te escribirá por mensaje privado en redes sociales para ofrecerte ayuda que no has pedido.
- No te pedirá que escribas tu frase en una web para «validar», «sincronizar» o «migrar» tu wallet.
- No te pedirá instalar programas de control remoto para revisar tu cuenta.
- No te enviará un dispositivo de sustitución que venga con una frase ya escrita.
Si un mensaje rompe alguna de estas reglas, no importa lo bien diseñado que esté: trátalo como un intento de fraude y comprueba la información solo desde la web oficial que escribas tú mismo.
Una situación típica
Un usuario con una wallet de hardware recibe un correo que parece del fabricante. Le informa de que, por una vulnerabilidad detectada, su dispositivo podría estar comprometido y que debe «migrar» sus fondos siguiendo un enlace. La web es una copia exacta de la oficial y le guía paso a paso hasta un formulario donde se le pide escribir su frase de recuperación para «verificar la propiedad» antes de la migración. Lo hace con prisa, temiendo perder sus ahorros. A las pocas horas, todas sus criptomonedas han sido trasladadas a otra dirección. El dispositivo nunca tuvo ningún problema: el engaño estaba en el correo.
Cómo guardar la frase de forma segura
| Recomendable | Evitar |
|---|---|
| Escribirla en papel o en un soporte metálico y guardarla en un lugar seguro | Hacerle una foto con el móvil |
| Conservarla fuera de dispositivos conectados a internet | Guardarla en notas, correos o servicios en la nube |
| Introducirla solo en el propio dispositivo o app oficial al restaurar | Escribirla en cualquier web, formulario o chat |
| Comprobar que la app de wallet es la oficial antes de usarla | Instalar apps desde enlaces recibidos |
Qué hacer si has compartido tu frase semilla
- Actúa de inmediato: crea una wallet nueva, con una frase semilla nueva generada en un dispositivo de confianza.
- Traslada lo que quede desde la wallet comprometida a la nueva, empezando por los activos de mayor valor.
- No vuelvas a usar la wallet antigua, aunque aparentemente siga intacta.
- Documenta: el correo o mensaje recibido (con cabeceras si es posible), la URL de la web falsa, capturas y los hash de las transacciones de salida.
- Denuncia ante la Policía Nacional o la Guardia Civil y consulta con la línea 017 de INCIBE la parte técnica, por ejemplo si sospechas de malware en tu equipo.
- Revisa tu equipo: si usaste una extensión o programa dudoso, analiza el dispositivo antes de volver a operar con él.
Ni el banco ni el exchange pueden revertir transferencias en la cadena de bloques, pero una denuncia documentada permite a las autoridades seguir el rastro si los fondos llegan a plataformas que identifican a sus clientes. Si necesitas ayuda para ordenar la información, puedes solicitar una consulta inicial.
