Cómo proteger una frase semilla frente al phishing
Aprende a reconocer solicitudes falsas de frases semilla, proteger tus copias offline y entender qué puede y qué no puede reproducir SeedAddress.
La regla más importante es sencilla: nunca introduzcas una frase semilla, una clave privada o una passphrase BIP39 en una web, un formulario de soporte, un chat o una captura. Un servicio legítimo puede ayudarte a usar su aplicación, pero no necesita que le envíes las palabras que restauran tu cartera. Abre el sitio desde un marcador o desde la documentación oficial, desconfía de la urgencia y confirma cada operación en el dispositivo que controla la cartera.
Qué intenta conseguir el phishing
El phishing imita una cartera, un fabricante, un intercambio, una aplicación o una cuenta de soporte para obtener un secreto o hacer que firmes algo que no entiendes. Un mensaje puede avisar de una supuesta actualización, una cuenta bloqueada, un reembolso o una amenaza de pérdida inmediata. El objetivo suele ser que actúes antes de comprobar el dominio y el contexto.
Una solicitud de la frase semilla es una señal decisiva de fraude. La guía de Ledger sobre phishing en criptomonedas describe páginas que imitan proveedores y ventanas que piden la frase de recuperación con una falsa fecha límite. La frase no se valida en una web de soporte: quien la obtiene puede intentar restaurar la cartera en otro dispositivo.
Otros ataques persiguen tus credenciales de una cuenta, te hacen descargar software malicioso o te llevan a firmar una transacción o una aprobación. Una cartera de hardware reduce algunos riesgos del equipo conectado, pero no hace segura una web falsa ni convierte una firma incomprensible en una operación segura. Lee en la pantalla del dispositivo lo que vas a autorizar y cancela si el destino, el importe o el permiso no coinciden con tu intención.
Cómo comprobar una solicitud antes de actuar
Cuando recibas un correo, mensaje o ventana emergente relacionado con una cartera, pausa el proceso y aplica esta secuencia:
- Cierra el enlace recibido y escribe la dirección oficial usando un marcador que hayas guardado previamente. Comprueba el dominio completo. HTTPS y el candado cifran la conexión, pero no demuestran que el sitio sea legítimo: una página de phishing también puede tener un certificado válido. Una marca, un subdominio o una extensión parecida no convierten una copia en el sitio oficial.
- Busca el aviso dentro de la aplicación oficial o de su centro de ayuda, no mediante el teléfono, enlace o cuenta que aparece en el mensaje. El soporte no necesita tu frase semilla para diagnosticar un problema.
- No descargues una actualización desde un anuncio, un mensaje directo o un resultado patrocinado que no puedas verificar. Obtén el software desde la web oficial y revisa qué aplicación estás abriendo.
- Si una aplicación solicita firmar una operación, compara la dirección, la red, el importe y el permiso en la pantalla del dispositivo. Rechaza la operación cuando falte información o la petición no tenga sentido para la acción que querías realizar.
- Si sigues teniendo dudas, detente. El tiempo que ahorras al no responder a una urgencia falsa vale más que intentar deshacer una transferencia.
El artículo de Bitcoin.org sobre cómo proteger una cartera también recomienda copias de seguridad, contraseñas fuertes y cautela con los servicios conectados. Una copia online expuesta a malware o a una cuenta comprometida no tiene la misma protección que una copia offline almacenada de forma segura.
Protege la copia que sí necesitas
La frase semilla es una copia de recuperación, no un código que debas probar en servicios de terceros. Escríbela o guárdala siguiendo el procedimiento documentado por la cartera y mantenla privada, offline y protegida contra daños. Si utilizas más de una copia, distribuye las copias en ubicaciones seguras para que un único incidente no destruya todas las opciones de recuperación. Comprueba cualquier copia con la herramienta oficial del dispositivo, sin subir las palabras a un comprobador web.
Una cartera puede no volver a mostrar ni volver a emitir la semilla antigua después de su creación. La documentación actual de Trezor sobre copias de seguridad explica que la copia restaura el acceso si el dispositivo se pierde, se daña o se reinicia, y que el formato depende de la cartera. BIP39 admite frases de 12, 15, 18, 21 o 24 palabras; algunos dispositivos también utilizan otros formatos, como SLIP39. Identifica el formato de tu cartera y conserva la copia independiente antes de necesitarla.
No confundas una frase semilla con la passphrase opcional de BIP39, el PIN de un dispositivo o la contraseña de SeedAddress. Cumplen funciones distintas y perder una de ellas puede impedir la recuperación de una cartera concreta. La comparación entre frase semilla y passphrase BIP39 explica cómo separarlas sin poner secretos reales en una página.
El límite de SeedAddress frente al phishing
SeedAddress es una herramienta determinista: el navegador combina las coordenadas seleccionadas, la contraseña, el idioma y la longitud elegida para derivar una frase compatible con la lista de palabras BIP39 seleccionada. La derivación actual utiliza un geohash de precisión 9 y HMAC-SHA-256; la dirección pública no añade entropía aleatoria. La contraseña y la mnemotecnia permanecen en la memoria temporal del navegador durante el proceso y no se envían al proveedor de mapas.
Estas propiedades no convierten al generador en un respaldo universal ni hacen segura una petición de phishing. Una frase producida por SeedAddress debe guardarse con una copia offline independiente cuando sea relevante. Un resultado de 24 palabras no garantiza 256 bits de seguridad solo por tener 24 palabras, porque este método no añade entropía aleatoria nueva. El mínimo heredado de cinco caracteres se conserva por compatibilidad; no es una recomendación para una contraseña nueva.
También debes conservar el contexto exacto si pretendes reproducir un resultado: coordenadas, contraseña, idioma y longitud. Dos coordenadas cercanas dentro de la misma celda del geohash pueden producir la misma frase, pero cruzar el límite de una celda puede cambiarla. La explicación sobre lugares y coordenadas detalla por qué un nombre visible no basta. La interfaz actual no recupera una frase histórica pegando coordenadas antiguas, así que el registro de entradas sirve para documentar y comparar, no para prometer una recuperación.
No introduzcas una frase real en SeedAddress para comprobar si coincide con otra cartera y no respondas a quien te pida hacerlo para “verificar” una cuenta. Si necesitas usar SeedAddress, prueba primero con entradas sin valor y conserva la mnemotecnia de forma independiente. La guía para comprobar un respaldo offline explica cómo evitar que las palabras salgan del procedimiento de recuperación confiable.
Qué hacer si ya compartiste la frase
Considera comprometida una frase que hayas escrito en una web, enviado a un chat, dictado a alguien o fotografiado en un dispositivo conectado. No intentes recuperar el control escribiendo las mismas palabras en otra página. Desde un entorno y una aplicación que hayas verificado, sigue el procedimiento de recuperación de la cartera para mover los fondos a una cartera nueva con una copia generada de forma segura, y consulta la documentación oficial del proveedor para los pasos exactos. Revisa también permisos y dispositivos conectados, y elimina el software que hayas instalado desde el enlace sospechoso.
Si todavía no has compartido la frase, el mejor momento para preparar la recuperación es ahora: verifica una copia offline con el método oficial, registra el formato y guarda las instrucciones junto a la copia sin fotografiar ni publicar las palabras. Cuando una solicitud exige velocidad, secreto o un “código de recuperación” fuera de la aplicación oficial, trátala como phishing y detente.