Lista blanca de retiradas en el exchange: cómo bloquear la salida frente a direcciones ajenas

Si alguien tiene tu contraseña y tu segundo factor, solo una pregunta decide ya si tu saldo abandona el exchange: ¿figura la dirección de destino del atacante en tu cuenta, o tiene que introducirla primero? Justo ahí entra la lista blanca de retiradas. Es una lista de direcciones de destino autorizadas y, mientras está activa, las retiradas van exclusivamente a direcciones de esa lista. Todo lo demás se rechaza, incluso con la contraseña correcta.

Septiembre de 2026 ha vuelto muy práctica esta pregunta. El 7 de septiembre, Bloomberg informó de la salida de unos 320 millones de dólares de un monedero de Liquid Network, en la que, según el operador, se movieron unos 4.000 de 4.200 bitcoin. TRM Labs cifra en 116 millones de dólares el daño de la oleada de ataques contra dispositivos Coldcard. Ninguno de los dos casos fue una toma de control de una cuenta en un exchange, pero ambos tienen el mismo efecto sobre el comportamiento de los lectores: estos días muchos mueven saldos entre exchanges y monederos propios, y cada uno de esos movimientos discurre justo por la vía de retirada de la que aquí se trata.

Lista blanca de retiradas: qué bloquea la función y qué deja abierto

Definición en una frase: una lista blanca de retiradas es una agenda de direcciones en la cuenta del exchange que solo permite retiradas hacia direcciones de destinatario autorizadas de antemano.

La protección actúa contra dos ataques muy distintos. El primero es la toma de control de la cuenta: quien consigue entrar puede, sin lista blanca, introducir de inmediato una dirección propia y retirar. El segundo es la dirección intercambiada, por ejemplo mediante un programa malicioso que sustituye el contenido del portapapeles, o mediante una dirección preparada tomada del historial de transacciones. Cómo funciona esta segunda maniobra y en qué se reconoce una dirección colada figura con detalle en nuestro artículo sobre la comprobación de direcciones de destinatario.

La lista blanca deja abierto todo lo que ocurre dentro de las direcciones autorizadas. Quien logra que introduzcas y autorices su dirección tú mismo sortea la protección por completo. Ese es el curso habitual del fraude telefónico con el soporte, y es la razón por la que una lista blanca es un cerrojo frente a extraños y no frente al engaño.

Por qué el inicio de sesión de dos factores no asegura la retirada

El inicio de sesión de dos factores y la lista blanca de retiradas resuelven problemas distintos. El segundo factor decide quién entra. La lista blanca decide hacia dónde sale algo. Si cae el segundo factor, por ejemplo porque va por SMS y se ha secuestrado el número, la vía de retirada queda abierta de inmediato si no hay lista blanca. Por qué el SMS es la variante más débil lo desmenuzamos en nuestro repaso de los métodos de dos factores en los exchanges de criptomonedas.

La Oficina Federal Alemana de Seguridad de la Información recomienda la autenticación de dos factores como protección básica para las cuentas con dinero de por medio. Esa recomendación sigue siendo correcta. Pero describe únicamente la puerta de entrada. Para una cuenta de exchange necesitas además una regla para la salida, y eso es justo lo que falta en la mayoría de las configuraciones por defecto: entre los proveedores que la ofrecen, una lista blanca es en la práctica siempre voluntaria y viene desactivada.

Un segundo punto se pasa por alto a menudo. La lista blanca también te protege de ti mismo. Una dirección comprobada y guardada una vez no tiene que copiarse de nuevo desde una aplicación en cada retirada, con lo que desaparece la ocasión en la que una dirección equivocada llega siquiera al formulario. Quien retira con regularidad a la misma cartera de hardware reduce el número de momentos de riesgo a uno solo, el primero. Qué dispositivos entran en consideración y en qué se diferencian figura en la comparativa de carteras de hardware.

El bloqueo temporal en la cuenta del exchange: por qué la espera es la protección real

Una lista blanca por sí sola tiene un punto débil que todo atacante conoce: se puede cambiar. Quien está dentro de la cuenta introduce una dirección nueva y espera la confirmación. Por eso los proveedores que van en serio acoplan la lista de direcciones a un retardo. Las entradas nuevas o modificadas solo surten efecto tras un plazo fijo, y ese plazo corre con independencia de si el atacante sigue o no dentro de la cuenta.

El efecto es sencillo de describir. Un atacante que quiere retirar de inmediato fracasa ante el reloj. Un atacante que espera se arriesga a que el aviso del cambio te alcance antes de que expire el plazo. Eso presupone, eso sí, que recibas ese aviso, es decir, que la dirección registrada esté actualizada y que el acceso al correo esté bien protegido.

El Global Settings Lock de Kraken: qué promete en concreto la página de ayuda

El proveedor mejor documentado de los examinados es Kraken. Allí la función se llama Global Settings Lock, abreviado GSL. Según la descripción de la página de ayuda sobre la prevención de retiradas no deseadas, actualizada por última vez el 23 de marzo de 2026, el bloqueo impide los cambios en la cuenta y oculta la información sensible de la misma.

El tiempo de espera lo fijas tú

Al activarlo determinas cuánto tarda el desbloqueo sin clave de reserva. Kraken describe ese tiempo de espera en la guía como un dato obligatorio durante la configuración. La frase decisiva de la documentación es que el soporte no puede ayudar a retirar el bloqueo cuando el plazo de desbloqueo se sitúa entre uno y treinta días. Está formulado con una claridad inhabitual y constituye el núcleo mismo de la función: el bloqueo actúa también frente al propio proveedor, es decir, frente a la vía que toman los atacantes en el fraude con el soporte.

Con el bloqueo activo no puede introducirse ninguna dirección nueva

En la guía para añadir una nueva dirección de retirada consta la advertencia de que, con el Global Settings Lock activo, no puede añadirse ninguna dirección de retirada. Con ello la cadena queda cerrada: las retiradas van a direcciones registradas, y nada puede registrarse mientras el bloqueo esté puesto. Toda dirección recién añadida debe confirmarse de todos modos mediante un enlace de un correo electrónico.

Incluso sin el bloqueo rige un breve plazo de retención

Con independencia del Global Settings Lock, Kraken describe un retardo tras un cambio de contraseña: a quien cambia su contraseña sin tener configurado ni inicio de sesión de dos factores ni clave de reserva, se le retienen 24 horas las retiradas hacia direcciones nuevas. Las direcciones ya registradas no se ven afectadas. Ese es exactamente el patrón que hace tan valiosa una lista blanca: la molestia recae sobre los destinos nuevos, mientras la vía habitual hacia el monedero propio sigue funcionando.

Master Key: la clave de reserva que vuelve a levantar la espera

Al bloqueo le corresponde una contrapartida que la documentación nombra abiertamente. La Master Key puede desactivar el Global Settings Lock en cualquier momento. Kraken escribe expresamente que esa cómoda posibilidad conlleva un riesgo de seguridad mayor si la clave de reserva resulta comprometida. Y hay un orden que solo se equivoca una vez: una vez activo el bloqueo, ya no puede crearse ninguna Master Key.

De ahí se deriva una decisión que nadie te quita de encima. Con clave de reserva sigues teniendo margen de maniobra si cambias de opinión, y tu protección vale lo que valga la custodia de esa clave. Sin ella el bloqueo es más duro, y llegado el caso tendrás que aguantar el plazo que tú mismo fijaste, aun siendo el titular legítimo de la cuenta. Un plazo largo no es, por tanto, una ganancia pura: es un intercambio, más protección frente a extraños y menos margen de movimiento para ti.

En la práctica esto significa: elige el plazo según el importe que dejas en el exchange, y no según la sensación. Quien solo mantiene allí saldo de negociación y retira con regularidad al mismo monedero se apaña con un plazo corto. Quien deja saldos mayores en la cuenta debería comprobar antes si ese saldo tiene que estar allí siquiera.

El estudio: 13 proveedores, 23 páginas, tres indicaciones expresas

Esta evaluación la realizó cryptoticker.io por su cuenta el 8 de septiembre de 2026. El método en una frase: para trece proveedores con presencia en alemán se consultaron las páginas de seguridad y de ayuda accesibles al público con un identificador de navegador corriente, se anotó el código de estado HTTP y se buscó en el texto visible, sin el armazón HTML, si se menciona una lista blanca, una allowlist o una agenda de direcciones para retiradas.

Se examinaron 23 páginas de 13 proveedores: Kraken, Binance, Coinbase, Bitpanda, Bitvavo, BISON, OKX, Bybit, Bitget, Crypto.com, KuCoin, Bitstamp y Nexo. En el sentido del método resultaron evaluables cuatro páginas de proveedores. Tres de ellas nombran la función expresamente y una no la nombra. Nueve proveedores no eran comprobables con este procedimiento.

Crypto.com y Nexo: qué dicen las páginas de seguridad legibles

En la página de seguridad de Crypto.com figura la frase de que la autorización de direcciones externas mediante una confirmación por correo electrónico es obligatoria. Es el único hallazgo del estudio que describe una lista blanca no como oferta, sino como exigencia. Esa misma página menciona además las passkeys, los módulos de seguridad de hardware y FIDO2 como métodos de acceso.

Nexo recoge en su página de seguridad una lista blanca de direcciones como punto propio y la describe como la gestión de las direcciones cripto propias para transferencias sin errores. El acento recae allí visiblemente en la errata y no en el atacante. La página menciona de forma complementaria un código antiphishing para la autenticidad de los mensajes y una comprobación automática de cada retirada.

La página de seguridad de Bitpanda también era accesible, pero su texto visible no contiene indicación alguna sobre una lista blanca de retiradas. Eso es un hallazgo sobre la página y no una afirmación sobre la función: de una frase ausente en una página de marketing no se deduce que el ajuste no exista en la cuenta.

En el caso de Binance, la página de ayuda pertinente sobre la lista blanca de direcciones de retirada sí existe públicamente, pero no pudo consultarse de forma automatizada en la prueba: la respuesta llegó sin contenido. A través de la búsqueda web queda confirmado el contenido, a saber, que con la función activada no son posibles retiradas hacia direcciones que no figuren en la lista. Por eso lo recogemos como indicio confirmado y no como medición propia.

Nueve páginas de proveedores no eran comprobables: qué no muestra esta evaluación

La honestidad sobre las lagunas forma parte del estudio. En Coinbase y Bitvavo las páginas de ayuda respondieron con una defensa frente a las consultas automatizadas, visible como código de estado 403. En OKX las direcciones comprobadas no llevaban a ninguna parte. Bybit, KuCoin, Bitget y Bitstamp sí devolvieron un código de estado correcto, pero su contenido se carga después en el navegador, de modo que en el documento recuperado no hay texto evaluable. La dirección de seguridad comprobada de BISON no existía.

De ello se sigue un límite claro de la afirmación. Se midió lo que un proveedor documenta de forma pública y legible por máquina, no qué ajustes existen realmente dentro de una cuenta con sesión iniciada. Varios de los proveedores no comprobables ofrecen con alta probabilidad una autorización de direcciones. Quien quiera saberlo con exactitud encontrará la respuesta en un sitio al que no llega ningún estudio desde fuera: en los ajustes de seguridad de su propia cuenta.

Aun así, el reparto llama la atención. De trece grandes proveedores, en cuatro puede leerse siquiera cómo se asegura la vía de retirada, y en uno solo el bloqueo está descrito con el detalle suficiente para saber, antes de activarlo, en qué te estás metiendo. Para una función que llegado el caso decide sobre el saldo entero de la cuenta, es poco.

Activar la lista blanca: el orden que no te deja fuera

Según el proveedor, los ajustes se llaman agenda de direcciones, Address Whitelist, Allowlist o direcciones de retirada, y se encuentran casi siempre en el área de seguridad de la cuenta, no en el formulario de retirada. El orden importa más que la denominación, porque dos de los pasos son difíciles de recuperar después.

1. Introduce primero la dirección de recepción de tu propio monedero y pruébala con un importe mínimo, mientras aún no hay nada bloqueado.
2. Comprueba después si el proveedor ofrece una clave de reserva o una función de emergencia equivalente, y configúrala antes de que el bloqueo entre en vigor.
3. Solo entonces arma la lista blanca y, si existe, fija el tiempo de espera para los cambios.
4. Por último, revisa la dirección de correo registrada, porque por ella pasan la confirmación y el aviso.
5. Si tu proveedor gestiona varias redes para la misma moneda, introduce y etiqueta cada dirección por separado.

Qué ves después en el formulario de retirada

Tras activarla, en la mayoría de los proveedores desaparece el campo libre de entrada de la dirección y lo sustituye una lista desplegable. Justo esa diferencia visible es tu control: si todavía puedes teclear una dirección ajena y usarla al momento, la lista blanca no está activa, diga lo que diga la configuración.

Retirar esta semana: el recorrido desde la solicitud hasta la confirmación

Septiembre trae a muchos lectores un motivo concreto para mover saldos. Cuando un exchange suspende la negociación de una moneda, suele quedar una ventana de retirada más larga, y la experiencia de las últimas semanas muestra que muchos tenedores reaccionan poco antes de que expire. Qué fechas límite corren ahora mismo las recogemos en nuestro repaso de plazos, revisado de forma continua.

Para el recorrido, esto significa: configura la lista blanca antes de estar bajo presión de tiempo. Una dirección recién introducida necesita una confirmación por correo, y donde rige un tiempo de espera, este se añade encima. Quien introduce una dirección por primera vez el último día de un plazo trabaja contra el mismo retardo que debería protegerlo.

Y si aun así sale algo, cuenta la rapidez. Bloquea la cuenta, asegura los justificantes del registro de actividad y documenta la dirección de destino antes de cambiar nada. Cómo proceder después y qué aporta en la práctica una denuncia ante la policía lo describimos en un artículo propio sobre cómo actuar tras un robo de criptomonedas.

Configurar una lista blanca de retiradas: lo que debes retener

1. Abre hoy mismo los ajustes de seguridad de tu cuenta y mira si existe una autorización de direcciones. Solo está documentada públicamente en cuatro de los trece proveedores examinados; en la propia cuenta lo ves en dos minutos. Si tu proveedor no ofrece ninguna, es un argumento para el próximo cambio, y la selección la encuentras en nuestra comparativa de exchanges de criptomonedas.
2. Introduce la dirección de tu propio monedero, pruébala y bloquea solo después. Un importe mínimo previo cuesta comisiones de céntimos y descarta el error más caro. Qué dispositivo sirve para ello figura en la comparativa de carteras de hardware.
3. Elige el tiempo de espera de forma consciente y crea antes la clave de reserva. Quien mantiene saldos mayores en un exchange debería comprobar además si el proveedor está siquiera supervisado; el punto de partida es nuestra lista de exchanges de criptomonedas regulados.

Una observación final, porque suele perderse en el debate sobre las funciones de seguridad: cada uno de estos cerrojos actúa solo sobre el saldo depositado en un proveedor. Lo que está en el monedero propio no lo protege ninguna lista blanca; allí rigen otras reglas. Proteger la vía de retirada no sustituye, por tanto, a la decisión sobre cuánto queda en un exchange.

(8 de septiembre de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)