2FA y passkeys para tus cuentas cripto

Para el 2FA de una cuenta cripto, usa una passkey o una llave de seguridad física cuando el servicio la ofrezca, una app de autenticación cuando no, y los códigos SMS solo como último recurso. La diferencia está en el phishing: una passkey o una llave de seguridad está ligada a la web real y sencillamente no funciona en una falsa, mientras que un código de seis dígitos se puede escribir en una página falsa igual de fácil que en la real.

La autenticación en dos pasos, de peor a mejor

Códigos SMS: lo más débil. Un código enviado por SMS se puede robar con un SIM swap (duplicado de SIM), en el que un atacante convence a tu operador móvil de pasar tu número a su SIM. Quienes tienen cripto son uno de sus objetivos favoritos. El SMS es mejor que nada, pero no debería proteger nada que no soportarías perder.

Apps de autenticación (TOTP): buenas. Una app genera un código nuevo de seis dígitos cada 30 segundos a partir de un secreto guardado en tu móvil. No interviene ningún operador, así que el SIM swap no funciona. Una contraseña robada ya no basta por sí sola, pero un sitio falso aún puede pedirte el código y reenviarlo al real dentro de esos 30 segundos. Guarda los códigos de configuración fuera de línea: si pierdes el móvil, son tu forma de volver a entrar.

Llaves de seguridad físicas: fuertes. Una pequeña llave USB o NFC que tocas para iniciar sesión, con el estándar FIDO2. La llave comprueba qué web la está pidiendo, así que un dominio parecido no obtiene nada. Registra dos llaves y guarda la de repuesto en un lugar seguro.

Passkeys: fuertes, y más fáciles. Una passkey es la misma idea FIDO guardada en tu móvil, tu ordenador o tu gestor de contraseñas, y se desbloquea con tu huella, tu cara o el PIN del dispositivo. Puede sustituir del todo a la contraseña, está ligada al dominio del sitio real y no hay nada que escribir en una página falsa. La FIDO Alliance explica cómo funcionan. Si un servicio ofrece passkeys, úsalas.

Los ajustes que importan igual

• Lista blanca de direcciones de retirada. Muchos exchanges te permiten autorizar retiradas solo a direcciones que añadiste antes, a menudo con un periodo de espera para las nuevas. Si alguien entra en la cuenta, no puede enviarse las monedas a sí mismo de inmediato.
• Tu cuenta de correo. Los restablecimientos de contraseña llegan a tu correo, así que necesita la misma protección: una contraseña fuerte y única y una passkey o una llave de seguridad.
• Código antiphishing. Algunos exchanges te permiten fijar una palabra que aparece en todos sus correos auténticos. Un correo sin ella no es suyo.
• Contraseñas únicas. Usa un gestor de contraseñas y una contraseña distinta en cada sitio, para que una web vulnerada no abra las demás.
• Claves API. Si creaste claves API del exchange para un bot o un gestor, borra las que ya no uses y nunca le des a una permiso de retirada.

Configurarlo, por orden

• Primero el correo. Dale a tu cuenta de correo una contraseña fuerte y única y una passkey o una llave de seguridad, porque todos los demás restablecimientos pasan por ella.
• Después cada exchange. Añade una passkey o una llave de seguridad donde se ofrezca y, si no, una app de autenticación.
• Guarda los códigos de respaldo que te muestre cada servicio, en papel, junto con tus otras copias fuera de línea.
• Quita el SMS como alternativa en cuanto funcione un método más fuerte, donde el servicio lo permita.
• Activa la lista blanca de retiradas y añade las direcciones de tus propias wallets.

Lo que el 2FA no protege

El 2FA protege cuentas: exchanges, correo, gestores de cartera. No hace nada por una wallet que controlas tú mismo, donde la frase semilla es la única clave que importa — cómo guardarla. Y no te impide aprobar una transferencia a la que te llevaron con engaños; las estafas cripto más comunes repasa esos trucos.

Esta guía explica cómo funcionan las cosas. No es asesoramiento financiero, de inversión ni fiscal. ¿Algo está mal? Escribe a hi@perly.io y lo corregiremos.