1. Empieza por el correo y el dispositivo
El correo suele intervenir en avisos y recuperación, así que protégelo antes que la cuenta del exchange. Utiliza una contraseña exclusiva y autenticación adicional donde exista. Revisa sus dispositivos conectados y opciones de recuperación; quien controla ese buzón puede intentar cambiar otros accesos aunque no conozca tu contraseña de trading.
Mantén navegador, sistema y aplicaciones actualizados. Instala la aplicación desde el canal oficial del proveedor y evita extensiones innecesarias en el dispositivo que usas para operar. Una conexión cifrada y un candado en el navegador no prueban que estés ante el exchange auténtico: una página falsa también puede tener HTTPS.
2. Usa una contraseña exclusiva y un acceso conocido
Crea una contraseña larga que no reutilices y guárdala en un gestor que puedas recuperar de forma segura. No la envíes por correo ni la mantengas en una nota compartida. El objetivo es que una filtración de otro servicio no entregue también tu cuenta financiera.
Guarda el dominio oficial como marcador y revisa el destino al entrar desde un buscador o mensaje. Desconfía de cambios de una letra, subdominios engañosos y anuncios de asistencia. El autocompletado del gestor puede ayudar a detectar que un dominio no coincide, pero no sustituye comprobar dónde estás.
3. Activa una passkey o autenticación adicional compatible
Las passkeys basadas en FIDO2 están vinculadas al servicio y ofrecen resistencia frente a páginas de phishing que intentan capturar códigos. Las opciones concretas dependen del exchange, navegador y dispositivo. Kraken, por ejemplo, documenta passkeys y aplicaciones autenticadoras; eso no implica que todas las plataformas ofrezcan la misma combinación.
Si utilizas códigos temporales de una aplicación, no los escribas en enlaces recibidos por chat ni los compartas con soporte. Pueden ser capturados y utilizados mientras siguen vigentes. Revisa también qué operaciones protege el segundo factor: inicio de sesión, cambio de ajustes y retiradas pueden tener controles diferentes.
4. Prepara la recuperación sin crear un acceso fácil para otros
Guarda códigos de recuperación y respaldos fuera del mismo dispositivo del que dependen. Si el servicio permite varios factores, considera uno de respaldo y comprueba que sabes utilizarlo antes de necesitarlo. No envíes una copia completa de tus secretos a un buzón desprotegido para tenerlos a mano.
Distingue recuperación de una cuenta de exchange de la frase semilla de un monedero. Un agente no necesita tu seed para revisar un ingreso bancario ni un código de inicio de sesión para tramitar un ticket. Si configuras un bloqueo con periodo de espera, entiende cómo se desbloquea y qué respaldo puede anularlo.
5. Añade fricción útil a las retiradas
Cuando estén disponibles, las listas de direcciones permitidas y los bloqueos de cambios pueden dificultar una retirada a un destino nuevo tras una intrusión. Revisa si existe un plazo de activación y qué cambios disparan avisos. El Global Settings Lock de Kraken es un ejemplo específico; sus reglas no se trasladan a otro exchange por analogía.
En cada retirada, contrasta dirección, red y memo con las instrucciones del receptor, aunque el destino ya esté guardado. Empieza con una prueba que supere mínimos cuando la ruta sea nueva y tenga sentido su coste. La guía transferir entre exchanges desarrolla el proceso sin depender de que el portapapeles sea siempre fiable.
6. Limita sesiones, bots y claves API
Una clave API puede permitir consultar saldos, operar o retirar, según sus permisos. Dar solo lectura a una herramienta de seguimiento reduce capacidades, pero no hace que la información compartida deje de ser sensible. Para un bot que opera, revisa si realmente necesita permisos de retirada; no los añadas por comodidad.
Elimina claves sin uso, limita direcciones IP si el proveedor lo permite y revisa sesiones desconocidas. En la ficha de LBank se describe su API como producto; no necesitas conectar una API para abrir una cuenta o leer una reseña. Tampoco necesitas compartirla para utilizar un comparador de plataformas.
7. Reconoce las solicitudes que no debes atender
Un supuesto empleado que pide código 2FA, control remoto, una transferencia para desbloquear saldo o conexión a un monedero introduce un riesgo concreto. No continúes la conversación desde el enlace recibido: abre por tu cuenta el centro de soporte oficial y confirma allí la incidencia.
Los mensajes urgentes sobre una cuenta bloqueada, un ingreso inesperado o una recompensa pueden intentar que actúes sin revisar. Comprueba la actividad directamente. En la primera compra de BTC y al retirar euros al banco, la autenticación se completa dentro del proveedor, no enviando códigos a otra persona.
Qué hacer si sospechas una intrusión
Desde un dispositivo que consideres seguro, entra por el canal oficial y utiliza las opciones de bloqueo o soporte urgente disponibles. Protege el correo, revisa sesiones, revoca claves sospechosas y cambia credenciales según el procedimiento del proveedor. Conserva fechas, avisos e identificadores de movimientos; no borres la evidencia por intentar ordenar el historial.
No muevas fondos precipitadamente desde un equipo que puede seguir comprometido ni aceptes un servicio de recuperación recibido por mensaje. Revisa después qué control falló y prueba tu recuperación de acceso. Una rutina periódica de dispositivos, factores, direcciones y permisos suele ser más útil que acumular herramientas que no entiendes o que no vuelves a revisar.
