El test de diez minutos antes de enviar cripto

La transferencia más peligrosa no siempre es la más compleja. Puede ser la que haces con prisa porque «ya la has hecho antes».

Un mensaje espera. Alguien insiste. La supuesta oferta termina pronto. Copias, pegas, firmas.

La cadena no sabe que estás apurado. Tampoco sabe que alguien te mintió. Si la instrucción es válida, puede procesarla.

El test de diez minutos no vuelve reversible una red. Hace algo más modesto y más útil: crea una pausa antes del punto en que corregir se vuelve difícil.

La respuesta corta

Antes de autorizar una transferencia en tu billetera:

1. detén la urgencia;
2. confirma a quién y por qué envías;
3. comprueba qué criptomoneda envías y por qué red se procesará;
4. verifica la dirección de recepción —la secuencia que identifica el destino— y el memo o tag, si la plataforma exige uno;
5. revisa monto, moneda y comisión;
6. comprueba el mínimo de depósito y haz una prueba pequeña cuando sea razonable;
7. lee la pantalla final en el teléfono, computador o billetera física que autoriza el envío.

Son siete controles. Diez minutos es una referencia, no una carrera. Si algo no coincide, el test termina sin enviar.

Minuto 0: nombra la operación

Escribe una frase simple, sin pegar datos todavía:

Voy a enviar ___ de ___ por la red ___ desde ___ hacia ___ para ___.

Si no puedes completar la frase, aún no estás listo para firmar.

Este paso separa operaciones que las interfaces suelen mezclar. No es lo mismo pagar, usar un puente que traslada activos entre redes, o autorizar un contrato inteligente, un programa que ejecuta reglas en la cadena.

También rompe el automatismo de una solicitud urgente. «Libera tu retiro pagando primero», «verifica tu cuenta enviando fondos» o «mueve todo ahora porque te están hackeando» son mensajes diseñados para impedir la pausa. Ningún control técnico compensa obedecer a un impostor.

Minutos 1 y 2: confirma la identidad fuera del mensaje

Si el destino pertenece a una persona o empresa, confirma la instrucción por un canal que ya conocías. No uses el número, enlace o usuario incluido en el mismo mensaje sospechoso.

Si es un depósito en una plataforma, confirma primero que ya evaluaste sus reglas de custodia y salida. Luego:

• abre la aplicación o escribe la dirección web guardada;
• entra a la sección de depósito;
• genera o consulta allí los datos;
• revisa si exige memo, tag o referencia: en redes como XRP Ledger, este identificador puede indicar qué cliente recibe el depósito.

Una captura de pantalla no es fuente suficiente. Puede estar desactualizada, manipulada o corresponder a otra red.

El FBI/IC3 advierte que falsos servicios de recuperación cobran por adelantado o piden pagos adicionales. Si alguien ofrece recuperar fondos y te indica su dirección, detente.

Minutos 3 y 4: trata activo y red como una pareja

El nombre del activo no basta. Una moneda estable (stablecoin) busca seguir el valor de otro activo, como el dólar. USDC, por ejemplo, está disponible en varias redes según Circle. Por eso, el símbolo no identifica la red.

Compara literalmente:

• activo que sale;
• red seleccionada para el retiro;
• activo que acepta el receptor;
• red que el receptor muestra para ese depósito.

Las cuatro respuestas deben describir la misma ruta.

No elijas una red solo porque cobra menos. Circle advierte que depósitos de USDC por vías no admitidas pueden quedar sin acreditar o causar pérdidas. Comprueba en el proveedor receptor la red exacta para ese activo.

Si no entiendes la diferencia entre red, activo y dirección, vuelve al mapa de cómo viaja una transferencia cripto antes de mover fondos.

Minutos 5 y 6: verifica el destino completo

Pegar una dirección reduce errores de escritura, pero no demuestra que el portapapeles contiene lo esperado.

El envenenamiento de direcciones es un ataque que introduce en el historial una dirección parecida a la legítima. Busca inducirte a copiarla. Trezor recomienda no copiar desde el historial y verificar todos los caracteres.

Recupera la dirección de la fuente original. Si el dispositivo firmante tiene pantalla, comprueba allí la dirección completa antes de aprobar.

Revisa también:

• memo o tag, si corresponde;
• libreta de direcciones y nombre del contacto;
• avisos de que la dirección fue regenerada;
• caracteres o dominios que imitan al sitio legítimo.

Una dirección incluida en el historial solo prueba que se usó antes. No prueba que siga siendo la correcta para esta operación.

Minuto 7: separa monto, moneda y comisión

Una cifra sin unidad puede inducir a error. «100» puede representar cien unidades del activo o un valor convertido a otra moneda; «0,00100» es una cantidad distinta que una interfaz podría mostrar con poco contraste.

Lee en voz baja:

• monto que recibirá el destino;
• activo que se descontará;
• comisión estimada;
• activo usado para pagar esa comisión;
• total que saldrá de la cuenta.

En Ethereum, el gas mide el trabajo computacional de la red y normalmente se paga en ether (ETH). Tener el activo que quieres mover no garantiza tener ETH suficiente para la comisión.

En Bitcoin, la comisión no es un porcentaje del monto. Depende del tamaño en datos de la transacción y de la demanda por espacio en los bloques.

Minuto 8: decide si corresponde una prueba pequeña

Una transferencia de prueba es especialmente útil cuando:

• el destino es nuevo;
• el monto es importante para ti;
• intervienen una red o un servicio que no has usado;
• existe memo o tag;
• planeas enviar el resto por la misma ruta poco después.

La prueba tiene límites. Añade una comisión y no garantiza que el servicio seguirá operativo. Algunas plataformas fijan mínimos: Kraken advierte que un depósito inferior al suyo no se acredita.

Antes de la prueba y antes del resto, vuelve a abrir la plataforma receptora por una vía confiable. Comprueba su mínimo. Reutiliza activo, red, dirección y memo solo si todavía aparecen como válidos. Si algún dato cambió, detente y repite la verificación.

Después, confirma dos cosas: que la cadena registró la prueba y que el receptor la acreditó. Son eventos relacionados, pero no idénticos.

Minuto 9: lee la pantalla final como un contrato

No confirmes por posición del botón. Lee lo que el firmante presenta:

• tipo de acción;
• destino;
• monto;
• red;
• comisión;
• permisos adicionales, si aparecen.

Una transferencia y una autorización pueden mostrar pantallas distintas. Si la billetera presenta datos que no traduce a una acción comprensible, no aceptes automáticamente lo que no puedes verificar.

La documentación de Ethereum distingue los datos que componen una transacción y la firma que la autoriza. Esa firma no expresa «confío en esta persona»; expresa aprobación criptográfica de los datos presentados.

Minuto 10: conserva evidencia, no secretos

El identificador de transacción es el código público con el que puede consultarse la operación. Permite buscarla en un explorador de bloques, un sitio que muestra transferencias registradas en la red.

Guarda también la red, la dirección de destino, el monto, la hora y el comprobante del servicio, si existe.

No guardes junto a esa evidencia la llave privada, el secreto que autoriza movimientos, ni la frase de recuperación, las palabras que restauran la billetera. Investor.gov indica que nunca debes compartirlas.

Si la operación está pendiente, no improvises otra. Primero identifica si fue transmitida, qué estado muestra la red y qué opciones admite la billetera. Las reglas varían entre redes.

Tres circunstancias en las que la respuesta es «no enviar»

No puedes explicar el propósito

Si la operación existe porque alguien promete liberar ganancias o recuperar una inversión después del pago, detente. Verifica por otra vía y contrasta las señales de una estafa.

La fuente y la pantalla no coinciden

Una diferencia de red, destino, memo o monto no es un detalle para resolver después. Cancela y reconstruye la operación desde una fuente confiable.

Te piden un secreto o control del equipo

La frase de recuperación y la llave privada no son datos de soporte. El FBI/IC3 documenta impostores que piden acceso remoto o trasladar fondos. Si alguien lo solicita, interrumpe el contacto.

Convierte el test en un hábito visible

Guarda esta versión breve junto al lugar desde donde operas:

Propósito. Identidad. Activo + red. Dirección + memo. Monto + comisión. Prueba. Pantalla final.

No la marques de memoria. La función del listado es hacer visible cada decisión cuando la costumbre invita a saltarla.

El procedimiento cambia según quién custodia las llaves. En una billetera propia, tú firmas y conservas el respaldo. En un exchange, autorizas al proveedor y dependes también de sus controles. La matriz de billeteras ayuda a entender esa diferencia.

La cadena no sabe por qué envías

La cadena puede validar una transacción y, al mismo tiempo, esa transacción puede ser un error humano perfecto.

El test de diez minutos no intenta ganarle a la criptografía. Se ocupa de lo que la criptografía no puede saber: a quién querías pagar, por qué, mediante qué red y cuánto riesgo estabas dispuesto a aceptar.

Antes de firmar, todavía existe una herramienta extraordinariamente efectiva: detenerse.