Cómo proteger tu cuenta de exchange: 2FA, lista blanca de direcciones y protección contra phishing

Cómo proteger tu cuenta de exchange: 2FA, lista blanca de direcciones y protección contra phishing

Proteger tu cuenta de exchange significa cerrar todos los atajos hacia tu dinero. La contraseña por sí sola no los cierra: lo decisivo son el segundo factor, las restricciones de retiro y los hábitos.

A continuación, un checklist de configuración, una tabla de amenazas y los pasos a seguir si se filtra la base de clientes de una tienda o un servicio.

Por qué al arbitrajista le importa especialmente proteger su cuenta

Un inversor común tiene su dinero en uno o dos exchanges. El arbitrajista reparte sus saldos en muchas plataformas para cerrar operaciones al mismo tiempo.

Cada exchange es una puerta distinta. Por lo que observamos, suelen atacar la cuenta más débil, no la más grande: aquella donde quedó la protección por SMS o una API key vieja con permiso de retiro.

Qué 2FA elegir en un exchange: SMS, app o llave física

El SMS es el segundo factor más débil. El número se puede duplicar en una SIM ajena, y entonces los códigos le llegan al atacante.

Una app de autenticación es más fiable, porque los códigos se generan en tu dispositivo. Una llave física es aún mejor: solo confirma el acceso en el sitio real del exchange, así que una copia de phishing no obtiene el código.

En nuestra opinión, el mínimo razonable es un autenticador en todos los exchanges y una llave física donde está la mayor parte del capital. El SMS como segundo factor conviene desactivarlo en todos los lugares donde sea posible.

Checklist para proteger tu cuenta en un exchange cripto

• llave física o app de autenticación en lugar de SMS
• lista blanca de direcciones de retiro, direcciones nuevas solo con confirmación
• código antiphishing en los correos del exchange
• un correo aparte solo para exchanges, sin exponerlo en ningún otro sitio
• API keys sin permiso de retiro y vinculadas a IP
• una contraseña larga y única para cada exchange con un gestor de contraseñas
• revisión periódica de sesiones y dispositivos activos

Cómo configurar la lista blanca de direcciones de retiro

La lista blanca es la relación de direcciones a las que el exchange permite retirar. Todo lo que no está en la lista no se puede enviar.

En muchos exchanges, agregar una dirección nueva requiere confirmación y activa una demora en los retiros. Si alguien obtiene acceso a la cuenta, tendrás tiempo de ver el correo y congelar los retiros.

Al arbitrajista le conviene agregar a la lista las direcciones de depósito de sus propios exchanges en las redes que usa. Así las transferencias diarias se hacen sin pasos de más, y una dirección ajena no se agrega tan fácilmente.

Qué es el código antiphishing y para qué sirve

El código antiphishing es una frase que defines en la configuración. El exchange la incluye en todos sus correos.

Si un correo «del exchange» llega sin tu frase, es falso. No abras los enlaces de ese correo.

Cómo configurar las API keys de forma segura

Una API key es un acceso aparte a la cuenta para programas. Creemos que es justamente aquí donde con más frecuencia quedan agujeros olvidados.

Casi nunca una key necesita permiso de retiro. Conviene vincularla a direcciones IP concretas y eliminar las keys viejas de servicios que ya no usas.

Amenazas y protección: qué te salva de qué

Qué hacer si se filtra la base de clientes de una tienda o servicio

Un ejemplo reciente es la tienda de wallets físicas Keystone. La compañía informó de un acceso no autorizado a su tienda web: se filtraron nombres, contactos, direcciones de envío y datos de pedidos, pero no claves ni frases de recuperación.

Se advirtió a los usuarios sobre phishing. Tus monedas no sufren directamente por una filtración así, pero los estafadores saben con certeza que tienes cripto y qué dispositivo compraste.

• no responder correos, llamadas ni mensajes sobre una «actualización urgente» de la wallet
• no ingresar la frase de recuperación nunca y en ningún sitio, ningún servicio la pide
• cambiar la contraseña del correo usado en el pedido y revisar su 2FA
• verificar si ese mismo correo se usa en los exchanges

Ejemplo hipotético: cuánto cuesta una sola puerta débil

Las cifras son hipotéticas. Un arbitrajista tiene 12.000 USDT en seis exchanges, 2.000 USDT en cada uno.

En cinco exchanges tiene autenticador y lista blanca; en el sexto, solo SMS y una API key vieja con permiso de retiro. Quedan bajo amenaza real 2.000 USDT, es decir, la sexta parte del capital, aunque cinco cuentas estén bien protegidas.

Una hora de configuración en el sexto exchange cierra ese agujero. La protección de las cuentas es tan fuerte como su eslabón más débil.

Nuestras herramientas

Cuanto menos tiempo dedicas a buscar a mano divergencias entre exchanges, más te queda para poner en orden tus cuentas, y es más cómodo tener todas las plataformas en una sola ventana. Nuestro screener de arbitraje mantiene decenas de plataformas en una ventana, actualiza cotizaciones cada segundo y muestra cada diferencia junto al volumen que realmente la respalda. La calculadora de spreads ayuda a comprobar qué sobrevive a comisiones, costes de red y deslizamiento en tu tamaño. El bot es totalmente manual. Nunca se conecta a las claves API de tus exchanges.

Para probar las herramientas en un mercado en vivo, ArbitrageScanner ofrece un día de acceso gratuito a todo el ecosistema.

FAQ (Preguntas frecuentes)

1. ¿Qué autenticación de dos factores conviene elegir para un exchange?

Una llave física o una app de autenticación. El SMS es la opción más débil por el riesgo de duplicado de la SIM.

2. ¿Qué es la lista blanca de direcciones en un exchange?

Es la relación de direcciones a las que se permite retirar. A cualquier otra dirección no se pueden retirar fondos, y agregar una nueva suele requerir confirmación.

3. ¿Qué es el código antiphishing?

Una frase que el exchange incluye en todos sus correos. Un correo sin ella es falso.

4. ¿Hay que darle permiso de retiro a una API key?

Casi nunca. Es mejor crear la key solo con los permisos necesarios y vincularla a direcciones IP.

5. ¿Qué hago si hackearon la tienda donde compré mi wallet?

Esperar phishing: no abrir enlaces de correos, no ingresar la frase de recuperación en ningún sitio y cambiar la contraseña del correo del pedido.

6. ¿Se puede proteger una cuenta de exchange solo con contraseña?

No. Se necesitan un segundo factor, una lista blanca de direcciones y un correo aparte; si no, la contraseña sigue siendo la única barrera.

Conclusión

La protección de una cuenta de exchange se compone de varias capas: llave física o autenticador en lugar de SMS, lista blanca de direcciones, código antiphishing, un correo aparte y API keys sin permiso de retiro.

Para el arbitrajista con dinero en muchos exchanges es especialmente importante no dejar cuentas débiles. Atacan la puerta más fácil, así que conviene revisar la configuración en cada plataforma y, si una tienda o servicio sufre una filtración, esperar phishing de inmediato.

¡IMPORTANTE! Somos desarrolladores de software. No damos recomendaciones ni promesas de ganancias y no te aconsejamos invertir tu dinero en ningún lado. Nuestro software es totalmente manual, todo tu dinero permanece bajo tu control personal. Mostramos ejemplos de cómo nuestros clientes ganaron con arbitraje en el pasado, pero no aconsejamos repetir esas acciones al pie de la letra. Tus ganancias dependen exclusivamente de tus acciones y de los factores del mercado.