Muchas personas se registran en Binance por "comprar criptomonedas", casi nadie lo hace por "seguridad". Pero lo que realmente hace que los usuarios antiguos sufran pérdidas nunca son los precios del mercado, sino sus cuentas. Establecer una buena base para la seguridad de la cuenta, en realidad, solo requiere treinta minutos — primero regístrate desde el sitio oficial de Binance, luego descarga la App oficial de Binance, y luego sigue el orden de este artículo para configurar el código antiphishing, el 2FA y la lista blanca. Si los usuarios de iPhone aún no han instalado la APP, vayan primero a la guía de instalación de iOS para ver los pasos de cambio de Apple ID, y no descarguen en plataformas de terceros.
I. Primero reconoce "en qué paso es más probable que te roben"
El orden de los cinco puntos de acceso más comunes en los casos de robo de exchanges es el siguiente:
- Hacer clic en enlaces de correos de phishing — El título del correo y el remitente son muy realistas, y al hacer clic te lleva a una página de inicio de sesión de Binance falsa.
- APP de phishing — Al instalar una versión no oficial, la contraseña de inicio de sesión es interceptada y el código de verificación 2FA es reenviado por un intermediario.
- Pérdida de dispositivo / dispositivo antiguo no cerrado — Al cambiar de teléfono no cierras la sesión, y el dispositivo antiguo es obtenido por familiares, amigos o compradores en el mercado de segunda mano.
- SIM Swap — El atacante utiliza ingeniería social para que el operador transfiera el número de teléfono a su propia tarjeta SIM, haciendo inútil el 2FA por SMS.
- Captura de paquetes en Wi-Fi público — Al iniciar sesión en una cafetería o un hotel, te conectas a un punto de acceso Wi-Fi falso, y el tráfico es descifrado por un intermediario.
El punto en común de estos cinco puntos de acceso es: todos pueden eliminarse en gran medida mediante una configuración única. Las cinco cosas que se explican más adelante en este artículo corresponden a estos cinco puntos.
II. Primera cosa: trata el correo electrónico como la cuenta principal a proteger
La verdadera "cuenta principal" de tu cuenta de Binance es tu correo de registro. Una vez que un atacante obtiene el control de tu correo electrónico, puede restablecer la contraseña de tu cuenta de Binance a través de "olvidé mi contraseña"; incluso si tienes el 2FA activado, puede evitarlo solicitando la "recuperación de cuenta". Por lo tanto, el nivel de seguridad de tu correo electrónico debe ser al menos igual al de tu cuenta de Binance. Recomendaciones:
- Registra un correo independiente específicamente para Binance, y no lo mezcles con ningún correo social/de compras/de trabajo.
- Este correo también debe tener 2FA activado (para Gmail se recomienda vincular Google Authenticator, para Outlook se recomienda Microsoft Authenticator).
- La contraseña del correo debe tener al menos 16 caracteres aleatorios, generada con un gestor de contraseñas.
- No uses combinaciones fáciles de adivinar como "nombre + fecha de nacimiento" o "número de teléfono + letras".
III. Segunda cosa: configurar el código antiphishing
El código antiphishing (Anti-Phishing Code) es una función introducida por Binance en 2019 — tú configuras una cadena personalizada de 6 a 8 caracteres, y todos los correos oficiales que Binance te envíe después llevarán esta cadena en el título. Por ejemplo, si lo configuras como SBYT-42, el título de un correo normal sería [SBYT-42] Notificación de confirmación de retiro, y esta cadena nunca aparecerá en un correo de phishing.
Ubicación de la operación: inicia sesión en el sitio oficial de Binance → Cuenta → Seguridad → Código antiphishing. Una vez configurado, envíate inmediatamente una solicitud de retiro o una notificación de depósito a ti mismo, para confirmar que el correo realmente incluye este código. La eficacia del código antiphishing depende completamente de tu hábito de "mirar el código antes de ver el correo", no es algo de una sola vez.
IV. Tercera cosa: cambiar el 2FA a Google Authenticator
Binance tiene activado por defecto el 2FA por SMS, que es el más débil. Ya ha habido muchos casos de ataques de SIM Swap en China — el atacante usa ingeniería social con el servicio de atención al cliente del operador, afirmando que perdió su teléfono y necesita una tarjeta de reemplazo, y tras lograrlo, todos los mensajes de texto llegan a su nueva tarjeta. Desde el reemplazo de la tarjeta hasta el vaciado de tu cuenta, a menudo pasan menos de media hora.
Cómo responder: cambiar a Google Authenticator (TOTP). No depende del número de teléfono, no requiere red y el código de verificación se actualiza cada 30 segundos. Incluso si el atacante tiene tu número de teléfono, no le servirá. Pasos para vincular:
- Descarga "Google Authenticator" de la App Store / Play Store, busca al desarrollador
Google LLC. - Inicia sesión en Binance → Centro de seguridad → Autenticador de Google → Activar.
- Antes de escanear el código QR en la pantalla, copia manualmente la clave de 16 caracteres en un papel — esta es la única credencial de recuperación al cambiar de dispositivo / reinstalar.
- Después de escanear, ingresa el código dinámico de 6 dígitos que aparece en la APP para completar la vinculación.
- Tras vincular, Binance te pedirá que uses el 2FA para iniciar sesión, retirar fondos y modificar configuraciones de seguridad.
Aviso importante: Google Authenticator no se sincroniza en la nube por defecto, lo que significa que si pierdes el teléfono o reinstalas el sistema y no copiaste la clave, perderás el acceso de forma permanente. No puedes ser perezoso en este paso de copiar la clave.
V. Cuarta cosa: habilitar la lista blanca de retiros
La función de la lista blanca es: solo permitir transferencias de fondos a direcciones que hayas registrado previamente. Una vez activada, incluso si tu contraseña y 2FA son vulnerados, el atacante no podrá transferir los fondos a su propia dirección.
Ruta de configuración: Cuenta → Seguridad → Lista blanca de retiros → Activar. Luego, agrega tus direcciones de billetera fría habituales y direcciones de depósito de otros exchanges una por una. Después de agregar una dirección por primera vez, el sistema impondrá un período de enfriamiento de 24 horas antes de poder usarla. Este mecanismo es en sí mismo una medida antirrobo.
Muchos usuarios antiguos, al ver el "período de enfriamiento de 24 horas", lo encuentran molesto y no habilitan la lista blanca, pero según los datos, para las cuentas con la lista blanca activada, incluso si sufren ataques de fuerza bruta o ingeniería social, la probabilidad de pérdida de fondos se reduce en más del 90%. Cambiar molestias por tranquilidad vale la pena.
VI. Quinta cosa: limpiar los dispositivos de inicio de sesión anteriores
Ve a Cuenta → Seguridad → Gestión de dispositivos, y verás una lista de registros de inicio de sesión. La idea típica de limpieza es:
- Eliminar inmediatamente el teléfono que ya cambiaste, la computadora de un amigo que usaste o los inicios de sesión web de prueba.
- Conservar el teléfono principal que usas a diario y tu computadora habitual.
- Para cada registro conservado, verifica si el tiempo de inicio de sesión, la ubicación de la IP y la huella del dispositivo son completamente razonables.
- Activar las "alertas por correo de inicio de sesión en nuevos dispositivos", y se te notificará en tiempo real sobre cualquier nuevo inicio de sesión.
Este paso parece simple pero es crucial — tras revisar la mayoría de los casos de robo, se descubre que el atacante utilizó un dispositivo antiguo que ya estaba en la "sesión activa", pero que la persona olvidó limpiar.
VII. Después de hacer estas cinco cosas
Una vez que completes estas cinco cosas, tu cuenta habrá alcanzado un nivel de seguridad donde los atacantes comunes desistirán. Después, se recomienda mantener un hábito de "revisión de seguridad" de 10 minutos al mes:
- Revisa una vez si tu código antiphishing sigue activo (Binance a veces lo restablece por control de riesgos).
- Comprueba si hay sesiones desconocidas en la gestión de dispositivos.
- Actualiza los permisos de las claves API una vez (si operas con API).
- Revisa tus correos de los últimos 30 días para confirmar que cada correo de Binance incluya el código antiphishing.
Preguntas Frecuentes
P: Si configuré el código antiphishing, ¿un correo que no lo tenga es definitivamente phishing? R: En la gran mayoría de los casos, sí. Pero hay una excepción: el correo de verificación enviado durante el registro porque aún no tienes cuenta, así que no incluye el código. Aparte de ese caso, cualquier correo oficial de Binance sin código antiphishing debe ser tratado como phishing.
P: ¿Qué es más recomendable, Google Authenticator o Authy? R: Ambos sirven, la diferencia está en la sincronización en la nube. Authy admite sincronización entre múltiples dispositivos, lo que es adecuado para usuarios que cambian a menudo de teléfono, pero la sincronización en la nube en sí misma es un nuevo vector de ataque; Google Authenticator almacena localmente por defecto y es más seguro, aunque cambiar de teléfono es más molesto. A usuarios con niveles de seguridad más altos se les recomienda Google Authenticator + copia de seguridad sin conexión de la clave.
P: ¿La lista blanca dejará de ser válida para las direcciones ya añadidas? R: No. Las direcciones ya añadidas son permanentemente válidas, a menos que las elimines tú mismo. Solo las nuevas direcciones añadidas están sujetas al período de enfriamiento de 24 horas.
P: Después de hacer estas cinco cosas, ¿de qué más debo preocuparme? R: El mayor riesgo restante es que entregues tu contraseña o código de verificación tú mismo — incluyendo hacer clic en enlaces de phishing, recibir llamadas de atención al cliente falsas o "verificar cuenta" en sitios web sospechosos. La protección a nivel técnico ya es suficiente, lo que sigue es entrenar tu conciencia antiphishing.