«¿Parece legítimo?» es la pregunta equivocada, porque la apariencia es exactamente lo que el atacante controla. Clonar un sitio entero cuesta minutos y sale casi gratis. Lo que no puede controlar es de dónde salió el enlace que te trajo y qué dice el canal oficial. Este artículo reemplaza la impresión por cuatro comprobaciones con respuesta de sí o no.
El cambio de pregunta
No evalúes la página. Evalúa el camino por el que llegaste a ella.
Una copia bien hecha es indistinguible del original a simple vista: mismo diseño, mismos textos, mismas imágenes, y a veces hasta los mismos enlaces internos apuntando al sitio real para dar sensación de solidez. Si tu método es mirarla y decidir, vas a acertar hasta el día que te toque una copia buena.
El camino, en cambio, sí distingue. Un enlace que apareció en un mensaje privado, en un comentario o en un anuncio pagado tiene un origen dudoso por construcción, sin importar cómo se vea el destino. Uno que sale de tu propio marcador, guardado hace meses desde una fuente sólida, casi no tiene forma de estar comprometido.
Comprobación uno: el origen del enlace
Ordenado de más a menos confiable:
- Tu propio marcador, guardado en su momento desde documentación oficial. El estándar de oro.
- Navegación desde un canal oficial ya verificado, entrando por el sitio y haciendo clic hasta llegar.
- Un resultado de búsqueda orgánico. Aceptable como punto de partida, nunca como confirmación: el posicionamiento no acredita nada.
- Un anuncio pagado arriba de los resultados. Históricamente uno de los vectores más usados para suplantar sitios de cripto.
- Un mensaje privado, un grupo o un comentario. El origen menos confiable de todos, incluso cuando quien lo manda es alguien conocido: las cuentas se comprometen.
Comprobación dos: el dominio, carácter por carácter
Cópialo, agrándalo y compáralo letra por letra con el que sabes que es correcto. A tamaño normal, las diferencias son invisibles a propósito.
Los trucos habituales:
- Caracteres que se parecen. Una ele minúscula y una i mayúscula, un cero y una o, caracteres de otros alfabetos que se ven igual que los latinos.
- Guiones o palabras agregadas. El nombre correcto con un «-app», «-claim» o «-official» pegado.
- Terminación cambiada. El mismo nombre con otra extensión de dominio.
- Subdominio engañoso. El nombre real puesto como subdominio de otro dominio. Lo que manda es lo que está inmediatamente antes de la primera barra.
Y el punto que casi nadie revisa: de dónde sacaste tu «dominio correcto». Si también salió de una búsqueda, no estás comparando contra nada. Vale la pena construir ese punto de partida una sola vez, desde documentación técnica o el repositorio de código del proyecto, y guardarlo.
Comprobación tres: confirmar en sentido inverso
Parte del canal oficial hacia la campaña, nunca de la campaña hacia el canal.
Es el paso que más sirve y el que casi nadie hace. La versión equivocada es: estoy en la página, busco su cuenta oficial, veo que existe, confío. Eso no prueba nada, porque los enlaces de esa página los eligió quien la hizo.
La versión correcta es al revés: abro el canal oficial que ya tenía guardado, y desde ahí verifico que la campaña se mencione y que el enlace publicado coincida con el que tengo delante. Si el canal oficial no dice nada de esta campaña, la campaña no existe.
Súmale una exigencia más: dos canales independientes. Una sola cuenta puede estar comprometida —pasa seguido—, pero que dos coincidan es un estándar razonable.
Comprobación cuatro: qué te piden firmar
Es el último control y el que decide el daño. Aunque todo lo anterior se vea bien, si no entiendes la firma, no firmes.
Abrir la página, por sí solo, casi nunca causa pérdidas. La pérdida ocurre cuando conectas la billetera y confirmas algo. Antes de eso hay cuatro campos que leer —tipo de operación, quién recibe el permiso, monto y token— y están desarrollados en aprobaciones y firmas. La versión visual, con cada campo explicado, está en esta herramienta.
Dos cosas que no prueban nada
El candado del navegador. Certifica que la conexión va cifrada, nada más. Cualquiera obtiene ese certificado para su sitio de phishing en minutos y sin costo. Tomarlo como señal de legitimidad es probablemente el error más extendido del rubro.
Que el sitio se vea profesional. El diseño se copia entero con una herramienta gratuita. Si acaso, un sitio de estafa suele verse mejor que el original, porque su única función es convencerte.
Tampoco sirve como prueba que haya mucha gente hablando de la campaña: las respuestas de apoyo en publicaciones de este tipo se fabrican con facilidad.
Y dos que cierran el caso solas
Si te piden transferir dinero antes de recibir, o si hay una cuenta regresiva de minutos, ya está: no hace falta seguir comprobando.
La primera es imposible técnicamente —la comisión de un reclamo la descuenta tu propia billetera al firmar, según se explica en este artículo—. La segunda existe únicamente para que te saltees todo lo anterior: una ventana de reclamo real se mide en días o semanas.
Para recorrer las nueve comprobaciones marcando una por una, está el checklist.
Preguntas frecuentes
¿Cómo sé si una página de airdrop es falsa?
Revisa el origen del enlace, compara el dominio carácter por carácter, confirma la campaña partiendo del canal oficial hacia la página y lee lo que te piden firmar. Dos señales cierran el caso solas: que pidan transferir dinero antes de recibir y que haya una cuenta regresiva de minutos.
¿El candado del navegador garantiza que el sitio es seguro?
No. Solo indica que la conexión está cifrada. Cualquiera puede obtener ese certificado para un sitio de phishing, así que no distingue un sitio legítimo de una copia.
Entré a una página sospechosa pero no firmé nada. ¿Estoy en riesgo?
En general no. El daño ocurre al conectar la billetera y confirmar una operación. Si solo la abriste, ciérrala y sigue con lo tuyo.
¿Cómo consigo el dominio oficial correcto de un proyecto?
De su documentación técnica o de su repositorio de código, no de una búsqueda. Conviene hacerlo una sola vez con calma, guardarlo en marcadores y comparar todo lo demás contra eso.
Este artículo explica métodos y criterios; no recomienda ningún proyecto ni constituye asesoramiento de inversión. Si encuentras un error de hecho, escríbenos a [email protected]: lo corregimos y queda anotado en correcciones.