Estafas cripto: los 12 tipos más comunes y cómo detectarlos

Rug pull

En un rug pull, los creadores retiran la liquidez del pool o venden de golpe su gran parte de la supply. El precio se hunde en minutos y los holders se quedan con un token que nadie les recompra a un precio razonable.

Las señales típicas son una mint authority aún activa, liquidez que no está quemada ni bloqueada y unos pocos wallets que tienen casi toda la supply. El rug pull es el riesgo más frecuente entre las memecoins nuevas.

Honeypot

Un honeypot es un token que puedes comprar pero no vender, o solo vender con un impuesto enorme. El gráfico solo sube porque nadie puede vender. En Solana la trampa suele ser una freeze authority activa o una extensión Token-2022; en las cadenas EVM está escondida en el código del contrato.

Mira el historial del pool: muchas compras y casi ninguna venta no indican holders convencidos, indican que vender no funciona. Una pequeña venta de prueba ayuda, pero algunas trampas solo bloquean las ventas más grandes o posteriores.

Pump and dump

Un grupo compra en silencio un token barato y luego lo promociona a lo grande en chats, posts y menciones pagadas, con mensajes de «solo por tiempo limitado». Cuando los nuevos compradores suben el precio, el grupo les vende todo. El precio vuelve a caer, a menudo por debajo de donde empezó.

El patrón que hay que vigilar es una promoción repentina desde muchas cuentas a la vez, junto con holders que entraron muy pronto y tienen una parte grande. Una promoción sin ningún producto ya es una señal de alarma.

Tokens falsos y clones

Cualquiera puede crear un token con el mismo nombre, ticker y logo que un proyecto famoso. Los estafadores lanzan estas copias cuando un token real está en las noticias, o cuando un proyecto anuncia un token que aún no existe.

Los nombres y logos se copian; la dirección del contrato no. Toma la dirección solo de la web oficial o de la cuenta verificada del proyecto y compárala carácter por carácter con la que vas a usar.

Phishing y webs drainer

El phishing usa mensajes, ventanas emergentes, anuncios y webs falsas que imitan un wallet, un exchange o una app conocida. Algunas piden que escribas tu seed phrase. Otras son drainers: la página te pide conectar el wallet y firmar una transacción que parece inofensiva pero transfiere tus tokens al atacante.

Entra en las apps desde tus propios marcadores, nunca desde enlaces en mensajes o resultados patrocinados. Ningún servicio real necesita tu seed phrase.

Aprobaciones maliciosas

Cuando usas una app descentralizada, a menudo das a un contrato permiso para mover un token por ti. En las cadenas EVM se llama approval; en Solana, delegate. Una web maliciosa pide un permiso ilimitado y lo usa más tarde, a veces semanas después de la firma.

Los permisos no caducan solos. Revísalos de vez en cuando en tu wallet o en un explorador de bloques y revoca los que no uses.

Address poisoning

El atacante te envía una transferencia diminuta desde una dirección que empieza y termina como una que usas a menudo. Se queda en tu historial de transacciones, esperando. La próxima vez que copies una dirección de ese historial, copiarás la suya y enviarás tus fondos al estafador.

Copia las direcciones de tu propia libreta o de la fuente original, nunca del historial. Revisa más que los primeros y últimos caracteres y, antes de una transferencia grande, envía una pequeña cantidad de prueba.

Falso soporte y suplantación

Después de que comentes en público un problema con tu wallet, unos «agentes de soporte» te responden o te escriben en privado. Pueden hacerse pasar por un exchange, el equipo de un wallet, un moderador o incluso un amigo con la cuenta hackeada. Antes o después te piden la seed phrase, una contraseña o una firma para «verificar» el wallet.

El soporte real nunca te contacta primero en privado ni te pide las claves. Ante la duda, abre una consulta solo desde la web oficial.

Falsos sorteos y falsos airdrops

Un post o un directo, a menudo con el nombre de un famoso o de una marca usado sin permiso, promete duplicar las criptomonedas que envíes. No vuelve nada. La versión moderna es el falso airdrop: aparecen tokens gratis en tu wallet, o una web dice que tienes derecho a una recompensa, y para cobrarla tienes que conectarte a un drainer o pagar antes una «comisión».

Estafas románticas y «pig butchering»

Alguien que conociste en internet, en una app de citas, una red social o por un mensaje «equivocado», construye durante semanas una relación de amistad o romántica. Luego te enseña cuánto gana en una plataforma cripto y te ayuda a abrir una cuenta.

La plataforma es falsa. Tu saldo crece en la pantalla, al principio pequeños retiros pueden incluso funcionar y te animan a depositar más. Cuando intentas retirar una cantidad grande, te piden impuestos o comisiones, y luego el contacto desaparece.

Esquemas Ponzi y rentabilidad garantizada

El esquema promete una rentabilidad fija y alta, a menudo diaria o semanal, y paga a los primeros miembros con el dinero de los nuevos. Muchos añaden bonos por traer a otros, así que las víctimas captan a amigos y familia. Cuando los nuevos depósitos bajan, los retiros se bloquean y el esquema se hunde.

Ninguna inversión real garantiza una rentabilidad alta. Una rentabilidad garantizada sin una fuente de ingresos clara es la señal que lo define.