Glosario Crypto
291 Términos
Nivel
AI Scams
Una estafa en la que los atacantes usan los mismos agentes LLM de fundraising que los fundadores Web3 emplean para contactar inversores — pero invertidos, para suplantar a VCs top como Paradigm, 1kx o Variant. La IA redacta emails impecables con la cadencia exacta de un associate real, genera term sheets clonados y coordina llamadas deepfake, todo para drenar wallets de fundadores o extraer acceso al cap-table.
Los atacantes asumen la identidad de un partner real de venture capital — usando su historial público en LinkedIn, sus portfolio companies y su estilo de escritura — para contactar fundadores con ofertas de inversión falsas. En 2026, los LLMs volvieron esto escalable: un operador puede correr 200 personas 'partner' simultáneas a través de Paradigm, a16z, 1kx y Variant con voz y backstory consistentes.
Secuencias de cold email que imitan la línea de apertura de una firma VC real, la redacción de invitación a reunión, el patrón de subject line e incluso la cadencia de follow-up (mar 8:47am, vie 4pm). El clon se entrena con outreach legítimo filtrado o scrapeado y suele ser indistinguible del primer email de un associate real — la única señal está en el paso de pago.
Un PDF convincente que imita la plantilla de term sheet de un VC real — SAFE valuation cap, derechos pro-rata, cláusulas de board observer — usado para presionar al fundador a un rápido 'depósito de formación' o a firmar una transacción con la wallet. A menudo generado por IA desde librerías de plantillas públicas y firmado con un bloque de e-signature falsificado que coincide con el partner suplantado.
Phishing dirigido específicamente a fundadores Web3 y a los signers de sus tesorerías, usando el envoltorio de outreach de inversores (intro de VC falsa, solicitud de due diligence, review de portfolio) en lugar del cebo genérico de 'seguridad de wallet'. El endgame es un token approval firmado en el multisig de tesorería, una filtración del cap-table SAFE o un 'depósito de formación' enviado a la wallet del atacante disfrazada de escrow del partner.
Pipelines automatizados que scrapean Crunchbase, LinkedIn, Messari y X (Twitter) para identificar fundadores activamente levantando ronda, y los priorizan por tamaño de ronda, cadena y balance de tesorería. Los VCs legítimos usan esto para encontrar deals más rápido; los estafadores usan el pipeline idéntico para encontrar *objetivos* — mismo tooling, intención opuesta. La señal está en qué wallet aterriza el 'depósito de formación'.
Una vulnerabilidad que un modelo de lenguaje reporta porque el formato de un informe de auditoría espera hallazgos, no porque el defecto exista. Llega con etiqueta de severidad, referencia de línea y fragmento de remediación, y nada de eso se refiere a tu código. OWASP archiva esta categoría como LLM09 Desinformación: plausible, segura, falsa.
Advanced Attacks
El estafador genera una dirección similar (coincidiendo primeros/últimos caracteres) y te envía una transacción pequeña. Cuando copias del historial, envías a la dirección del estafador.
Una transferencia mínima enviada a tu billetera para meter una dirección en tu historial y hacer que un remitente falso te resulte familiar. En estafas de envenenamiento de direcciones, el polvo es el cebo — el robo real ocurre cuando luego copias por error la dirección envenenada.
Una dirección crypto generada deliberadamente para coincidir con caracteres reconocibles al inicio o al final. Los usuarios legítimos las usan por marca; los estafadores las usan para imitar una dirección confiable lo suficiente como para engañar a alguien que copia desde el historial.
→ Ver también:
Una billetera de enrutamiento de alto tráfico usada por procesadores de pago, mesas OTC o agregadores de trading para recibir y reenviar fondos. Como estas billeteras aparecen constantemente en historiales de usuario, son objetivos ideales para campañas de envenenamiento de direcciones que dependen de la familiaridad visual.
Observar transacciones pendientes en blockchain en tiempo real para identificar objetivos valiosos, billeteras activas y patrones repetidos de transferencia. Los atacantes que envenenan direcciones usan el monitoreo del mempool para detectar quién mueve stablecoins y luego envían transacciones señuelo antes de la siguiente transferencia.
Malware que monitorea tu portapapeles y reemplaza direcciones crypto copiadas con direcciones controladas por el atacante. Siempre verifica la dirección completa antes de enviar.
Comprometer una dependencia o herramienta confiable que usan los desarrolladores. Una actualización maliciosa de paquete npm puede comprometer miles de proyectos simultáneamente.
Ataque Sybil
Avanzado
Crear múltiples identidades falsas para ganar influencia desproporcionada en una red. Usado para manipular votos de gobernanza, falsificar prueba social o farmear airdrops.
Ataque de Minteo Infinito
Avanzado
Explotar un contrato de token para crear tokens ilimitados, luego venderlos antes de que el precio colapse. Frecuentemente apunta a protocolos DeFi mal auditados.
Un ataque que intercepta tokens MFA en tiempo real canalizando la sesión de la víctima a través de un servidor controlado por el atacante. La víctima cree que inicia sesión normalmente — pero el atacante captura contraseña Y código de un solo uso simultáneamente. Así es como ShinyHunters evadió la MFA de Figure.
Convencer a un operador telefónico de transferir tu número a la tarjeta SIM del atacante. Una vez que tienen tu número, reciben tus códigos 2FA, restablecen tus contraseñas y vacían tus cuentas. Las víctimas de la brecha de Figure con teléfonos expuestos son objetivos principales.
Un ataque en el que se generan claves en masa por adelantado a partir de un patrón débil sospechado, se derivan sus direcciones y se vigila la cadena por si alguna recibe fondos. Barato de ejecutar y paciente por naturaleza: algunas wallets vaciadas se fondearon años antes del barrido. Las claves precalculadas no caducan, así que rotar a otro dispositivo es la única solución.
Malware cuyo objetivo es cosechar credenciales: datos de carteras en extensiones, ficheros de frases semilla, cookies de sesión de exchanges y contraseñas guardadas. Las herramientas crackeadas y las descargas de «software especial» son desde hace años uno de sus canales de entrega más fiables.
→ Ver también:
Approval Phishing
Un modelo de kit criminal por suscripción (Drainer-as-a-Service) documentado por Chainalysis y TRM Labs, en el que un desarrollador construye contratos drainer y plantillas de phishing y los alquila a afiliados que ejecutan las campañas. ScamSniffer nombró a Angel, Pink e Inferno como servicios drainer activos en 2024.
→ Ver también:
Un exploit que abusa del contrato Permit2 de Uniswap — una sola firma off-chain otorga al atacante permiso para mover tokens después, sin transacción on-chain visible al momento de firmar. Las billeteras de hardware muestran solo datos hex opacos, haciéndolo casi invisible para las víctimas.
→ Ver también:
Cuando una billetera (especialmente de hardware como Ledger/Trezor) muestra solo bytes hex en bruto en lugar de detalles de transacción legibles. Los usuarios aprueban operaciones que no pueden entender — la vulnerabilidad central que Phantom explotó vía Permit2 para evadir incluso el almacenamiento en frío.
Una operación de phishing que se hace pasar por un airdrop legítimo de token próximo (LayerZero, zkSync, Linea, Scroll, Berachain) usando landing pages clonadas, dominios typosquat y anuncios pagados en X. El botón 'Reclamar' activa una firma de aprobación maliciosa en lugar de otorgar tokens. ScamSniffer rastreó 47 de estas campañas que drenaron $100M de 18,200 billeteras en Q1 2026.
Un modelo criminal por suscripción donde los autores del toolkit venden kits drainer listos para usar en Telegram por $300-$500. El kit incluye landing pages clonadas, código de contrato inteligente malicioso, integración de billetera y un panel de administración en tiempo real. Los compradores se quedan con ~80% de los fondos drenados; los autores del toolkit se quedan con ~20%. Redujo la barrera técnica para airdrops falsos a casi cero en 2026.
Un dominio similar casi idéntico registrado para suplantar un proyecto legítimo — por ejemplo un guion insertado en el nombre real, o 'claim-' pegado al ticker de un token en un TLD barato (patrones ilustrativos, no dominios registrados). Los operadores combinan el dominio con visuales clonados y anuncios en X para que las víctimas confíen en la página en segundos. El 89% de víctimas de airdrops falsos en Q1 2026 reportaron que la URL 'parecía exactamente correcta' antes de hacer clic.
Cuando un drainer de airdrop falso no necesita una firma nueva porque la víctima ya otorgó aprobación ilimitada de tokens a un protocolo DeFi rutinario meses antes. El contrato drainer llama a transferFrom(víctima, operador, saldo) usando la aprobación inactiva. El mayor drenaje único de $1.4M en Q1 2026 ocurrió así — configurado en 2025, explotado en 2026.
El hábito defensivo de revisar y revocar periódicamente las aprobaciones ilimitadas de tokens usando herramientas como Revoke.cash o la pestaña Token Approvals de Etherscan. Sin revocación, cada aprobación otorgada permanece activa para siempre — una superficie de ataque inactiva. ScamSniffer estima que el 60% de las pérdidas por airdrops falsos del Q1 2026 podrían haberse evitado con higiene trimestral de revocación.
Attack Vectors
Estado que se modifica mientras una cuenta inteligente solo debería estar comprobando si una operación está permitida. Las aprobaciones concedidas durante la validación nunca llegan a una pantalla de confirmación, así que el usuario ve una transacción normal y correcta y una allowance que nunca aceptó.
→ Ver también:
Recoger aprobaciones de tokens de muchas wallets en silencio y volver más tarde para gastarlas de una vez. Nada parece robado mientras los permisos se acumulan, y por eso el intervalo entre la recolección y el drenaje puede ser de días.
→ Ver también:
Registrar nombres de paquetes que los asistentes de IA alucinan, para que el siguiente desarrollador que siga la sugerencia instale el código del atacante. El estudio de USENIX Security 2025 sobre 576.000 muestras de código generado halló que el 19,7% de las dependencias recomendadas no existía y catalogó unos 205.000 nombres inventados únicos que se repiten entre ejecuciones.
→ Ver también:
Un defecto real y explotable creado al aplicar el arreglo de un problema que nunca existió: un guard de reentrada eliminado por «redundante», un modificador de acceso ampliado para callar un hallazgo fantasma, una llamada comprobada cambiada por una sin comprobar. El diff es pequeño, suena tranquilizador y se fusiona en minutos.
→ Ver también:
Un token desplegado con el nombre, símbolo y decimales de un activo real como Tether USD, pero en una dirección de contrato distinta. Las carteras lo muestran correctamente porque están hechas para mostrar lo que declara el contrato; la única identidad de un token es su dirección de contrato.
→ Ver también:
Usar los campos de texto libre de nombre y símbolo de un token para imitar un activo de confianza. Un símbolo es una etiqueta, no un permiso ni una acreditación: «USDT» en una cartera no prueba nada hasta que la dirección del contrato coincide con la publicada por el emisor.
→ Ver también:
Banking Fraud
Un documento que da permiso a alguien para RETIRAR dinero de TU cuenta — no es un pago, es una llave. Los estafadores lo usan para vaciar cuentas de empresa después de que las víctimas firman 'contratos de inversión'.
Una persona que sin saberlo procesa dinero robado a través de sus cuentas. En estafas SEPA, el 'deudor' se convierte en el chivo expiatorio cuando la policía investiga — su firma está en todos los documentos.
Basic Concepts
Criptomoneda
Principiante
Dinero digital que usa criptografía para seguridad. No controlado por bancos o gobiernos. Bitcoin fue la primera criptomoneda, creada en 2009.
Bitcoin (BTC)
Principiante
La primera y más valiosa criptomoneda. Creada por Satoshi Nakamoto en 2009. Limitada a 21 millones de monedas. A menudo llamada 'oro digital'.
Ethereum (ETH)
Principiante
La segunda criptomoneda más grande. A diferencia de Bitcoin, puede ejecutar contratos inteligentes — programas que se ejecutan automáticamente. La mayoría de DeFi y NFTs funcionan en Ethereum.
Blockchain
Principiante
Un libro mayor digital que registra todas las transacciones en una red. Cada 'bloque' está enlazado al anterior, haciendo casi imposible alterar el historial.
Billetera
Principiante
Software o hardware que almacena tu criptomoneda. Guarda tus claves privadas que prueban que eres dueño de tus monedas. Pierdes las claves, pierdes las monedas.
Exchange
Principiante
Una plataforma donde compras, vendes e intercambias criptomonedas. Ejemplos: Binance, Coinbase, Kraken. Los exchanges centralizados guardan tus fondos; los descentralizados no.
Stablecoin
Principiante
Una criptomoneda vinculada a un activo estable como USD. USDT y USDC son las más populares. Diseñadas para evitar la volatilidad de Bitcoin y Ethereum.
HODL
Principiante
Jerga crypto para 'mantener' — originado de un error tipográfico. Significa mantener tu criptomoneda a largo plazo en lugar de vender durante caídas de precio.
Una transferencia liquidada en blockchain que ningún operador, banco o juzgado puede deshacer. Los pagos de efectivo a cripto son irreversibles y los autoriza quien envía, por eso las devoluciones no existen en la práctica.
→ Ver también:
Lingotes numerados concretos reservados a un propietario, que no se pueden prestar, pignorar ni contar dos veces. La asignación solo significa algo si se pueden inspeccionar los números de serie y el custodio.
→ Ver también:
El estándar del mercado de Londres para un lingote de oro: entre 350 y 430 onzas troy finas con una ley mínima de 995, producido por una refinería incluida en una lista pública de acreditación. El estándar se aplica a lingotes, nunca a tokens ni aplicaciones.
→ Ver también:
La unidad en la que se cotiza y se tokeniza el oro: 31,1035 gramos de metal puro. Una tonelada métrica son unas 32.150 onzas troy finas, lo que limita cuántos tokens de una onza puede respaldar una tonelada declarada.
→ Ver también:
La prueba de que los activos detrás de un token existen, publicada por una firma con nombre, fecha, alcance y método. Un logotipo en un PDF sin nombre del contable y sin fecha no prueba nada.
→ Ver también:
En el marco europeo MiCA, un token cuyo valor referencia un activo como el oro o una cesta de divisas. Ofrecerlo al público europeo exige un emisor autorizado y un libro blanco publicado.
→ Ver también:
Un activo que cuesta dinero mantener y no produce ingresos. El oro tiene costes de almacenamiento y seguro y no paga cupón, renta ni dividendo, así que cualquier rentabilidad fija sobre lingote se financia desde otro sitio.
→ Ver también:
Un activo físico o financiero — inmuebles, deuda pública, materias primas — representado por un token. El token vale exactamente lo que valga el derecho legal documentado detrás de él.
Una sociedad creada para tener un único activo, por ejemplo un edificio. Los titulares de tokens suelen poseer una parte de esta sociedad y no el inmueble, así que su inscripción y su orden de prelación deciden qué recuperan.
El alquiler después de vacantes, impuestos, seguro, mantenimiento, gestión y comisiones, dividido por el precio pagado. Las rentabilidades netas residenciales están en un dígito bajo en la mayoría de ciudades occidentales.
→ Ver también:
La comunicación que los emisores estadounidenses presentan normalmente para una oferta privada exenta de valores, consultable gratis en la base EDGAR de la SEC. Una oferta comercializada en EE. UU. sin ninguna comunicación no está exenta: está sin comunicar.
Una consulta pública de quién está inscrito como propietario de un inmueble y qué cargas pesan sobre él. Si el propietario inscrito no es el vehículo que vende los tokens, el token no tiene camino hasta el edificio.
Bridge Security
Infraestructura que transfiere tokens entre diferentes blockchains bloqueando activos en una cadena y acuñando equivalentes en otra. Los puentes contienen miles de millones en fondos bloqueados, convirtiéndolos en los objetivos de mayor valor en DeFi — responsables de $2.8B+ en pérdidas desde 2021.
Cuando un atacante obtiene la clave privada que controla un contrato inteligente o billetera. En el hack del puente IoTeX ioTube, una clave privada comprometida dio al atacante control total sobre $8.8M en fondos bloqueados del puente — sin necesidad de código exploit.
Una billetera que requiere múltiples claves privadas para autorizar transacciones (ej., 3 de 5). Diseñada para prevenir puntos únicos de fallo. El puente ioTube de IoTeX usaba multifirma — pero cuando suficientes firmantes fueron comprometidos, la 'red de seguridad' se convirtió en el vector de ataque.
→ Ver también:
El proceso de validar que un mensaje de una blockchain es auténtico antes de ejecutarlo en otra. El puente de CrossCurve falló en verificar correctamente los mensajes cross-chain, permitiendo al atacante forjar pruebas de retiro y drenar $3M en liquidez.
Retirar ilegítimamente todos los tokens de un pool de liquidez explotando vulnerabilidades del contrato. En el exploit de CrossCurve, el atacante usó mensajes cross-chain falsificados para drenar pools en múltiples cadenas en menos de 15 minutos.
Un nodo responsable de confirmar que las transacciones cross-chain son legítimas antes de liberar fondos. Cuando los validadores están centralizados o mal asegurados, un solo compromiso puede desbloquear toda la tesorería del puente. El exploit de IoTeX apuntó a este eslabón débil.
Una protección en Solidity (ej. `onlyOwner`, `onlyRelayer`) que restringe quién puede llamar una función privilegiada. El exploit de Hyperbridge ocurrió porque el helper `mint()` del TokenGateway en Ethereum se desplegó sin uno — cualquier dirección podía llamarlo y falsificar $1.2B de wDOT sin respaldo.
El punto de entrada del contrato que crea tokens envueltos en la cadena destino tras verificar un mensaje cross-chain. Debe poder llamarla solo un relayer autenticado con una prueba de consenso válida. Cuando esta función queda expuesta públicamente — como en Hyperbridge — el minteo se vuelve una imprenta libre.
Tokens envueltos creados en una cadena sin un balance bloqueado o quemado correspondiente en la cadena origen. No tienen colateral real — solo lo que el mercado pague antes de notar que la oferta es falsa. El atacante minteó 1.000.000.000 wDOT sin respaldo y solo logró extraer $237k antes de que la liquidez de Uniswap colapsara.
Un ataque a los contratos del lado Ethereum que envuelven el tráfico XCM (Cross-Consensus Messaging) de Polkadot. El DOT real en Polkadot nunca se toca; la pérdida cae sobre los holders del activo envuelto en Ethereum y los pools de DEX que lo cotizaban. Hyperbridge fue el primer caso mediático a escala de mil millones en valor nominal.
Common Scams
Intentos fraudulentos de obtener información sensible haciéndose pasar por una entidad confiable. En crypto, frecuentemente busca frases semilla, claves privadas o credenciales de exchanges.
→ Ver también:
Un fraude donde los retornos de inversores tempranos se pagan con capital de nuevos inversores, no con ganancias legítimas. Colapsa cuando los depósitos no cubren los retornos prometidos.
→ Ver también:
Cuando los desarrolladores de un proyecto abandonan y huyen con los fondos de los inversores. Común en DeFi y lanzamientos de tokens nuevos.
→ Ver también:
Estafa de romance o amistad a largo plazo donde las víctimas son 'engordadas' con relaciones falsas antes de convencerlas de invertir en plataformas crypto fraudulentas.
→ Ver también:
Ninguna inversión legítima garantiza retornos. Los mercados crypto son volátiles. Cualquiera prometiendo ganancias fijas diarias/semanales está ejecutando un Ponzi o estafa de salida.
→ Ver también:
Cryptography
Criptografía de Curva Elíptica (ECC)
Avanzado
La base matemática de los pares de claves de Bitcoin y Ethereum. Usa la curva secp256k1. Proporciona seguridad sin la carga computacional de RSA.
Función Hash
Avanzado
Función matemática unidireccional que convierte cualquier entrada a una salida de tamaño fijo. SHA-256 asegura Bitcoin. Keccak-256 asegura Ethereum. Las colisiones son computacionalmente inviables.
Árbol de Merkle
Avanzado
Estructura de datos usada en blockchains donde cada nodo hoja es un hash de transacción, y los nodos padres son hashes de sus hijos. Permite verificación eficiente de grandes conjuntos de datos.
Prueba de Conocimiento Cero (ZKP)
Avanzado
Método criptográfico para probar que sabes algo sin revelar qué sabes. Impulsa monedas privadas como Zcash y soluciones de escalado como zkSync.
Computación Multi-Parte (MPC)
Avanzado
Técnica donde múltiples partes calculan conjuntamente una función sobre sus entradas sin revelarlas. Usada en seguridad de billeteras institucionales para dividir claves privadas.
La aleatoriedad en bruto que recoge una wallet antes de convertirla en clave privada o semilla. Buenas fuentes: ruido del chip, jitter de sensores, variaciones de tiempo. Malas fuentes: relojes, contadores o un generador de hardware que falla en silencio. Una clave débil se ve idéntica a una fuerte desde fuera, por eso la entropía es la única parte de la seguridad que el usuario no puede verificar después.
→ Ver también:
Un defecto en cómo una wallet crea claves, normalmente entropía sesgada o insuficiente, que reduce el espacio de claves posibles de astronómico a buscable. Quien deduzca el sesgo puede recrear claves en su propio hardware y gastar desde esas direcciones sin tocar el dispositivo de la víctima. El almacenamiento offline no protege de esto.
→ Ver también:
La regla de BIP-32 y BIP-39 por la que una semilla produce todas las direcciones que usará una wallet, en un orden fijo. Excelente para copias de seguridad: una frase lo restaura todo. Peligroso cuando la semilla es débil, porque un solo número adivinable expone el árbol completo de cuentas, incluidas las direcciones de cambio sin gastar.
→ Ver también:
DeFi
Código auto-ejecutable en blockchain que corre cuando se cumplen condiciones. Impulsa DeFi, NFTs y la mayoría de crypto moderno. Puede ser explotado si está mal escrito.
Permiso otorgado a un contrato inteligente para gastar tus tokens. Aprobaciones maliciosas pueden vaciar billeteras enteras. Siempre revisa lo que estás aprobando.
Cuando apruebas un contrato para gastar una cantidad ilimitada de tus tokens. Contratos maliciosos usan esto para vaciar todo, no solo lo que pretendías gastar.
Una colección de tokens bloqueados en un contrato inteligente que permite trading en exchanges descentralizados. Los estafadores crean pools falsos, luego drenan la liquidez (rug pull).
Prestar o hacer staking de crypto para ganar intereses. Los rendimientos legítimos son 5-20% APY. Las plataformas estafa prometen 100%+ retornos diarios — esos son esquemas Ponzi.
Developer Scams
Malware oculto en scripts postinstall de package.json de npm. Se ejecuta automáticamente al correr npm install, escaneando datos de billeteras y claves privadas.
Un repo de GitHub con malware oculto disfrazado de prueba de código. Al ejecutar npm install, extrae silenciosamente credenciales de billeteras y las envía a servidores atacantes.
La urgencia previene la verificación. Las empresas reales tienen procesos de múltiples etapas. Los estafadores necesitan que ejecutes código malicioso antes de que preguntes '¿puedo verificar esto en su sitio oficial?'
Copia de una herramienta de desarrollo controlada por un atacante que puede ignorar el código visible y devolver bytecode malicioso. Una interfaz familiar no prueba que la salida coincida con la entrada.
Investment Fraud
En contextos de estafa: Un panel mostrando números falsos. No hay bot. No hay algoritmo. Solo una consulta SQL que añade 1% a tu saldo diario hasta que los retiros excedan los depósitos.
Código diseñado para transferir activos de una billetera al operador. En tutoriales de bots falsos, la propia víctima puede desplegar y financiar el drenador sin firmar una aprobación convencional.
Legal Traps
Elegir deliberadamente ley extranjera y arbitraje (ej., ley húngara para un contrato español) para hacer la acción legal prohibitivamente cara e inconveniente para las víctimas.
Una cláusula de contrato que te hace certificar PERSONALMENTE que los fondos son legales 'bajo pena de perjurio'. Si el dinero es sucio, firmaste tu propia confesión. El estafador queda libre.
Money Laundering
Sindicatos criminales profesionales que usan infraestructura en mandarín para lavar crypto robado. Surgieron durante el COVID cuando las rutas de contrabando físico cerraron. Procesan el 20% de todos los flujos crypto ilícitos — $16.1B en 2025.
Un mercado en plataformas de mensajería cifrada donde los criminales compran y venden servicios de lavado, datos robados y herramientas de fraude. La 'garantía' es que el mercado retiene los fondos hasta que ambas partes confirmen. Piensa en Amazon — para el crimen.
Un negocio de servicios monetarios sin licencia que usa la infraestructura de un exchange legítimo. Procesa fondos ilícitos a través de las cuentas del exchange más grande, ocultando dinero sucio en volumen de transacciones normales.
La técnica principal de lavado. Envía $1M a una billetera, 'pela' $10K a una nueva dirección, envía el resto. Repite 100 veces. Cada pelado va a un punto de cobro diferente. Como pelar una cebolla — y hace llorar a los investigadores de la misma manera.
El mayor mercado ilícito documentado. Con sede en Camboya. $70B+ en volumen. FinCEN lo designó 'preocupación principal de lavado.' Cuando Tether congeló sus billeteras, lanzaron su propia stablecoin. USDH. Cuando la policía cierra la puerta, construye tu propia puerta.
→ Ver también:
Intermediario de casino con licencia convertido en rampa de acceso para lavado. Nacionales chinos depositan yuanes, operadores convierten a fichas de casino de Macao, las fichas se convierten en USDT, USDT fluye a mercados de mensajería cifrada. El dinero limpio sale en otro país.
→ Ver también:
Campos cercados en Camboya, Myanmar y Laos donde víctimas de tráfico son forzadas a ejecutar estafas pig butchering bajo amenaza de violencia. Más de 100,000 personas atrapadas. Los fondos robados fluyen directamente a redes de lavado CMLN.
La infraestructura de extremo a extremo que conecta campos de estafa con puntos de cobro. Las víctimas son captadas en campos, los fondos fluyen a través de mesas OTC de USDT, luego a junkets de casino o empresas fantasma. Cada etapa es operada por una célula criminal diferente.
Brokers over-the-counter sin licencia que convierten USDT robado en moneda fiat o crypto limpio. Operan en plataformas de mensajería cifrada, cobran 1-5% de comisión y procesan millones diariamente sin KYC. La columna vertebral de las operaciones de cobro CMLN.
Un canal de lavado donde crypto ilícito se convierte en fichas de casino vía operadores junket en Macao o el Sudeste Asiático, se apuesta mínimamente y se cobra como 'ganancias.' Las conexiones de casino del Grupo Huione procesaron miles de millones con este método.
OTC Fraud
Una ficción de estafadores para describir Bitcoin supuestamente 'contaminado' por actividad criminal. Se usa para justificar descuentos falsos sin sentido económico. Es una estafa de pago anticipado.
Estafas de trading over-the-counter donde criminales prometen criptomonedas con descuento en tratos privados. Siempre termina con víctimas pagando fees por Bitcoin que nunca llega.
Un procedimiento de 'verificación' falso en estafas OTC donde las víctimas envían pequeñas cantidades de Bitcoin para probar que tienen fondos. El estafador se queda con estos 'tests' y pide más.
Jerga fabricada sin base en transacciones Bitcoin. Los estafadores inventaron el término porque suena técnico y crea una ventana de 2-3 horas donde las víctimas esperan, invertidas, sin hacer preguntas.
Una pequeña tarifa de avance usada para probar la voluntad de pago de una víctima antes de escalar a 'tarifas' mayores. La cantidad precisa suena profesional pero es completamente arbitraria.
Una tarifa falsa que los estafadores afirman se requiere para 'registrar' tu billetera para transacciones grandes. Ninguna blockchain o servicio legítimo requiere esto.
Jerga del mundo físico usada en estafas OTC de efectivo para fabricar narrativas de alto riesgo 'efectivo por BTC'. La casa de seguridad no existe.
Un montaje en estafas OTC de Dubái donde los estafadores prometen 'entrega en coche blindado' de Dirhams en efectivo. El vehículo existe. El dinero dentro no. Pura escenografía para justificar una tarifa logística de 25.000 AED.
Una táctica de manipulación donde cada etapa de un trato OTC introduce una nueva tarifa — compliance, logística, seguro, verificación AML. Cada tarifa es lo suficientemente pequeña para parecer razonable. Juntas te desangran antes de que ocurra ningún intercambio.
Un plazo artificial impuesto por estafadores — generalmente 24-48 horas — para forzar a las víctimas a enviar fondos antes de verificar. 'La tasa expira a medianoche.' No es cierto. Pero tu dinero sí.
El principio innegociable en tratos OTC legítimos: nunca liberes crypto hasta que el efectivo físico esté verificado en mano. Cada estafa en nuestra investigación de Dubái violó esta regla. Cada una.
Crear una copia casi idéntica de la cuenta de mensajería de alguien — mismo nombre, foto, biografía — para suplantarlo. En fraude OTC, los clones contactan exchanges reales haciéndose pasar por la víctima. No requiere hacking: solo una cuenta nueva y 90 segundos copiando.
Un ataque de ingeniería social donde una persona — no malware — se sitúa entre dos partes, retransmitiendo y alterando mensajes en tiempo real. Ambas partes creen que se comunican directamente. El atacante controla la conversación, sustituyendo direcciones de billetera o datos de pago.
Una técnica donde el estafador reenvía un pequeño pago de prueba desde su propia billetera a la víctima, haciendo parecer que la contraparte legítima lo envió. La víctima 'verifica' la transacción y aprueba la transferencia completa — que va a la dirección del estafador.
Registrar un nombre de usuario casi idéntico al del objetivo — usando guiones bajos extra, intercambio de caracteres cirílicos o puntos añadidos. En un chat grupal concurrido, 'trader_alex' vs 'trader__alex' pasa desapercibido. El nombre visible coincide perfectamente; solo el handle difiere en un carácter invisible.
Privacy & Anonymity
Análisis de Cadena
Avanzado
Técnicas para rastrear transacciones de criptomonedas y vincular billeteras a identidades reales. Empresas como Chainalysis ayudan a las autoridades a rastrear fondos robados y lavado de dinero.
Mezclador / Tumbler
Avanzado
Servicio que rompe el rastro de transacciones mezclando fondos de múltiples usuarios. Tornado Cash fue sancionado por el Tesoro de EEUU. Usar mezcladores puede marcar tu billetera.
Enviar cantidades mínimas de crypto a muchas billeteras para rastrear su actividad. Cuando gastas el 'polvo' con otros fondos, los atacantes pueden vincular tus direcciones.
Protocol Mechanics
Mecanismo de Consenso
Avanzado
Cómo una blockchain acuerda el estado verdadero del libro mayor. Proof-of-Work (Bitcoin) usa minería. Proof-of-Stake (Ethereum) usa validadores. Cada uno tiene compensaciones de seguridad.
Ataque del 51%
Avanzado
Cuando una sola entidad controla la mayoría del hashpower o stake de la red, permitiendo doble gasto y censura de transacciones. Más práctico en cadenas pequeñas.
MEV (Valor Extraíble Máximo)
Avanzado
Ganancia que mineros/validadores pueden extraer reordenando, insertando o censurando transacciones. Front-running, ataques sandwich y sniping de liquidaciones son estrategias MEV.
Gas
Avanzado
La unidad que mide el esfuerzo computacional en Ethereum. Cada operación cuesta gas. Alta demanda de red = precios de gas más altos = transacciones más costosas.
Mempool
Avanzado
La sala de espera para transacciones no confirmadas. Los atacantes monitorean mempools buscando oportunidades de front-running rentables. Los servicios de transacciones privadas evitan esta exposición.
Una puja en la mempool de Bitcoin. RBF (BIP-125) permite reemplazar una transacción sin confirmar por otra que paga más comisión, y los mineros toman la que más paga. En los drenajes de wallets frías, los atacantes lo usaron contra víctimas que intentaban salvar el saldo restante: cada intento de rescate fue reemplazado por un barrido con más comisión, pagado con las monedas robadas.
→ Ver también:
Un estándar de Ethereum que permite que una wallet sea un contrato inteligente en lugar de una clave privada suelta. Habilita agrupación de operaciones, recuperación social, session keys y gas patrocinado. El coste es un camino más largo: la transacción pasa por un bundler, un contrato entry point, la cuenta y a veces un paymaster, y cada salto es código que puede estar mal.
→ Ver también:
El contrato que paga el gas en tu nombre para que la transacción parezca gratis. Se invoca durante la validación, y por eso un paymaster malicioso o con permisos demasiado amplios es peligroso: si puede cambiar estado mientras valida, puede fijar aprobaciones de tokens a favor del atacante sin ningún aviso en la wallet.
El actor fuera de cadena que recoge operaciones de usuario de un mempool alternativo, las empaqueta y las envía al contrato entry point en cadena. Decide qué se incluye y en qué orden, así que ve tu intención antes que la red.
→ Ver también:
El sustituto de una transacción normal en ERC-4337. Lleva los datos de la llamada, los límites de gas, la firma y, opcionalmente, los datos del paymaster. Firmar una es aprobar toda una tubería, no una simple transferencia, y por eso la letra pequeña importa más que el importe.
Una clave limitada que permite a una aplicación actuar por ti durante un tiempo sin pedir permiso cada vez. Útil para trading y automatización, y también un permiso permanente que sobrevive a la transacción que lo creó. Limita su alcance, ponle caducidad y revócala cuando acabe la sesión.
→ Ver también:
Red Flags
Un contrato donde TUS datos están completos pero los campos del destinatario están deliberadamente vacíos. No es 'para completar después' — diseñado para ocultar quién toma tu dinero hasta que desaparece.
Un gráfico de confianza que afirma que un proyecto fue revisado por una herramienta de IA. No hay firma con nombre, ni alcance, ni metodología, ni firma personal, ni responsabilidad detrás, y nada en el proceso de listado o de los agregadores verifica que se ejecutara herramienta alguna. En la página de un lanzamiento fraudulento cumple una función: convertir la duda en un depósito.
→ Ver también:
Scam Tactics
Una secuencia de pagos pequeños en la que cada uno se justifica con el anterior: licencia, luego clave de activación, luego «energía de red», luego un slot de servidor. Ninguna cantidad parece excesiva frente al premio prometido, y justo por eso el total sí lo es.
→ Ver también:
La segunda cosecha. Tras una pérdida aparece un «experto en recuperación» que ofrece rastrear o desbloquear los fondos por un anticipo. Suele dirigirse a la misma lista de víctimas del fraude original, porque esa lista ya ha demostrado que paga.
→ Ver también:
Una máquina física, llamada a menudo cajero cripto, que acepta billetes y envía criptomoneda a una dirección escaneada. Es de sentido único y definitiva: no hay reversión, ni contracargo, ni contraparte que custodie los fondos.
→ Ver también:
Saltarse la criptografía y aplicar presión física sobre quien tiene las claves: extorsión, asalto en domicilio, secuestro. Su requisito previo es una lista corta de nombres, direcciones y saldos probados, justo lo que produce una fuga de identidad más libro contable.
→ Ver también:
Un primer pago pequeño presentado como prueba de que el canal funciona. Su función real es convertir la duda en obediencia, tras lo cual los importes solicitados suben.
Un destino de cartera escondido en un código QR que facilita el estafador. La víctima no puede leer la dirección, así que escanearlo es, por definición, enviar dinero a un desconocido.
→ Ver también:
Un fondo de dinero mantenido para que las distribuciones parezcan puntuales. El alquiler llega mensual y de forma irregular, así que unos pagos diarios garantizados necesitan un fondo, y en un fraude ese fondo son los depósitos de los compradores más nuevos.
Security Basics
Una frase de recuperación de 12-24 palabras que otorga acceso completo a tu billetera crypto. Nunca la compartas. Los servicios legítimos nunca la pedirán.
→ Ver también:
Una clave criptográfica que prueba propiedad y permite gastar criptomonedas. Cualquiera con tu clave privada controla tus fondos. Nunca la compartas.
→ Ver también:
Dirección Pública
Principiante
La dirección de 'recepción' de tu billetera. Como un email para crypto — seguro compartir al recibir fondos. Se deriva de tu clave privada.
Una capa de seguridad que requiere dos formas de verificación. Prefiere apps autenticadoras sobre SMS. Los estafadores frecuentemente intentan obtener códigos 2FA mediante ingeniería social.
Dispositivo físico que almacena claves privadas fuera de línea. Los estafadores envían cartas falsas de 'reemplazo' alegando que tu dispositivo está comprometido, pidiéndote ingresar tu frase semilla en un sitio de phishing.
Un secreto extra, definido en BIP-39, que se combina con las palabras de la semilla para derivar una wallet completamente distinta. Como lo eliges tú, una semilla comprometida o predecible no basta para gastar tus fondos. El coste es implacable: si pierdes la passphrase pierdes las monedas, así que debe respaldarse aparte de las palabras.
→ Ver también:
Repartir saldos o signers de multisig entre hardware de fabricantes distintos para que el fallo de firmware o de generación de claves de un proveedor no se lo lleve todo. Un quórum dos de tres con dos marcas convierte un fallo catastrófico de un fabricante en una molestia y una migración.
→ Ver también:
Cuánto ruido produce una herramienta de detección por cada hallazgo real. Suena a estadística y se comporta como un presupuesto: en pruebas publicadas de GPT-4 y Claude contra 52 protocolos DeFi auditados, los ajustes que sacaban la mayoría de vulnerabilidades genuinas generaban unos treinta y nueve inventados por cada real, convirtiendo el tiempo de revisión senior en triaje.
→ Ver también:
La sección de una auditoría real que dice qué se examinó y, más importante, qué no: el hash del commit, los contratos incluidos, los supuestos y los componentes excluidos. Los informes generados nunca lo tienen, porque un alcance es una promesa y un modelo no puede prometer nada.
→ Ver también:
La secuencia de transacciones reproducible o el test que falla y demuestra que una vulnerabilidad es real. Es el filtro más barato contra los informes de seguridad escritos por máquinas: un hallazgo genuino la trae y uno alucinado se disuelve en generalidades en cuanto la pides.
→ Ver también:
Security Incidents
Acceso no autorizado a datos sensibles de usuarios. En crypto, emails y direcciones filtradas permiten ataques de phishing dirigidos contra tenedores conocidos.
Cualquier dato que pueda identificar a un individuo específico: nombre completo, dirección, fecha de nacimiento, teléfono, email. ShinyHunters exfiltró 2.5 GB de PII de Figure Technology — suficiente para alimentar robo de identidad, SIM swaps y phishing dirigido durante años.
→ Ver también:
La transferencia no autorizada de datos fuera de una organización. ShinyHunters extrajo 2.5 GB de Figure Technology en menos de 30 minutos — más rápido de lo que la mayoría de empresas pueden detectar una anomalía, mucho menos responder. Cuando alguien lo notó, los datos estaban en un sitio de filtración Tor.
Smart Contract Security
Proceso de compilación malicioso que despliega código de máquina distinto del fuente mostrado. La billetera firma el binario sustituido, no el texto tranquilizador de la pantalla.
Ataque de Préstamo Flash
Avanzado
Explotando lógica de protocolos usando préstamos sin colateral que deben pagarse en una transacción. Los atacantes manipulan precios, drenan liquidez y pagan — todo atómicamente.
Ataque de Reentrancia
Avanzado
Exploit donde un contrato malicioso llama repetidamente al contrato víctima antes de que la primera ejecución complete. Causó el hack del DAO en 2016 ($60M de pérdida). Las variantes modernas apuntan a puentes cross-chain y pools de préstamos DeFi.
→ Ver también:
Manipulación de Oráculo
Avanzado
Ataque dirigido a los feeds de datos de los que dependen los protocolos DeFi. Manipulando el precio del oráculo, los atacantes pueden pedir prestado contra colateral inflado o disparar liquidaciones injustas.
Patrón de contrato inteligente que permite upgrades cambiando el contrato de implementación. Dueños maliciosos pueden actualizar a un contrato drenador, robando todos los fondos depositados. El puente ioTube de IoTeX usaba contratos proxy actualizables — la clave comprometida permitió al atacante redirigir la implementación.
→ Ver también:
Time-Lock
Avanzado
Mecanismo de retraso que requiere período de espera antes de ejecutar operaciones sensibles. Los buenos proyectos tienen timelocks de 24-72h para que usuarios puedan salir antes de que upgrades maliciosos tomen efecto.
Technical
Un estándar de correo (RFC 7489) que comprueba si el dominio remitente visible cuadra con los resultados de SPF y DKIM. Autentica un dominio, nunca la autoridad de una persona: un correo desde una cuenta comprometida de una agencia real lo pasa sin problema.
→ Ver también:
La foto de vivacidad tomada sosteniendo un documento de identidad, que prueba que la cara y el papel coinciden. Filtrada se convierte en un kit para abrir cuentas a tu nombre y, a diferencia de una contraseña, no se puede cambiar.
→ Ver también:
Análisis que agrupa direcciones de Bitcoin en una sola cartera mediante heurísticas de propiedad común de entradas y de salidas de cambio. Una dirección atada a una persona con nombre es un hilo, no un punto: desenreda gran parte de su historial on-chain.
→ Ver también:
La base legal que permite a una entidad regulada divulgar tus datos personales — y a menudo retrasar el aviso — cuando lo pide una autoridad competente. La misma norma que protege investigaciones reales silencia a la única persona que detectaría el fraude al instante.
Technical Terms
El código que permite a una dirección privilegiada crear tokens nuevos. Si el emisor conserva esa llave, la oferta pasa a ser una decisión en lugar de una consecuencia de los depósitos, y el respaldo uno a uno no sobrevive.
→ Ver también:
Token Scams
Un token falso creado para imitar USDT real. Tiene el mismo nombre y logo pero una dirección de mint diferente. Vale exactamente $0 porque Tether no lo emitió.
→ Ver también:
Una señal de alerta donde estafadores explican por qué su token falso no aparece automáticamente. El USDT real aparece en billeteras principales sin añadirlo manualmente.
→ Ver también:
Distribuciones falsas de tokens gratis diseñadas para robar acceso a billeteras. La transacción de 'reclamar' es en realidad una aprobación maliciosa que vacía tu billetera.
Un botón engañoso en estafas de airdrop disfrazado como reclamo. Al firmar, das permiso al contrato del estafador para mover TODOS tus tokens sin autorización adicional.
Un token diseñado para dejarte comprar pero no vender. El contrato inteligente bloquea ventas mientras permite compras, atrapando tus fondos para siempre.
Un contrato inteligente que permite compras de tokens pero revierte cada transacción de venta. El código contiene modificadores ocultos — como onlyOwner en transfer — que hacen imposible vender para cualquiera excepto el desplegador.
Un script automatizado que monitorea una dirección de wallet y drena instantáneamente cualquier fondo entrante — incluyendo depósitos de gas. A las víctimas se les dice 'envía BNB para gas' para desbloquear sus tokens, pero el bot lo barre en segundos.
→ Ver también:
Agregar un token estafa a tu wallet pegando su dirección de contrato. El token imita el nombre y logo de un proyecto real pero no tiene valor y está diseñado para robar tus fondos mediante mecánicas honeypot.
Uncategorized
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
Un concepto documentado en nuestra investigación. Consulta el caso completo para análisis detallado y ejemplos reales.
¿Encontraste un término que falta?
Los estafadores inventan nuevos términos constantemente. Ayúdanos a documentarlos.
Sugerir un término
Social Engineering
Vishing
Phishing de voz - estafas telefónicas donde atacantes se hacen pasar por soporte de exchanges o equipos de seguridad para extraer credenciales o códigos 2FA.
→ Ver también:
Suplantación SMS
Técnica donde estafadores envían mensajes que parecen venir de fuentes legítimas como Binance o Coinbase. El ID del remitente puede falsificarse para coincidir con números de soporte oficiales.
→ Ver también:
Solo Quedan 500 Lugares
Urgencia falsa para prevenir investigación. No hay límite — el mensaje dice a todos '500 lugares.' Te presionan para que hagas clic antes de pensar.
→ Ver también:
Verificar Elegibilidad
Una página de phishing diseñada para que conectes tu billetera. La 'verificación' siempre pasa — porque no te están verificando, están accediendo a tus activos.
→ Ver también:
Deepfake
Medios sintéticos generados por IA que manipulan apariencia o voz. Se usan en entrevistas de trabajo falsas y estafas de suplantación para parecer reclutadores o ejecutivos legítimos.
→ Ver también:
Ingeniería Social
Manipular personas — no código — para evadir seguridad. ShinyHunters vulneró el imperio fintech de $5.3B de Figure Technology con una llamada telefónica haciéndose pasar por soporte TI. No se necesita exploit kit cuando un humano contesta el teléfono.
→ Ver también:
Recolección de Credenciales
Recopilar sistemáticamente nombres de usuario, roles e información de contacto de empleados de fuentes públicas como LinkedIn. ShinyHunters usó esto para identificar el objetivo perfecto en Figure — un empleado con acceso VPN y número de teléfono. Investigación antes del ataque, no durante.
→ Ver también:
Estafa de Suplantación Oficial
Alguien se hace pasar por policía, juzgado, hacienda o investigador federal y exige un pago o la «protección» de tus ahorros. Los organismos reales nunca llaman para cobrar en un cajero cripto.
→ Ver también:
Petición de Datos de Emergencia (EDR)
Un canal que permite a la policía obtener datos de clientes sin orden judicial cuando hay riesgo inmediato para la vida. La velocidad es su razón de ser, y por eso funcionan tan bien las EDR fraudulentas enviadas desde buzones oficiales comprometidos.
→ Ver también:
Fraude a Personas Mayores
Fraude dirigido a víctimas mayores, normalmente por teléfono y con autoridad prestada. En 2025 los mayores de cincuenta presentaron más de la mitad de las denuncias por cajeros cripto en EE. UU., con pérdidas superiores a 302 millones de dólares.
→ Ver también: