Ajustes que protegen tu cuenta de exchange｜el 2FA por SMS no cuenta

Las cuentas no suelen caer porque hackeen al exchange. Caen por huecos en la configuración de la cuenta concreta.

Aquí van cinco ajustes, ordenados por efecto real. Quince minutos en total.

Los nombres de los menús cambian según la plataforma. Sigue siempre la ayuda oficial de la que uses.

1. Cambia el 2FA por SMS a una app

Lo primero, y con diferencia. El SMS cae en cuanto alguien se queda con tu número de teléfono.

Existe el SIM swapping: consiguen que la operadora pase tu línea a otra tarjeta. Desde ese momento, los códigos llegan al atacante.

Con una app de códigos (TOTP) ese camino se cierra. Al activarla, apunta la clave de recuperación en papel y guárdala lejos del móvil. Si pierdes el teléfono sin ella, empiezas de cero con verificación de identidad.

Y en la operadora

Pide que bloqueen los cambios de titularidad y los duplicados de SIM sin presencia física. Cada operadora lo llama de una forma; pregunta por ese supuesto concreto.

2. Fija las direcciones de retirada

El ajuste más infravalorado. Si limitas las retiradas a una lista de direcciones aprobadas previamente, aunque entren en tu cuenta no pueden mandar los fondos a donde quieran.

Muchas plataformas imponen además una espera antes de poder usar una dirección recién añadida. Esa espera es tu única ventana para darte cuenta y frenarlo.

Comprueba la dirección con un envío pequeño antes de darla por buena.

3. Borra las claves de API que no usas

Se generan para un bot o para una herramienta de impuestos, y se quedan ahí años.

Ninguna herramienta de contabilidad necesita permiso de retirada. Si lo tiene, revócala ahora.
Restringe por IP si siempre te conectas desde el mismo sitio.
Lo que no uses, se borra. El “por si acaso” no compensa la superficie de ataque.

4. Revisa el correo asociado

Si te entran en el correo, el resto cae solo: recuperación de contraseña, cambio de 2FA, todo.

Pon 2FA con app también en esa cuenta de correo.
Que su contraseña no sea la misma que la del exchange.
Activa todos los avisos de inicio de sesión y retirada.

Los avisos no impiden nada, pero enterarte un día antes cambia el resultado.

5. Decide cuánto dejas ahí

Esto no es un ajuste, es una política. Y es lo que más funciona.

La autorización bajo MiCA obliga a separar tus criptoactivos de los de la entidad. Eso no cubre que alguien entre con tus credenciales.

Pon un tope de “lo que puedo perder sin que me cambie la vida” y saca el resto a un monedero de hardware o, como mínimo, repártelo. Lo peligroso no es dónde pongas la raya, es no tenerla.

Lo que no hace falta

Cambiar la contraseña cada mes｜si es larga y única, el cambio periódico no aporta casi nada. Dejar de reutilizarla sí.
Llenarla de símbolos raros｜pesa más la longitud. Un gestor de contraseñas resuelve las dos cosas.

Siguiente paso

Abre ahora mismo la configuración de seguridad del exchange que más usas y mira solo dos cosas: si el 2FA es SMS, y si tienes lista blanca de retiradas. Con eso cubres la mayor parte del riesgo.

Preguntas frecuentes

Voy a cambiar de móvil. ¿Qué hago antes?

Desactiva el 2FA en cada servicio o usa la función de migración de la app antes de formatear. Sin clave de recuperación, toca verificación de identidad desde el principio.

¿Con un monedero de hardware ya da igual el exchange?

No: cada vez que operas usas la cuenta del exchange. Son capas distintas.

Me ha llegado un aviso de acceso extraño.

Bloquea las retiradas, cambia contraseña y 2FA, y contacta con soporte entrando desde la web oficial. No uses los enlaces del correo.

Contenido informativo de carácter general. Las funciones disponibles varían según la plataforma; sigue las instrucciones oficiales de la que utilices. Aviso legal

Seguir leyendo

Custodia y seguridad22 de agosto de 2026 · 3 min de lectura