¿Cuáles son las estadísticas de phishing cripto de 2026?

¿Cuánto se llevaron las estafas cripto en 2025?

Chainalysis contó al menos $14 billion recibidos por estafas on-chain en 2025 y prevé que el total supere los $17 billion. La estimación aumenta con el tiempo porque los analistas asocian más wallets a operaciones de estafa después del primer recuento. La cifra revisada de 2024 fue de unos $12 billion.

Dos detalles importan para el dominio de un proyecto. Las estafas de suplantación, en las que el delincuente se hace pasar por una marca, persona o servicio conocido, crecieron cerca de un 1,400% interanual, y el importe medio robado por estafa de suplantación aumentó más de un 600%. El pago medio por estafa pasó de $782 en 2024 a $2,764 en 2025. Un dominio parecido al sitio de un protocolo es una suplantación por definición.

El Internet Crime Complaint Center del FBI informó de unos $11.37 billion en pérdidas por fraude relacionado con cripto en 2025, en 181,565 denuncias, según la cobertura del informe por Decrypt. Es un recuento de denuncias presentadas por víctimas, sobre todo en Estados Unidos, por lo que mide algo distinto del recuento on-chain de Chainalysis.

¿Cuánto roban los sitios de phishing con wallet drainers?

ScamSniffer contó $83.85 million perdidos en sitios de phishing con wallet drainers en 2025, un 83% menos que los $494 million de 2024. El número de víctimas cayó un 68%, de 332,000 a 106,106. El informe cubre solo los sitios de phishing que vacían wallets en cadenas EVM, y describe sus totales como un límite inferior.

El mayor robo individual fue de $6.5 million mediante una firma Permit en septiembre. Las firmas Permit y Permit2 representaron el 38% de las pérdidas en los casos grandes, y las firmas por lotes EIP-7702 aparecieron tras la actualización Pectra. Agosto fue el peor mes con $12.17 million; diciembre el menor con $2.04 million.

Una advertencia sobre la atribución: algunos medios atribuyeron la cifra de $83.85 million a SlowMist. Procede de ScamSniffer. El propio informe de SlowMist de 2025 indica unos $2.935 billion en pérdidas en unos 200 incidentes, califica el phishing como uno de los vectores más activos y no publica ningún total de phishing.

¿Cuántos ataques de phishing y dominios hay?

APWG registró 1,069,681 ataques de phishing en el segundo trimestre de 2026, un 10.1% más que los 971,181 del primero. Solo junio de 2026 alcanzó 425,808, el mes más alto desde abril de 2023. APWG contó 941 marcas únicas atacadas en el trimestre, y el sector SaaS y webmail recibió el 29.1% de los ataques. El texto del informe trimestral no da una cuota cripto, por lo que no citamos ninguna.

En cuanto a los dominios, Interisle halló más de 1.5 million de dominios de phishing entre mayo de 2024 y abril de 2025, un 38% más que un año antes, y el 77% de ellos había sido registrado por delincuentes; el resto estaba comprometido o adquirido de otro modo. Por extensión, los datos del año siguiente situaron a .com en primer lugar con 869,180 dominios de phishing; la clasificación completa está en qué extensiones de dominio se usan más para el phishing.

¿Por qué los informes dan totales distintos?

Los totales difieren porque cada editor cuenta algo distinto. ScamSniffer cuenta las pérdidas en sitios de phishing con drainers en cadenas EVM. Chainalysis cuenta los ingresos on-chain de las operaciones de estafa. CertiK cuenta incidentes de seguridad, con el phishing como uno de varios vectores: 248 incidentes de phishing y unos $723 million de los cerca de $3.35 billion en 2025, según un resumen de prensa de su informe Hack3d. El FBI cuenta las denuncias presentadas por las víctimas.

Una lectura justa usa cada cifra para lo que mide. Las pérdidas por drainers muestran cuánto sale de las wallets a través de sitios falsos. El crecimiento de la suplantación muestra con qué frecuencia los delincuentes se hacen pasar por otra persona. APWG e Interisle muestran cuántas páginas y dominios existen para hacerlo. Ninguna dice cuánto perdió un proyecto concreto, y ninguna sustituye su propia monitorización.

Dejamos fuera los informes de pérdidas de Immunefi y cualquier cuota de cripto en los totales de APWG: no pudimos verificar una cifra.

¿Qué significan estas cifras para los dominios de un proyecto?

Significan que el ataque contra sus usuarios suele empezar con un dominio, y que los dominios son baratos de registrar. Una página de phishing necesita un nombre que se parezca al suyo; el 77% de los dominios de phishing que estudió Interisle se compraron con ese fin. Su nombre en las terminaciones que usan los estafadores cuesta menos al año que una sola reclamación ante los centros de arbitraje: el conjunto básico defensivo de .com, .net, .org, .io, .xyz y .app cuesta $128.94 al año en Wardmint, y una reclamación ante la WIPO por uno a cinco dominios cuesta USD 1,500.

La segunda mitad de la defensa es un plan de respuesta. La guía para denunciar un dominio de phishing enumera a quién contactar, y la guía principal sobre cómo proteger un proyecto cripto de los dominios de phishing ordena el registro, el refuerzo, la monitorización y la respuesta.

Wardmint registra nombres; no monitoriza ni da de baja sitios.

¿En cuántas fuentes se basa esta página?

Según el índice de Wardmint del 12 de noviembre de 2026, esta página se basa en 7 editores (Chainalysis, ScamSniffer, CertiK, SlowMist, el FBI IC3, APWG e Interisle). Cinco se leyeron en la página del propio editor; dos, CertiK y el FBI IC3, se leyeron a través de la cobertura de prensa porque no se pudo cargar el original. Cada fila de la tabla indica cuál.

Un resumen citable: el total de estafas cripto de 2025 es una estimación de Chainalysis de al menos $14 billion on-chain; la pérdida por wallet drainers de 2025 es un recuento de ScamSniffer de $83.85 million; y el volumen de phishing de 2026 es un recuento de APWG de 1,069,681 ataques en un trimestre.