Social engineering en cripto: cómo los estafadores se ganan tu confianza

Mira, el eslabón débil casi nunca es el cifrado. Es la persona.

La llamada que casi nadie ve venir

Hablando con Carlos Méndez, que lleva invirtiendo en cripto desde 2015, me contaba que su peor pesadilla no fue un hack. Fue un mensaje de Telegram. Un tío que decía ser "consultor de compliance" le escribió con un tono cercano, citando a dos personas que Carlos conocía del sector, y le pidió enviar unos tokens para "verificar" su cartera de cara a una supuesta auditoría.

Carlos picó. Y no porque sea un novato. Llevaba años en esto.

"Yo pensé que era una práctica normal de auditoría", me confesó. Le dije lo de siempre: ojo con esto, nadie te va a pedir mover fondos para comprobar nada. Una auditoría se hace con direcciones públicas, no con transferencias a desconocidos. Y menos a una wallet que no controlas.

Lo que me jode de estas historias es que el relato siempre es el mismo. La víctima no es tonta. Simplemente estaba cansada, o tenía prisa, o llevaba un mal día y bajó la guardia un segundo. Eso es todo lo que necesita el estafador.

Los tres trucos que se repiten

Carlos me enumeró los que más le habían tocado en los últimos años. Y coincido con él en que son los clásicos por algo.

Suplantación de identidad. Copian al pie de la letra la foto y la biografía de un profesional real en LinkedIn o Twitter. A veces incluso recrean su web personal. Cuando el mensaje te llega con un "hola, ¿te acuerdas de mí?" y un tono familiar, tu cerebro ya ha decidido que es de fiar antes de leer el segundo párrafo.

Urgencia artificial. El "necesitamos tu respuesta en cinco minutos o pierdes la oportunidad" de toda la vida. La presión hace que pases a modo de supervivencia y dejes de evaluar con lógica. Es la misma palanca que usaban los vendedores de humo en los años noventa, solo que ahora llega por DM.

Premios falsos. Airdrops que no existen, recompensas de staking milagrosas que supuestamente se desbloquean si haces "un pequeño depósito de validación". Un pequeño depósito que, casualmente, va directo a la wallet del estafador.

Por qué funciona tan bien

Aquí me voy a poner un poco pesado, porque creo que es la parte que la gente no termina de pillar. El social engineering no ataca tu antivirus. Ataca tu forma de decidir.

Vamos a ver. Tú y yo tomamos decisiones con atajos mentales. Si alguien se presenta como autoridad, tendemos a obedecer. Si alguien parece un amigo, bajamos la guardia. Si algo es urgente, priorizamos resolverlo antes que analizarlo. Los estafadores llevan décadas estudiando esos atajos. Y en cripto tienen un terreno abonado: todo va rápido, todo es técnico, y nadie quiere parecer el pardillo que pregunta demasiado.

Para mí el sesgo más peligroso es el de la autoridad disfrazada. Un tipo con foto de traje y un cargo inventado en el perfil te puede sacar información que no le darías ni a tu gestor de confianza. Y lo peor: no hace falta que el perfil sea falso del todo. Muchas veces usan cuentas reales hackeadas de gente con reputación. Por eso las verificaciones de "es que es una cuenta antigua" no valen de nada.

Qué hay de fiscal aquí (y por qué te importa)

Te cuento un detalle que mucha gente pasa por alto cuando recibe este tipo de mensajes. En España, la normativa fiscal no tiene una regla específica para estas estafas, pero sí deja claro cuándo nace la obligación tributaria: en la permuta o venta de criptomonedas, es decir, cuando cambias cripto a euros o a otra cripto. Mover monedas entre wallets propias no tributa. Ni un euro.

Léelo otra vez. Si alguien te pide enviar tokens a una dirección que no controlas, no existe ninguna justificación fiscal detrás de esa operación. Ninguna. La petición en sí ya es sospechosa. Es un filtro muy tonto y muy eficaz: si no es tu wallet, no es tu movimiento, y si no es tu movimiento, no hay nada que declarar. Solo hay algo que perder.

Y ojo con la parte de atrás. Si caes y pierdes fondos, esa pérdida no se puede compensar como si fuera una venta con pérdidas. La cosa es más fea: sin trazabilidad documental, demostrar el quebranto ante Hacienda es complicado. Por eso lo primero que hay que hacer tras un fraude no es lamentarse. Es documentar.

Señales de alerta que deberías tatuarte

• El remitente no tiene verificación en dos pasos activada en su cuenta, o te escribe desde una cuenta nueva sin historial.
• El mensaje tiene errores menores, un tono demasiado informal para la entidad que dice ser, o un dominio raro en el correo.
• Te piden información sensible: clave privada, seed phrase, o firmar una transacción sin explicarte exactamente qué autorizas.
• Te empujan a salir de la plataforma oficial y continuar la conversación por otro canal.
• Aparece una "oportunidad" que solo está disponible para ti y que caduca en minutos.

Si ya has caído

Carlos envió 0.3 BTC antes de darse cuenta. Lo que hizo después es lo que deberías hacer tú si te pasa.

• Congelar la cuenta del exchange implicado y abrir un ticket de soporte con todos los detalles. Cuanto antes, mejor.
• Denunciar el fraude a la policía y aportar toda la documentación que tengas. En España hay protocolos específicos para criptoestafas, aunque los resultados no son rápidos ni garantizados.
• Consultar con un asesor especializado para ver si hay implicaciones fiscales y cómo documentar la pérdida de cara a una posible compensación.

Lo que hizo mal, y él mismo lo reconoce, fue tardar dos días en contarlo. La vergüenza es la peor aliada. Nadie nace sabiendo, y los estafadores cuentan precisamente con que te calles.

Prevención que de verdad funciona

1. Verifica la identidad por un canal independiente. Si te escribe por Telegram, llama por teléfono al número público de la empresa. Si te escribe por correo, responde desde la web oficial, nunca desde el botón "responder".
2. Desconfía de la urgencia. Tómate al menos 24 horas. Ninguna operación legítima se cae porque te tomes un día en consultarlo con la almohada.
3. No compartas nunca tu seed phrase. Ni un auditor, ni un soporte técnico, ni tu mejor amigo del sector. Nadie la necesita.
4. Mantén la trazabilidad de todo. Capturas de pantalla, correos, direcciones de wallet, hashes de transacción. Si algún día hay que peritar una estafa, eso es oro. Puedes contar con nuestro peritaje de estafas para documentar.

En mi experiencia, la gente que mejor se protege no es la más técnica. Es la que ha interiorizado que en cripto la confianza se gana despacio y se pierde en un clic. Y que el "no" por defecto no te hace parecer desconfiado, te hace parecer listo.

Una última reflexión

Esto no va a desaparecer. Va a mejorar. Los estafadores usan IA para escribir mensajes cada vez más creíbles, clonan voces, generan vídeos falsos de gente conocida. La técnica se sofistica, pero la palanca psicológica es la misma: prisa, autoridad, pertenencia al grupo.

Si en algún momento necesitas un informe de trazabilidad o un peritaje tras una estafa, en Solcrip (solcrip.com) trabajan este tipo de casos y te pueden orientar sobre qué documentar y cómo ordenarlo de cara a Hacienda. Pero la mejor jugada sigue siendo la de antes: no llegar a necesitarlo.

Y ahora te lanzo una pregunta. ¿Cuántos mensajes has recibido este mes de alguien que decía conocerte y no conocías de nada? Ese es el número real del riesgo.