Seguridad en Binance: 2FA, Antiphishing y Lista Blanca

1. Verificación en dos pasos

Actívala con una app de autenticación, no con SMS.

Los códigos por SMS llegan a un número de teléfono, y los números se pueden transferir. Los ataques de intercambio de SIM — convencer a una operadora de mover tu número a otro dispositivo — son una técnica estándar contra cuentas de cripto en concreto, porque el botín justifica el esfuerzo.

Una app de autenticación genera los códigos en el propio dispositivo. No hay nada que interceptar ni operadora a la que engañar. Una llave de seguridad física es aún más fuerte donde esté soportada.

1. Instala una app de autenticación en un dispositivo que controles y vayas a conservar.
2. Activa la verificación en dos pasos por app en los ajustes de seguridad de Binance.
3. Guarda los códigos de recuperación fuera de línea — en papel vale; en el mismo gestor que la contraseña, no.
4. Si ya tienes 2FA por SMS activado, desactívalo cuando el método por app funcione.
5. Pruébalo una vez cerrando sesión y volviendo a entrar, antes de depositar nada.

Perder el acceso al autenticador sin códigos de recuperación implica un proceso de recuperación con verificación de identidad que tarda días. Anota los códigos en el momento de activarlo, no después.

2. Código antiphishing

Este es el ajuste con mayor valor por esfuerzo, y la mayoría de la gente nunca ha oído hablar de él.

Eliges una frase corta y Binance la incluye en todos los correos legítimos que te envía. Los correos de phishing — que copian el diseño con precisión y suelen ser indistinguibles por otros medios — no pueden contenerla, porque quien los envía no la conoce.

A partir de ahí, un correo sin tu frase es falso, por convincente que parezca. Es una comprobación de un segundo, cada vez, sin necesidad de criterio.

3. Lista blanca de direcciones de retiro

Este es el ajuste que determina cuán malo llega a ser el peor caso.

Con la lista blanca activada, los fondos solo pueden retirarse a direcciones aprobadas de antemano, y añadir una nueva desencadena un periodo de espera antes de poder usarla. Un atacante con tu contraseña, tu sesión e incluso tus códigos de dos pasos sigue sin poder mover fondos a su propia dirección de inmediato — y esa demora es justo la ventana en la que te das cuenta y actúas.

Sin ella, una cuenta comprometida se vacía en una sola transacción a una dirección que nunca has visto, y la transacción es irreversible.

• Activa la lista blanca antes de tu primer retiro, no después.
• Añade solo direcciones que controles y esperes reutilizar.
• Cuenta con una demora de seguridad al añadir una nueva — esa demora es la función.
• Revisa la lista de vez en cuando y elimina direcciones que ya no uses.
• Combínala con la verificación en dos pasos: juntas cubren casi cualquier ataque realista.

4. Higiene de sesiones y dispositivos

Los ajustes de seguridad de Binance listan todos los dispositivos y sesiones activas de la cuenta. Lee esa lista una vez y luego de forma ocasional.

Cualquier cosa que no reconozcas debe cerrarse de inmediato, seguido de un cambio de contraseña y un reinicio de la verificación en dos pasos. Las sesiones persisten mucho más de lo que la gente espera, y una sesión antigua en un dispositivo que vendiste o perdiste es una credencial viva.

La misma sección gestiona las claves de API. Si nunca has creado una, la lista debería estar vacía — una clave que no creaste es el hallazgo más grave posible, porque las claves pueden operar sin disparar una alerta de inicio de sesión.

Si creas claves de API para un bot o un rastreador de cartera, dales solo los permisos realmente necesarios, vincúlalas a una IP y no habilites nunca el permiso de retiro.

Cómo se pierden realmente las cuentas

Entender las vías habituales hace que los ajustes anteriores resulten menos abstractos.

El phishing es la vía dominante. Un correo o anuncio convincente lleva a una página de inicio de sesión que no es Binance, introduces tus credenciales y tu código de dos pasos, y el atacante los retransmite al sitio real dentro de la ventana de validez del código. El código antiphishing derrota la versión por correo; guardar el sitio real en marcadores y no navegar nunca desde un enlace derrota el resto.

El soporte falso es la segunda. Nadie de Binance te contactará primero por Telegram, Discord o WhatsApp. Las conversaciones de soporte empiezan desde dentro de la app, iniciadas por ti.

Las aprobaciones maliciosas y el malware de portapapeles importan más en monederos de autocustodia que en cuentas de exchange, pero el hábito que protege — verificar los primeros y últimos caracteres de cualquier dirección que pegues — vale en todas partes.

El intercambio de SIM ataca específicamente al 2FA por SMS, que es la razón de que la primera sección diga lo que dice.

De qué no te protege ningún ajuste

Ser claro con los límites importa tanto como la lista.

Ninguno de estos ajustes te protege de tus propias decisiones de trading, de la liquidación de una posición apalancada ni de la caída de precio de un activo. Eso no son incidentes de seguridad, y ninguna configuración lo evita.

Tampoco cambian el hecho fundamental de que los activos en cualquier exchange los custodia ese exchange. Para cantidades que pienses mantener a largo plazo, la autocustodia en un monedero cuyas claves controlas es otro perfil de riesgo — con sus propios modos de fallo, principalmente la pérdida permanente e irrecuperable de una frase semilla.

La lista de diez minutos

En orden, antes del primer depósito.

1. Activa la verificación en dos pasos por app y guarda los códigos de recuperación fuera de línea.
2. Define un código antiphishing.
3. Activa la lista blanca de direcciones de retiro.
4. Revisa sesiones, dispositivos y claves de API activas; cierra cualquier cosa desconocida.
5. Guarda en marcadores el dominio real de Binance y usa solo ese marcador a partir de ahora.
6. Haz un depósito y un retiro pequeños de prueba para confirmar todo el camino mientras el riesgo es bajo.