Cómo detectar un exchange cripto falso antes de enviar
Equipo NoxSwap
La forma más habitual de perder cripto en un swap no es un hackeo. Es una copia: una web idéntica a la de un exchange real, que muchas veces llega a través de un anuncio en el buscador o de un enlace en un chat, con una sola diferencia que importa de verdad, y es que la dirección de depósito pertenece al estafador. Una vez enviadas las monedas, nadie puede recuperarlas. La buena noticia es que unas pocas comprobaciones llevan menos de un minuto y frenan casi todas las estafas de este tipo. Aquí tienes en qué fijarte y cómo una firma PGP te permite demostrar que un exchange es realmente quien dice ser.
Cómo funciona la estafa del exchange falso
Los estafadores copian el diseño, los textos e incluso el proceso de la orden de un exchange real, y lo montan en un dominio que parece casi el bueno: una letra de más, otra terminación como .co en lugar de .io o un guion en medio. Compran anuncios en buscadores con el nombre de la marca, publican el enlace en grupos de Telegram y en foros, o responden a quien pide ayuda con un swap.
En la web falsa todo parece funcionar. Eliges un par, introduces tu dirección y recibes una cotización y una dirección de depósito. Lo único que ha cambiado es esa dirección. Algunos clones muestran incluso una pantalla de progreso convincente después del envío, así que la víctima pasa horas esperando antes de darse cuenta de que no va a llegar nada.
El mismo truco existe en Tor. Cualquiera puede generar una dirección onion que empiece por las mismas letras que una auténtica, así que un espejo falso puede parecer legítimo a simple vista.
Señales de alarma que puedes comprobar en segundos
Mira la dirección completa en la barra del navegador, no solo el logotipo. Escribe tú el dominio o usa un marcador en lugar de pulsar enlaces de anuncios, chats o e-mails. Si llegaste a la web desde un resultado patrocinado del buscador, ciérrala y entra en la dirección que ya conoces.
Desconfía de todo lo que te contacte primero. El soporte de un exchange real no abre conversaciones por mensaje directo, nunca te pide la frase semilla ni las claves privadas y nunca te pide que envíes un pago de prueba a una wallet personal. Un tipo de cambio muy superior al de toda la competencia es otra señal de alarma: una cotización que mejora el mercado en un 10 % es un cebo, no una ganga.
Comprueba adónde llevan los canales de soporte. Si la única forma de contactar con el servicio es una cuenta de Telegram que no aparece enlazada en la web oficial, considérala no verificada.
Qué demuestra una firma PGP
PGP es un estándar con décadas de historia para firmar mensajes. Un servicio guarda en secreto una clave privada y publica la clave pública correspondiente. Cualquiera que tenga la clave pública puede comprobar lo que se ha firmado con la privada, y la comprobación falla si se ha cambiado un solo carácter del texto firmado.
Un clon puede copiar una web píxel a píxel, pero no puede generar una firma válida sin la clave privada. Por eso los servicios de privacidad serios firman lo que importa: sus direcciones oficiales y los datos de cada orden.
Cómo usa NoxSwap las cartas de garantía firmadas
Cada orden de NoxSwap incluye una carta de garantía firmada con nuestra clave PGP. En ella constan el ID de la orden, qué envías y a qué dirección de depósito, qué recibes y en qué dirección de pago, y el plazo para hacer el depósito. La encontrarás en la página de tu orden, justo debajo del ID, con botones para copiarla, descargarla y verificarla.
Antes de pagar, verifica la carta y compara la dirección de depósito que aparece en ella con la que vas a usar para enviar. Tienen que coincidir. Si una web no puede enseñarte una carta, o la firma no es válida, no envíes nada.
Nuestra lista de direcciones oficiales, la web y el espejo Tor, está firmada con la misma clave y publicada como mirrors.txt en nuestra página de verificación PGP.
Tres formas de verificar una firma
La más rápida es el verificador de nuestra página PGP: pega la carta completa y la comprobación se hace en tu navegador, sin enviar el texto a ningún sitio. El botón Verificar de la página de la orden lo abre con tu carta ya pegada.
Si prefieres no depender de nuestra propia web, BitList, un directorio independiente de servicios de privacidad, publica nuestra clave pública en su propia página y verifica las cartas de NoxSwap con un clic.
Para comprobarlo todo sin conexión, usa GnuPG: importa la clave desde noxswap.io/pgp.txt, guarda la carta como archivo de texto y ejecuta gpg --verify sobre ella. Uses la herramienta que uses, compara la huella de la clave con la que publican BitList y nuestra web. Si alguna vez no coinciden, no confíes en la clave.
Si crees que has dado con una web falsa
No envíes nada y no introduzcas las credenciales de tu wallet. Apunta la dirección de la web y dónde encontraste el enlace, y avísanos en info@noxswap.io para que podamos alertar a otros usuarios y pedir al proveedor de alojamiento o al registrador del dominio que la retire.
Si ya enviaste fondos a una dirección falsa, ningún exchange puede revertir la transacción, tampoco el auténtico. Denúncialo en la plataforma donde encontraste el enlace y ante la policía de tu país; el registro de la transacción en la blockchain ayuda en la denuncia.
¿Listo para cambiar?
Tipo fijo garantizado, todas las comisiones incluidas, pago desde una dirección nueva.
Iniciar swap