Seguridad del exchange: 2FA y lista blanca

La configuración de seguridad de un exchange tiene una decena de opciones y no todas valen lo mismo. Dos de ellas cubren la enorme mayoría de los casos reales; el resto ayuda en los márgenes. Vale la pena saber cuál es cuál antes de gastar una tarde en el orden equivocado.

Las dos primeras son de otra categoría. El doble factor evita que entren; la lista blanca evita que se lleven algo aunque hayan entrado. Juntas cubren el ataque real —alguien consigue tus credenciales y retira— desde los dos lados. Si solo vas a hacer dos cosas hoy, que sean esas.

El doble factor, y cuál elegir

No todos los segundos factores son iguales. Ordenados de mejor a peor:

Llave física

Un dispositivo que conectas o acercas. Es el único método que resiste el escenario en que te engañan para que entres a un sitio clonado: la llave verifica criptográficamente el dominio, así que sencillamente no responde en el sitio falso. Ninguna otra opción hace eso.

El costo es que hay que comprarla y llevarla encima, y que conviene tener dos —una de respaldo— porque perder la única es un problema. Para montos que te importarían de verdad, sigue siendo la mejor relación entre lo que cuesta y lo que evita.

Aplicación de códigos

Una aplicación que genera un código de seis dígitos que cambia cada treinta segundos. Es la opción correcta para casi todo el mundo: gratis, funciona sin señal y no depende de tu compañía telefónica.

Su límite: si te convencen de escribir el código en un sitio clonado, el atacante lo usa en el sitio real dentro de la misma ventana de treinta segundos. Protege contra credenciales robadas, no contra que te engañen en vivo.

Mensaje de texto

Mejor que nada y bastante peor que lo anterior, por un motivo concreto: el intercambio de tarjeta SIM. Alguien convence a tu compañía telefónica de pasar tu número a una tarjeta suya —con datos personales tuyos, que muchas veces son públicos o comprables— y a partir de ahí recibe tus códigos. No hace falta tocar tu teléfono.

Si tu plataforma exige un método por mensaje además del de aplicación, actívalo y no lo uses como único factor. Y si tu compañía ofrece un bloqueo de portabilidad o un PIN de línea, ponlo: cuesta una llamada.

Correo electrónico

El más débil, porque si el correo está comprometido, cae todo junto: el segundo factor y la recuperación de contraseña. Tu correo es la llave maestra de todas tus cuentas, así que si algo merece su propio doble factor fuerte, es esa casilla, antes incluso que el exchange.

La lista blanca de retiros

Las reglas conviene tomarlas de la plataforma y no de mí. La página sobre la configuración de retiros de Binance dice que con la lista blanca activada la cuenta solo puede retirar hacia direcciones que estén en la lista, y que modificarla o desactivarla suspende los retiros de forma temporal por 24, 48 o 72 horas (revisado en 2026-08). Esas dos frases son todo el valor de la función, y también su único costo.

El ajuste más subestimado de todos. Activada, la cuenta solo puede retirar hacia direcciones que tú guardaste previamente, y agregar una dirección nueva abre un período de espera de veinticuatro a setenta y dos horas.

Piensa en lo que eso significa desde el lado del atacante: consigue tu contraseña, pasa el doble factor, entra… y no puede mandar el dinero a ningún lado, porque sus direcciones no están en la lista. Para agregarlas tiene que esperar un día o más, y durante ese tiempo tú recibes una notificación.

Convierte una pérdida total en una alerta. Pocos ajustes tienen ese perfil.

La objeción, y por qué no se sostiene

«Me quita flexibilidad para retirar rápido.» Es cierto la primera vez que usas cada dirección, y después no: las direcciones guardadas retiran al instante. Como la gente manda dinero repetidamente a los mismos dos o tres lugares, la fricción es de una sola vez.

Y en el caso donde de verdad necesitas mover a un destino nuevo con urgencia —una mudanza contra reloj— la solución es agregar la dirección apenas decides el destino, no cuando vas a mandar. Eso está en el paso dos del manual de mudanza justamente por esto.

Cómo nombrar las direcciones

Pon la cadena en el nombre. «Binance USDT TRC20» te protege de una manera que «Mi otra cuenta» no, porque en el momento de elegir del desplegable estás confirmando red y destino a la vez. Es una defensa gratuita contra el error más caro que existe en esto.

La contraseña, en dos frases

Larga y única. Eso es todo.

Única importa más que compleja. Las filtraciones de bases de datos son constantes, y lo que hacen los atacantes es probar las combinaciones filtradas en otros servicios. Una contraseña excelente reutilizada en un foro que sufrió una filtración es una contraseña quemada.

Larga importa más que rara. Cuatro palabras al azar superan a ocho caracteres con símbolos, y además las recuerdas. Si usas un gestor de contraseñas —que es lo recomendable— no necesitas recordar ninguna salvo la maestra, que sí conviene que sea de las que recuerdas.

Y no la cambies por rutina. Cambiar la contraseña cada tres meses empuja a la gente a variaciones predecibles del mismo patrón. Cámbiala cuando haya un motivo: una filtración, una sospecha, un dispositivo perdido.

La frase de antiphishing

Una función simple y poco usada: configuras una frase corta, y a partir de ahí todos los correos legítimos de la plataforma la incluyen. Un correo que dice ser de ellos y no la trae es falso, sin necesidad de analizar el remitente ni pasar el mouse por los enlaces.

Elige algo que no puedan adivinar ni encontrar en tus redes. No tu nombre, no tu mascota, no una fecha. Dos palabras sin relación entre sí funcionan bien.

Las claves de API, el punto ciego

Cualquier cosa que hayas conectado alguna vez a tu cuenta —un bot, un rastreador de cartera, una aplicación de copia de operaciones, una herramienta de impuestos— tiene una clave de API. Esas claves siguen funcionando cuando cambias la contraseña, y muchas veces siguen funcionando cuando cambias el doble factor.

Tres cosas para hacer, en diez minutos:

1. Abre la lista y mírala completa

   Vas a encontrar cosas que no recordabas. Es lo normal.

2. Borra todo lo que no uses ahora

   Ante la duda, borra. Volver a crear una clave lleva dos minutos; una clave olvidada dura años.

3. Revisa los permisos de las que dejes

   Casi ninguna herramienta necesita permiso de retiro. Un rastreador de cartera solo necesita lectura. Si algo pide permiso de retiro y no es evidente por qué, esa es la respuesta.

Si además puedes restringir una clave a una dirección de red concreta, hazlo. Es de los pocos controles que vuelven una clave filtrada casi inútil.

Dispositivos, sesiones y el resto

Un repaso corto que conviene hacer cada tanto:

• Sesiones activas: cierra todo lo que no reconozcas o ya no uses. Un inicio de sesión desde un dispositivo prestado hace un año puede seguir vivo;
• Dispositivos autorizados: la misma lógica, con el celular que cambiaste;
• Métodos de pago vinculados — desvincula tarjetas y cuentas que ya no uses ahí;
• Correo de recuperación y teléfono: verifica que sigan siendo tuyos y accesibles. Un correo de respaldo que perdiste es un problema latente;
• Notificaciones de seguridad, actívalas todas. Una alerta de acceso que no te sirve para nada el 99% de las veces vale por la vez que sí.

Sobre las redes públicas

El riesgo del wifi de un café está bastante exagerado en el discurso general: hoy el tráfico va cifrado y el escenario de alguien leyendo tu sesión es mucho menos común de lo que se cuenta. Lo que sí sigue siendo real es lo de siempre: que alguien mire tu pantalla, y que te conectes a una red con nombre parecido al legítimo. Si vas a operar desde afuera, los datos de tu propio celular son más simples que cualquier otra medida.

Los ataques que la configuración no detiene

Vale la pena decirlo con claridad: la mayoría de las pérdidas reales no ocurren porque alguien rompió la seguridad de una plataforma, sino porque convencieron al usuario de hacer algo. Contra eso, ningún ajuste sirve. Lo que sirve es reconocer las formas.

Todos comparten dos rasgos: te contactan a ti, y te apuran. Si algo cumple esas dos condiciones, la probabilidad de que sea legítimo es muy baja, independientemente de lo convincente que se vea.

La regla de los diez minutos

Cuando algo relacionado con tu dinero llega con urgencia, no hagas nada durante diez minutos. Ese tiempo destruye casi todas las estafas de este tipo, porque dependen de que actúes antes de pensar. Ninguna situación legítima empeora por diez minutos de demora.

En qué orden hacerlo

Si estás abriendo una cuenta ahora, este es el orden que funciona:

1. Antes de depositar: doble factor con aplicación

   Y guarda la cadena de respaldo en el mismo momento, no después.

2. Antes de depositar: lista blanca activada

   Con la cuenta vacía la fricción no te molesta, y quedas cubierto desde el primer día.

3. Al configurar: frase de antiphishing y notificaciones

   Cuatro minutos entre las dos.

4. Cuando haya saldo: agrega tus direcciones de destino

   Con el período de espera corriendo mientras no tienes apuro.

5. Cada tanto: repaso de sesiones y claves de API

   Cinco minutos cada varios meses.

El orden importa por un motivo: los pasos uno y dos tienen fricción cero mientras la cuenta está vacía y fricción real después. Es la única ventana en que activar la lista blanca no te cuesta nada. Cómo se ve todo esto dentro del flujo de apertura está en abrir cuenta en Binance, paso a paso.

Si ya tienes la cuenta armada

Haz los mismos pasos, en el mismo orden, con una advertencia: cambiar ajustes de seguridad abre un período de espera para retiros, típicamente de veinticuatro a setenta y dos horas. Así que no lo hagas el día antes de necesitar mover algo. Elige un momento tranquilo.