Correos fraudulentos de MetaMask: cómo detectarlos y proteger su wallet

Abre su bandeja de entrada y encuentra un correo que parece venir de MetaMask. El logotipo es el correcto, el diseño es limpio y el mensaje le apremia: verificar su wallet, evitar una suspensión o confirmar su frase secreta de recuperación con motivo de una actualización de seguridad. Parece auténtico porque está hecho para parecerlo. Es un correo de phishing, y la página a la que lleva el botón del mensaje está diseñada para hacerse con el control de su wallet.

Puede que haya leído que MetaMask nunca envía correos. Es una afirmación demasiado general. MetaMask puede escribirle sobre un ticket de soporte que usted haya abierto, y envía boletines y novedades de la MetaMask Card a quienes se han suscrito a ellos. Lo que nunca hace es iniciar la conversación. No envía correos no solicitados, nunca le pide por correo su frase secreta de recuperación, su contraseña ni los datos de su cuenta de Google o Apple, y nunca le pide que verifique, actualice o restaure su wallet. Un correo que haga cualquiera de esas cosas es una estafa, por auténtico que parezca.

Por qué funcionan los correos fraudulentos de MetaMask

MetaMask es un objetivo evidente. Se presenta como la wallet de autocustodia más utilizada, con más de 100 millones de descargas, así que un correo falso de MetaMask enviado a una lista amplia llega a muchos usuarios reales.

Muchos de esos usuarios conocen mejor las cuentas de los exchanges que las wallets. Un exchange con custodia le guarda las criptomonedas, por lo que tiene su dirección de correo, puede congelar su cuenta y le envía correos sobre ella. Una wallet de autocustodia, también llamada sin custodia, deja las claves en sus manos. Sus cuentas están en la blockchain, no en MetaMask, así que MetaMask no tiene nada que suspender ni verificar. Los estafadores cuentan con que la gente no conozca esa diferencia.

Estos correos también juegan con las emociones. Un plazo como «your wallet will be locked in 24 hours» (su wallet quedará bloqueada en 24 horas) le empuja a actuar antes de pensar. Un aviso de «suspicious activity», es decir, de actividad sospechosa, hace que el clic parezca un gesto responsable, y una petición de «update your security», esto es, de actualizar su seguridad, suena sensata en lugar de sospechosa. Todos estos recursos le impiden hacerse la pregunta que desmonta la estafa: ¿le he dado alguna vez esta dirección de correo a MetaMask, y para qué?

Cómo son los correos fraudulentos de MetaMask

Los correos de phishing dirigidos a usuarios de MetaMask reutilizan un puñado de plantillas, y el centro de ayuda de MetaMask advierte de esos mismos pretextos. Reconocer la plantilla es la mejor defensa.

El correo «verify your wallet»

Esta variante afirma que usted debe verificar su wallet para seguir usando MetaMask. Un botón como «Verify Now» o «Confirm Wallet» lleva a un sitio web falso de MetaMask que le pide su frase secreta de recuperación, la frase semilla que sirve de copia de seguridad de su wallet. En cuanto la introduce, el estafador controla todas las cuentas derivadas de esa frase y puede vaciarlas una por una. MetaMask afirma que nunca le pide que verifique su cuenta.

Una versión más reciente le pide que haga un «upgrade» a una cuenta inteligente (smart account). MetaMask sí muestra avisos para convertir una cuenta en cuenta inteligente, pero solo dentro de la extensión o de la aplicación móvil. Un correo o un sitio web que le presione para hacer esa actualización no es MetaMask.

El correo «security alert»

Esta versión, presentada como alerta de seguridad, avisa de que se ha detectado actividad no autorizada en su wallet, o de que la wallet está restringida, bloqueada o suspendida, y le insta a protegerla mediante un enlace. El enlace lleva a una página clonada de MetaMask que captura todo lo que escribe. Que el correo cite datos reales de transacciones no demuestra nada: cualquiera puede consultar las transacciones de cualquier dirección en un explorador de bloques público.

El correo «KYC requirement»

Este afirma que una nueva normativa obliga a MetaMask a comprobar su identidad (KYC, siglas de «know your customer», conozca a su cliente). Se le pide que suba documentos y conecte su wallet en un sitio externo. MetaMask no tiene ningún proceso de KYC propio. Puede haber verificaciones de identidad cuando compra criptomonedas dentro de MetaMask o solicita la MetaMask Card. Esas verificaciones forman parte de esa compra o de esa solicitud de tarjeta y las realiza el proveedor correspondiente, así que compruebe si el mensaje tiene que ver con un servicio que usted haya pedido realmente. Ninguna verificación de identidad, real o falsa, justifica revelar su frase de recuperación o su clave privada.

El correo «airdrop» o «reward»

Este promete tokens gratuitos, un airdrop retroactivo o una recompensa (reward) para los usuarios fieles de MetaMask si conecta su wallet en el sitio web al que lleva el enlace. MetaMask no reparte activos: ni tokens, ni NFT, ni airdrops, ni regalos al azar. La página para reclamarlos le pide su frase de recuperación o bien la firma de una autorización de tokens, que da permiso al sitio para llevarse sus tokens en lugar de enviarle alguno. Esa autorización queda registrada en la blockchain, así que sigue funcionando después de cerrar el sitio, hasta que usted la revoque.

La falsa respuesta del soporte

Algunas estafas se dirigen a personas que de verdad se han puesto en contacto con MetaMask. MetaMask advierte de que hay estafadores que han abordado a usuarios con tickets abiertos y les han pedido su frase secreta de recuperación. Los correos auténticos sobre un ticket solo llegan desde support@metamask.io, solo tratan de un caso que usted abrió a través del chat del centro de ayuda y nunca le piden la frase. El soporte de MetaMask no se pone en contacto con usted por iniciativa propia, no tiene número de teléfono y no le contactará por WhatsApp, Telegram, Instagram, SMS ni mensajes directos en X.

Cómo identificar un correo falso de MetaMask

Si no ha abierto ningún ticket de soporte, no se ha unido al foro MetaMask Community ni se ha suscrito a los correos de MetaMask, un correo que dice venir de MetaMask es falso, por profesional que parezca. Si ha hecho alguna de esas cosas, estas comprobaciones distinguen lo auténtico de una copia.

Compare el remitente con las direcciones oficiales de MetaMask

MetaMask enumera seis direcciones desde las que envía correos. Haga clic en el nombre del remitente o pase el cursor por encima para ver la dirección completa, porque cualquiera puede poner un nombre visible como «MetaMask Support».

Los correos de phishing suelen llegar desde direcciones que imitan a las auténticas: un dominio que añade al nombre de la marca una palabra como «support» o «security», una terminación distinta, como .team en lugar de .io, o un dominio largo que simplemente empieza por metamask.io (metamask.io.example.net pertenece a example.net, no a MetaMask). Que la dirección coincida con una de la lista es buena señal, pero eso por sí solo no demuestra que el correo sea auténtico. Lo decisivo es lo que el mensaje le pide que haga.

Compruebe adónde lleva un enlace, pero no lo use

Pase el cursor por encima de un enlace antes de hacer clic. La mayoría de los clientes de correo muestran entonces el destino real en la parte inferior de la ventana o en un recuadro emergente. Si apunta a un sitio distinto de metamask.io o de uno de sus subdominios, como support.metamask.io, desconfíe. Un enlace que parece correcto puede engañar igualmente, porque algunas aplicaciones de correo no muestran el destino real. Los correos auténticos de MetaMask pueden contener enlaces, por ejemplo para confirmar una cuenta nueva en Community, pero nunca necesita ninguno para gestionar su wallet.

Así que confirme la petición por una vía independiente. Escriba support.metamask.io en el navegador o use un marcador, y compare la petición con su caso de soporte abierto o con el servicio que ha utilizado. Si no coincide, o si tiene dudas, inicie un chat con el botón «Contact Support» de la página principal del centro de ayuda y pregunte si el correo es auténtico.

Desconfíe de la presión y de las amenazas imposibles de cumplir

Los servicios legítimos rara vez fijan plazos de 24 horas o amenazan por correo con una suspensión. En el caso de MetaMask, además, la amenaza es imposible de cumplir: sus cuentas existen en una blockchain pública, no en los servidores de MetaMask, y MetaMask afirma que no pueden eliminarse ni restringirse. Cualquier presión de tiempo en torno a su wallet es, de entrada, una señal de alarma.

¿Es MetaMask en sí una estafa?

No. MetaMask es una wallet de autocustodia legítima que se utiliza desde 2016. La desarrolla Consensys Software Inc., que ahora opera con el nombre comercial de MetaMask, y el código fuente de la extensión para navegador es público en GitHub. Las estafas no vienen de MetaMask. Vienen de delincuentes que se hacen pasar por MetaMask para llegar a sus usuarios.

Esa distinción importa sobre todo a la hora de instalarla. MetaMask solo existe como extensión de navegador y como aplicación móvil, y la empresa indica que se descargue únicamente mediante el botón de instalación de metamask.io/download o desde la tienda oficial de su navegador o de su teléfono. Una copia obtenida en cualquier otro sitio puede estar diseñada para robar la frase que introduzca. Y ninguna wallet, por bien hecha que esté, puede impedir que escriba su frase de recuperación en un sitio web falso.

Qué hacer si ha hecho clic en un enlace de phishing

El siguiente paso depende de lo que haya ocurrido después del clic. Abrir una página, aprobar una transacción y escribir su frase requieren respuestas distintas.

Solo ha leído el correo o abierto la página

Eso, por sí solo, no expone sus claves. El peligro está en lo que escriba o apruebe en la página, que a menudo está diseñada para hacerse con su frase secreta de recuperación. Si no ha introducido ni aprobado nada, lo más probable es que su wallet esté a salvo. Cierre la página. Si ha descargado un archivo, no lo abra y analice el ordenador en busca de malware. Anote qué ha ocurrido y cuándo, y vigile la actividad de sus cuentas durante los próximos días.

Ha conectado su wallet o aprobado una transacción

Conectar una wallet no equivale a autorizar el gasto de tokens. La conexión permite a un sitio ver su dirección pública y sus saldos y proponerle transacciones para que usted las confirme. Una autorización de tokens va más allá: permite a un contrato inteligente sacar de su wallet un token concreto, a menudo en cantidades ilimitadas, hasta que usted la revoque. Un sitio malicioso puede usarla para vaciar esos tokens sin llegar a conocer nunca su frase.

Revise lo que ha firmado y qué autorizaciones siguen activas. Desconectar un sitio no revoca una autorización. Revocarla es una transacción aparte en la blockchain que cuesta una comisión de red (gas), y no puede deshacer transferencias que ya se hayan producido. La guía de MetaMask para revocar autorizaciones de tokens remite a las herramientas de comprobación de autorizaciones de exploradores de bloques como Etherscan y a servicios como Revoke.cash. Acceda a estas herramientas a través de esa guía o escribiendo la dirección por su cuenta, nunca mediante un enlace «revoke» del mensaje sospechoso.

Ya ha introducido su frase de recuperación en un sitio sospechoso

Dé por hecho que la frase y todas las cuentas que controla están comprometidas. Cambiar la contraseña local de MetaMask no servirá de nada, porque quien tenga la frase puede restaurar la wallet en un dispositivo propio. Una clave privada que haya introducido expone de la misma manera la cuenta correspondiente. No añada fondos a las cuentas afectadas. Los pasos de MetaMask para una wallet comprometida se resumen así:

1. Instale MetaMask en otro navegador u otro perfil del navegador, o en un segundo dispositivo móvil.
2. Cree allí una wallet nueva con una nueva frase secreta de recuperación. Si la wallet antigua usaba una cuenta de Google o Apple, no conecte esa misma cuenta a la wallet nueva.
3. Anote la nueva frase en el orden correcto y guárdela sin conexión.
4. Envíe todo lo que quede en la wallet antigua a la nueva.
5. Deje de usar la wallet antigua y todas las cuentas vinculadas a la frase comprometida.

La rapidez importa, pero no se le puede ganar la carrera a un script. Algunos atacantes usan bots de barrido (sweeper bots) que sacan casi al instante de una dirección comprometida los fondos que llegan a ella, así que, si sospecha que hay uno, no envíe ETH a la wallet antigua para pagar el gas: el bot también se lo llevará. La guía de MetaMask sobre los bots de barrido trata ese caso, y nuestra guía de recuperación de wallets MetaMask explica qué hacer después de una vulneración.

Ha introducido su contraseña o sus credenciales de Google o Apple

El riesgo depende de cómo haya configurado MetaMask. Si creó la wallet solo con una frase secreta de recuperación, la contraseña desbloquea MetaMask en su propio dispositivo y, por sí sola, no da a nadie acceso a sus cuentas. Cámbiela de todos modos. Si creó la wallet con una cuenta de Google o Apple, esa cuenta, junto con su contraseña de MetaMask, abre todas sus cuentas. Si una página falsa ha capturado ambas, siga los pasos anteriores para una wallet comprometida y proteja también la cuenta de Google o Apple.

Notifique el correo y cualquier robo

Notifique el correo de phishing a MetaMask a través del chat de «Contact Support» del centro de ayuda, con la dirección del remitente y el enlace que contenía; después, márquelo como phishing en su aplicación de correo y elimínelo. Si ha perdido fondos, la guía de MetaMask sobre cómo denunciar una estafa explica cómo señalar la dirección del estafador en Etherscan y a qué autoridades contra la ciberdelincuencia dirigirse; en Estados Unidos, es el IC3 del FBI. Describa lo que se ha revelado, pero no incluya nunca la frase ni la clave en sí.

Crypto Recovers no acepta casos de criptomonedas robadas ni de estafas. Una transacción confirmada en la blockchain no puede revertirse, y el FBI advierte de que quien afirme poder recuperar sus fondos después de una estafa puede estar montando otra; nuestra guía para distinguir las empresas de recuperación legítimas de las falsas explica cómo funcionan esas ofertas. Crypto Recovers devuelve el acceso a propietarios legítimos que se han quedado fuera de su wallet, por ejemplo tras olvidar la contraseña de MetaMask, y nunca custodia ni mueve los fondos de sus clientes. Si es su caso, consulte nuestra página de recuperación de wallets MetaMask.

Cómo protegerse a partir de ahora

La protección más eficaz es también la más sencilla: no introduzca nunca su frase de recuperación en internet, ya sea en un formulario de un correo, en un sitio web, en un chat o en una ventana emergente. MetaMask solo menciona dos momentos legítimos para escribirla: cuando crea una wallet y confirma que la ha anotado, y cuando restaura la wallet o restablece su contraseña en la extensión o la aplicación oficiales. Cualquier otra situación es, probablemente, una estafa.

Lo demás es cuestión de hábitos:

• Deje que MetaMask se actualice a través del navegador o de la tienda de aplicaciones. Una actualización real nunca le pide por correo que verifique o restaure su wallet.
• Guarde metamask.io y support.metamask.io en sus marcadores y ábralos desde ahí, no desde resultados de búsqueda, anuncios o enlaces. Los estafadores compran anuncios que aparecen por encima del resultado auténtico, como muestra nuestro artículo sobre las señales de alerta de las estafas de criptomonedas.
• Conserve su frase secreta de recuperación sin conexión, escrita en papel o grabada en metal, en un lugar seguro al que solo usted tenga acceso. MetaMask desaconseja guardar la frase en la nube o en gestores de contraseñas.
• Use una hardware wallet para cantidades importantes. MetaMask la recomienda para cuentas de alto valor, porque las claves permanecen sin conexión y cada transacción requiere el dispositivo físico.
• Si configuró MetaMask con una cuenta de Google o Apple, asigne a esa cuenta una contraseña única, distinta de su contraseña de MetaMask.
• Revise sus autorizaciones de tokens con regularidad. MetaMask sugiere convertirlo en un hábito, por ejemplo una vez al mes.
• Considere que cualquier mensaje no solicitado sobre sus criptomonedas, ya sea por correo, mensaje directo, llamada telefónica o comentario en redes sociales, es una estafa hasta que lo haya comprobado a través de los canales propios de MetaMask.

Documentación oficial

• ¿Este correo es realmente de MetaMask?
• Los canales de soporte oficiales de MetaMask
• Cómo revocar autorizaciones de contratos inteligentes y de tokens
• Qué hacer si le han pirateado o estafado (transacciones no autorizadas en su cuenta)

Preguntas frecuentes sobre los correos fraudulentos de MetaMask

¿Envía MetaMask correos electrónicos?

Sí, pero solo en unas pocas situaciones y nunca sin que usted lo haya pedido. MetaMask le escribe sobre un ticket de soporte que usted abrió, sobre la actividad del foro MetaMask Community si se ha unido a él, y con los boletines o las novedades de la MetaMask Card a los que se haya suscrito. Nunca le escribe para pedirle su frase secreta de recuperación, su contraseña ni los datos de su cuenta de Google o Apple, ni para que verifique su wallet. Cualquier otro correo que diga venir de MetaMask es phishing.

¿Qué debo hacer si recibo un correo de MetaMask?

No haga clic en los enlaces del correo, no abra los archivos adjuntos y no responda. Compare el remitente con las direcciones oficiales de MetaMask. Si no ha abierto ningún ticket ni se ha suscrito a nada, marque el correo como phishing y elimínelo. Si tiene dudas, escriba support.metamask.io en el navegador y pregunte a través del chat de «Contact Support».

¿Pueden los estafadores acceder a mi MetaMask sin mi frase de recuperación?

Sin ella no pueden hacerse con toda la wallet, salvo que la wallet se haya configurado con Google o Apple y tengan esa cuenta junto con su contraseña de MetaMask. Una clave privada que usted haya entregado expone la cuenta a la que pertenece. Las autorizaciones de tokens son la excepción que conviene vigilar: un contrato malicioso que usted apruebe puede mover los tokens autorizados sin su frase. Un malware también puede robar una frase guardada en su ordenador. Revoque las autorizaciones que no reconozca y mantenga la frase fuera de cualquier dispositivo conectado a internet.

Le he dado mi frase semilla a un estafador. ¿Puedo recuperar mis fondos?

MetaMask no puede deshacer una transacción confirmada ni devolver fondos robados. Denunciar el robo puede permitir que actúen las autoridades o el exchange receptor, pero no garantiza la devolución de los fondos. Crypto Recovers tampoco acepta casos de criptomonedas robadas ni de estafas. Traslade de inmediato todo lo que siga en la wallet a una wallet nueva con una frase nueva, denuncie el robo y desconfíe de cualquiera que se ofrezca a recuperar los fondos, sobre todo a cambio de un pago por adelantado.

¿Puede MetaMask bloquear o suspender mi wallet?

No. MetaMask es una wallet de autocustodia: sus cuentas existen en blockchains públicas, y MetaMask afirma que no pueden eliminarse ni restringirse. Un correo que amenaza con bloquear, suspender o cerrar su wallet si usted no actúa es una estafa.