Guía de instalación segura

App o extensión de wallet falsa: compruébala antes de escribir nada

Una wallet falsa no necesita romper nada. Solo necesita que la instales y escribas en ella tu frase de recuperación. En julio de 2025, Koi Security documentó más de 40 complementos de Firefox que se hacían pasar por Coinbase, MetaMask, Trust Wallet, Phantom, Exodus, OKX, Keplr y MyMonero, construidos con el código abierto de las wallets reales y unas líneas añadidas para enviar las claves al atacante. En diciembre de 2025 fue un paso más allá: una versión maliciosa 2.68 de la extensión de Trust Wallet se publicó en la Chrome Web Store fuera del proceso de lanzamiento de la empresa, y Trust Wallet contó 2.520 direcciones vaciadas y unos 8,5 millones de dólares afectados. La lección es la misma en los dos casos: la ficha de la tienda no prueba nada. Las comprobaciones de abajo sí.

Analizar una dirección gratis

Seis comprobaciones antes de instalar o importar

Empieza en la web oficial, escrita a mano

Escribe tú la dirección de la wallet o usa un marcador y sigue su enlace de descarga hasta la tienda. No empieces desde un anuncio, la búsqueda de la tienda, un DM o la descripción de un vídeo: los impostores compran esos huecos.

Comprueba el editor, no el logo

En la ficha de la tienda lee el nombre del desarrollador o editor y su enlace web. Copiar el icono y el nombre no cuesta nada; la cuenta del editor detrás de la ficha oficial es mucho más difícil de falsificar. Si la web oficial no enlaza a esa ficha exacta, no la instales.

Lee las reseñas buscando lo raro

Una nota alta prueba poco: las fichas falsas la inflan. Busca reseñas de una estrella que hablen de fondos perdidos, reseñas que no tienen nada que ver con una wallet o una ficha de pocos días con miles de valoraciones.

Instala una vez y quédate con una sola copia

Abre la página de extensiones del navegador y elimina cualquier segunda wallet con un nombre parecido. Dos iconos de «MetaMask» significan que al menos uno no es MetaMask.

Trata la importación como el punto de peligro

Crear una wallet nueva sin saldo arriesga poco. Escribir una frase de recuperación existente en una app o extensión nueva le entrega todo lo que esa frase controla. Hazlo solo tras las comprobaciones anteriores y nunca porque una ventana o un «soporte» te lo pidiera.

Vigila la versión tras las actualizaciones

Hasta una extensión auténtica puede recibir una actualización maliciosa, como mostró Trust Wallet 2.68. Sigue los canales oficiales de la wallet; si anuncian una versión comprometida, revisa el número de versión en tu página de extensiones y sigue solo sus instrucciones.

Señales de que la wallet que tienes delante es falsa

Te pide la frase de recuperación para «sincronizar», «verificar», «validar» o «arreglar» una wallet existente nada más instalarla.
El nombre del editor no coincide con la empresa de la wallet, o la ficha enlaza a una web que no es la oficial.
Llegaste a ella desde un anuncio, un resultado patrocinado, un DM o un enlace en la descripción de un vídeo.
Se ofrece como APK o descarga de archivo para una wallet que normalmente está en las tiendas oficiales.
Promete extras que la wallet real no tiene: airdrops gratis, saldos «flash», tokens de bonificación ocultos.
Tras un incidente conocido, alguien te escribe ofreciendo un formulario de «reembolso» o «recuperación»: Trust Wallet recibió más de 5.000 reclamaciones para 2.520 direcciones afectadas, muchas falsas.

¿Ya ha pasado? Primeros pasos

No envíes más fondos ni firmes nada nuevo.
Guarda el hash, las direcciones y capturas del chat.
Denúncialo hoy por canales oficiales; nunca pagues a «recuperadores».

Dónde denunciar un robo de cripto

Preguntas frecuentes

¿Una extensión es segura porque esté en la Chrome Web Store o en Firefox Add-ons?

No. Los dos casos documentados en esta guía llegaron por tiendas oficiales. La revisión de la tienda reduce el riesgo; no sustituye comprobar el editor y el enlace desde la web oficial de la wallet.

Escribí mi frase de recuperación en una wallet de la que ahora dudo. ¿Basta con desinstalarla?

No. Da por hecho que otra persona conoce la frase. Desde una wallet verificada, crea una frase nueva en un dispositivo limpio y mueve allí tus fondos, empezando por los saldos más grandes. Desinstalar quita la app, no la copia de la frase que ya salió.

¿Una wallet física me protege de una extensión falsa?

Protege las claves mientras nunca escribas la frase de recuperación del dispositivo en un ordenador o móvil. Una extensión falsa aún puede mostrarte una dirección falsa o pedirte firmar una transacción dañina, así que lee lo que muestra la pantalla del dispositivo antes de confirmar.

¿La empresa de la wallet o un servicio de recuperación me devolverá los fondos?

Una transferencia firmada con tus claves no se puede revertir. Usa solo el soporte oficial de la empresa de la wallet y denuncia el robo a la policía; quien te contacte primero ofreciendo recuperarlos a cambio de una tarifa está montando una segunda estafa.

Sigue leyendo

Fuentes

FoxyWallet: 40+ Malicious Firefox Extensions Exposed (Koi Security, 2 July 2025)
Trust Wallet Browser Extension v2.68 Incident: An Update to Our Community (Trust Wallet, 30 December 2025)
Download MetaMask (official download page) (MetaMask)

Solo información educativa — no es asesoramiento financiero ni legal.