Cómo proteger tu cuenta de exchange: 2FA, listas blancas y antiphishing

Los exchanges centralizados invierten enormes recursos en proteger sus sistemas, pero el eslabón más débil suele ser la cuenta del propio usuario. Un atacante que obtiene tu correo y tu contraseña, y consigue saltarse la verificación, puede vender tus activos y retirarlos a una dirección propia en cuestión de minutos. Y como las transacciones en blockchain son irreversibles, recuperar los fondos es muy difícil.

La buena noticia es que plataformas como OKX y la mayoría de exchanges serios ofrecen capas de seguridad muy potentes. El problema es que muchas vienen desactivadas por defecto o los usuarios las configuran de forma incompleta. Dedicar veinte minutos a revisarlas es probablemente la mejor inversión que puedes hacer.

• Usa una contraseña única, larga y generada aleatoriamente para el exchange. Un gestor de contraseñas facilita mucho esta tarea.
• Protege también tu correo electrónico con contraseña única y verificación en dos pasos: quien controla tu correo puede restablecer muchas otras cuentas.
• Valora usar una dirección de correo dedicada solo a tus cuentas financieras, que no publiques en ningún sitio.

Si reutilizas la contraseña en varios servicios y uno de ellos sufre una filtración, los atacantes probarán esas credenciales automáticamente en exchanges. Es una técnica llamada credential stuffing y es sorprendentemente eficaz.

La verificación en dos pasos (2FA) añade un segundo factor además de la contraseña. Pero hay grandes diferencias de seguridad entre los métodos:

Si tu exchange lo permite, sustituye el SMS por una app autenticadora o, mejor aún, por una llave física o passkey. Guarda los códigos de recuperación de la app autenticadora en papel, junto a tus otras copias de seguridad.

Esta es quizá la función más infravalorada. Al activar la lista blanca, solo podrás retirar fondos a direcciones que hayas añadido previamente. Añadir una dirección nueva suele requerir verificación adicional y, en muchos casos, un periodo de espera de 24 horas o más.

¿Por qué es tan útil? Porque incluso si un atacante consigue acceder a tu cuenta, no podrá enviar los fondos a su propia dirección de forma inmediata. Ese tiempo de espera te da margen para detectar el acceso, recibir la alerta y bloquear la cuenta.

Muchos exchanges permiten configurar un código antiphishing: una palabra que tú eliges y que aparecerá en todos los correos legítimos de la plataforma. Si recibes un correo supuestamente del exchange sin ese código, es falso.

• Activa las alertas de inicio de sesión y de retirada.
• Revisa periódicamente los dispositivos y sesiones activas.
• Elimina las claves API que no uses y nunca les concedas permisos de retirada.
• Accede siempre escribiendo la dirección o desde un marcador, no desde enlaces de correos o anuncios.

Por último, recuerda que ningún nivel de seguridad en la cuenta elimina el riesgo de contraparte del propio exchange. Para ahorros a largo plazo, considera la autocustodia. Información educativa, no asesoramiento financiero.