¿Cómo saber si un sitio cripto es falso?

¿Por qué el dominio exacto es la primera comprobación?

El dominio es la única parte de una página que un atacante no puede copiar. El diseño, los logotipos y los textos se pueden clonar sin coste, pero el nombre de la barra de direcciones pertenece a quien lo registró. La guía de Kerberus del 10 de abril de 2026 señala que los estafadores registran parecidos con pequeños intercambios de caracteres y que algunos usan letras cirílicas que se ven idénticas a las latinas.

Lea la parte inmediatamente anterior a la primera barra simple. En https://examplecoin.com.claim-rewards.example/start, el sitio es claim-rewards.example, y examplecoin.com es solo una etiqueta colocada delante. El mismo truco funciona con un nombre con guion como examplecoin-claim.com, que es un dominio distinto de examplecoin.com. Muchos teléfonos acortan las direcciones largas, así que abra la dirección completa antes de decidir.

¿Prueba un candado que un sitio cripto es real?

No: un candado indica que la conexión está cifrada, no quién gestiona el sitio. El informe de Blockaid del 19 de marzo de 2026 sobre las secuestraciones del front-end de febrero de 2026 indica que los atacantes emitieron nuevos certificados SSL para cada dominio comprometido el día del ataque, incluidos certificados Sectigo de pago y certificados gratuitos de Let's Encrypt y Google Trust Services, y que esos certificados mantenían los sitios con aspecto seguro y con candado.

El mismo informe describe un caso en el que los usuarios eran enviados a un host parecido mientras se emitían certificados comodín para el nombre real, de modo que incluso un dominio auténtico secuestrado puede mostrar un certificado válido. El candado responde a una sola pregunta, si un tercero puede leer el tráfico. Deja abierta la que le importa, si quien controla esta dirección es el proyecto. La propia FAQ de Let's Encrypt, por su parte, pide a los usuarios que denuncien a Google Safe Browsing y a Microsoft SmartScreen los sitios que abusan de sus certificados.

¿Qué pasa con las letras parecidas y el punycode?

Los navegadores ocultan algunos parecidos mostrando xn-- en lugar de las letras, pero una dirección escrita a mano es la defensa fiable. La documentación de Chromium explica que Chrome comprueba cada etiqueta de un nombre de host y muestra punycode cuando una comprobación falla: escrituras mezcladas como latín con cirílico o griego, caracteres confundibles, parecidos con cifras y etiquetas cuyo esqueleto coincide con un dominio de primer nivel. El resultado no depende de la configuración de idioma del navegador, y Chrome muestra además una advertencia aparte de página completa en algunas navegaciones parecidas.

Estas protecciones tienen límites: otro navegador puede aplicar otras reglas, y un atacante puede usar letras corrientes, como rn en lugar de m. El mecanismo, con ejemplos, está en qué es un ataque de homógrafos IDN, y las formas principales de los nombres parecidos están en qué tipos de dominios parecidos registran los phishers.

¿Dónde debe obtener un usuario los enlaces oficiales de un proyecto?

De los canales verificados del propio proyecto, contrastados en dos lugares. Kerberus enumera como primera señal de alerta la ausencia de anuncios en los canales verificados del proyecto, y aconseja guardar el sitio oficial en marcadores y visitarlo directamente en lugar de seguir enlaces. Aplíquelo en este orden:

1. Abra el sitio del proyecto desde su marcador.
2. Lea allí el enlace de reclamación o de acuñación, no en un mensaje que se lo envió alguien.
3. Compruebe que la cuenta social verificada enlaza a la misma dirección.
4. Ignore los mensajes directos que ofrezcan tokens, soporte o acceso anticipado.
5. Rechace cualquier página que pida una frase semilla o un pago para recibir tokens: Kerberus señala que los airdrops reales son gratuitos.

Si sospecha de un sitio, no conecte una cartera. Denúncielo siguiendo los pasos de cómo denunciar un dominio de phishing.

¿Por qué importa esto ahora?

Las estafas por suplantación crecieron con fuerza en los datos más recientes de Chainalysis. Chainalysis, en su informe del 13 de enero de 2026, afirma que las estafas por suplantación crecieron más de un 1,400% frente a 2024, que el importe medio pagado a esos grupos subió más de un 600%, y que el pago medio de una estafa pasó de 782 $ a 2,764 $. El informe de Interisle del 9 de septiembre de 2025 encontró que el 77% de los dominios de phishing fueron registrados de forma maliciosa, y que más de 1.5 millones de nombres de dominio se usaron en phishing entre mayo de 2024 y abril de 2025.

Esas cifras describen una oferta de sitios falsos que los usuarios no pueden inspeccionar uno a uno. El proyecto también debe actuar.

¿Qué puede hacer el proyecto para que los usuarios no tengan que detectar los falsos?

Registre los nombres obvios, apúntelos al sitio oficial y publique una única lista de enlaces oficiales. Un usuario que escriba mal examplecoin.co o examplecoin.xyz llega entonces al sitio real y no a la página de un desconocido. Combínelo con una breve página de «enlaces oficiales» en el sitio principal que repita cada canal verificado, y con los controles de cómo proteger un proyecto cripto frente a dominios de phishing.

Según la encuesta de Wardmint del 12 de noviembre de 2026, el conjunto básico de seis terminaciones (.com, .net, .org, .io, .xyz, .app) cuesta $128.94 al año, y las nueve terminaciones que usan los phishers cuestan $212.41 al año, con el mismo precio al renovar. Wardmint registra solo las variantes del propio proyecto, no parecidos de otra marca, y no ofrece monitorización ni retiradas; las guías muestran las herramientas gratuitas y las vías oficiales de denuncia.