Apps de monedero falsas: cómo asegurarte de que instalaste la auténtica

La forma más sencilla de robar las criptomonedas de alguien no es romper su monedero. Es darle uno falso. Una app o extensión de navegador falsificada que se ve exactamente igual que la original puede recoger tu frase de recuperación en el momento en que la escribes, o cambiar en silencio las direcciones a las que envías.

Los monederos falsos aparecen en tiendas de apps, tiendas de extensiones de navegador, anuncios de búsqueda y enlaces en redes sociales. Suelen estar muy pulidos, tener buenas reseñas y ser difíciles de distinguir del original. La buena noticia: un puñado de hábitos hace que sea fácil evitarlos.

Cómo llegan los monederos falsos a la gente

• Anuncios de búsqueda. Buscar el nombre de un monedero puede mostrar un anuncio de pago por encima del sitio real, que lleva a una página de descarga que lo imita. Los atacantes compran anuncios justo para los términos que la gente busca cuando está a punto de instalar.
• Fichas en tiendas. Las apps y extensiones falsas a veces superan la revisión de las tiendas de apps y de extensiones, en ocasiones con capturas copiadas, valoraciones infladas y un nombre casi idéntico.
• Enlaces en mensajes. «Actualiza tu monedero», «reclama tu airdrop» o «soporte dice que reinstales»: todos apuntan a una descarga que de otro modo nunca tocarías.
• Dominios parecidos. Una letra cambiada, una palabra de más o una terminación distinta (.app en lugar de .io) bastan para engañar a un vistazo rápido.
• Archivos instalados manualmente. Los APK y paquetes de extensiones compartidos directamente, fuera de cualquier tienda, se saltan cualquier control que la tienda habría hecho.

Qué hace un monedero falso

La mayoría de las falsificaciones hacen una de dos cosas:

1. Recolectar tu frase de recuperación. La app falsa te pide «importar» o «restaurar» tu monedero. Cuando escribes tu frase, se envía al atacante, que vacía el monedero desde su propio dispositivo, a veces días después, para que no relaciones el robo con la instalación.
2. Controlar lo que ves. Una app falsa que configuras desde cero puede generar direcciones que controla el atacante, o alterar los destinatarios cuando envías.

En ambos casos, el daño ya está hecho cuando algo empieza a parecer raro.

Cinco hábitos que lo evitan

1. Empieza desde el sitio web oficial. Escribe la dirección tú mismo o usa un marcador, y sigue desde ahí los enlaces a las tiendas. Para SSP es sspwallet.io, que enlaza a las fichas de SSP Wallet en las tiendas de navegador y a las páginas de SSP Key en las tiendas de apps.
2. Comprueba el editor, no solo el nombre. En cualquier tienda, mira quién publicó la app o la extensión y si coincide con el desarrollador oficial. Un nombre de editor distinto es la señal de alarma más clara que existe.
3. Desconfía de la urgencia. Un monedero real no te escribe para que lo reinstales, lo migres o lo «valides». Quien te presione para hacerlo está siguiendo el manual del falso soporte.
4. Nunca escribas tu frase de recuperación en algo que acabas de instalar, salvo que estés restaurando a propósito y hayas verificado antes la app. Una petición de la frase en el primer arranque, en una app que pensabas configurar desde cero, es una señal de stop.
5. Mantén pocas extensiones y conocidas. Cada extensión es software con acceso a tu navegador. Una buena higiene de extensiones reduce tanto la probabilidad de una falsa como el daño que puede causar una comprometida.

Un paso más: verificar la compilación

Las fichas de las tiendas y los sitios web te dicen de dónde viene una app. Para quien quiera una garantía mayor, algunos monederos permiten comprobar que la app se compila a partir del código que publican.

SSP es de código abierto, y las versiones de SSP Wallet se compilan de forma reproducible: el mismo código fuente produce siempre el mismo resultado, así que cualquiera puede recompilar una versión y confirmar que coincide con lo que se distribuye. Esas versiones además están firmadas con GPG, de modo que puedes comprobar que proceden del equipo de SSP. Es un paso que la mayoría nunca necesitará dar, pero es lo que convierte «confía en la tienda» en algo que puedes verificar. Ataques a la cadena de suministro y compilaciones deterministas explica por qué importa.

Por qué ayudan dos dispositivos, y dónde no

El diseño 2 de 2 de SSP añade aquí un margen. Un SSP Wallet falso por sí solo no puede mover los fondos de tu configuración real, porque cada transacción necesita también SSP Key en tu teléfono. Del mismo modo, un SSP Key falso por sí solo no puede gastar sin la clave del monedero.

Pero hay un límite, y es importante. Si escribes ambas frases de recuperación en apps falsas, el atacante tiene las dos claves y la multifirma no puede ayudarte. El segundo dispositivo te protege de una app comprometida; no puede protegerte si lo entregas todo. Ninguna parte genuina de SSP te pedirá nunca introducir una frase de recuperación, salvo cuando tú decidas restaurar un monedero.

Si crees que instalaste una falsa

• No introduzcas nada más en ella y desinstálala.
• Si escribiste una frase de recuperación, trata ese monedero como comprometido. Configura un monedero nuevo desde la fuente oficial en un dispositivo limpio y mueve tus fondos de inmediato: la rapidez importa más que cualquier otra cosa.
• Denuncia la ficha ante la tienda, para que la retiren antes de que caiga otra persona.

El resumen honesto

Los monederos falsos ganan siendo el primer resultado que encuentras. Empieza desde el sitio oficial, comprueba el editor, ignora los mensajes urgentes de «actualización» y nunca le des una frase de recuperación a algo que acabas de instalar.

Una configuración con dos dispositivos hace que una sola app falsa sea mucho menos peligrosa, pero la mejor protección es no instalarla nunca.