Phishing de carteras cripto por carta: por qué el código QR del buzón quiere tu frase de recuperación

Si en tu buzón hay una carta que te insta a realizar una actualización de seguridad urgente para tu cartera de criptomonedas y para ello adjunta un código QR, se trata de phishing. No hay ningún fabricante ni ningún exchange que anuncie por correo postal una actualización de cartera, y no existe ningún proceso legítimo en el que teclees tu frase de recuperación en una página web. La Oficina Federal de Ciberseguridad BACS comunicó el 18 de agosto de 2026, en su resumen semanal correspondiente a la semana 33, que había recibido diversos avisos sobre cartas exactamente de ese tipo.

Lo nuevo en esta oleada no es el truco, sino la vía de entrega. El phishing llega normalmente por correo electrónico o por SMS, porque ambos no cuestan nada. Una carta cuesta impresión, ensobrado y franqueo, y quien asume ese esfuerzo cuenta con una tasa de acierto que lo justifique. Precisamente por eso la vía postal solo empezó a resultar interesante para los atacantes cuando dispusieron de listas de direcciones de las que sabían que allí vivían propietarios de criptomonedas.

Phishing de carteras cripto por carta: qué comunicó la BACS el 18 de agosto

El proceso que describe el organismo es breve. Una carta insta a descargar una actualización urgente para diversas carteras de criptomonedas. Para ello se adjunta un código QR. Quien lo escanea aterriza en una web de phishing en la que debe introducirse la frase de recuperación. Quien la teclea allí cede, según expone la BACS, el control completo de la cartera en cuestión.

La BACS no cita ninguna cifra de avisos ni ningún proveedor concreto en cuyo nombre se enviaran las cartas. Habla de diversos avisos y de diversas carteras de criptomonedas. Si lees una cifra más precisa en algún artículo, conviene comprobar de dónde procede: en el comunicado oficial no aparece.

Para situar el aviso importa su procedencia. La BACS es el organismo federal suizo de ciberseguridad y comunica lo que se le notifica desde Suiza. Para ti, como inversor en Alemania, resulta pertinente igualmente, y por una razón de fondo: las marcas de carteras son las mismas, los conjuntos de direcciones proceden de las mismas filtraciones de datos, y una carta no conoce fronteras nacionales si la lista de direcciones tampoco las conoce. Hasta ahora no existe un comunicado oficial alemán con el mismo tenor. Eso no significa que aquí no haya nadie afectado, sino únicamente que no hay una cifra alemana documentada al respecto.

Conviene añadir un breve antecedente. Ya el 31 de julio de 2026 el mismo organismo había publicado un comunicado propio sobre cartas con código QR. El resumen semanal del 18 de agosto no es, por tanto, un primer hallazgo, sino la confirmación de que la oleada seguía activa tres semanas después.

Por qué la "resistencia cuántica" funciona ahora como pretexto

La carta justifica la supuesta actualización con la introducción de la llamada resistencia cuántica. Se refiere a un cifrado que aguanta incluso cuando un ordenador cuántico suficientemente grande consigue romper los procedimientos habituales hoy. No es un término inventado. El debate sobre lo que los ordenadores cuánticos significan para Bitcoin y otras criptomonedas lleva años en marcha y lo mantienen desarrolladores serios.

Y justo ahí reside su eficacia. Un pretexto funciona mejor cuanto más a medias verdadero es. Quien ya ha oído el término encuentra la carta plausible. Quien no lo conoce la encuentra lo bastante técnica como para no preguntar. Ambos grupos llegan al mismo resultado, a saber, que aquí ocurre algo importante que más vale no ignorar.

La diferencia entre el debate real y la carta es banal y aun así decisiva: un cambio a procedimientos resistentes al cómputo cuántico sería una modificación del protocolo y del software del dispositivo. Semejante cambio jamás empezaría porque los usuarios introdujeran su frase de recuperación en algún sitio. Una frase tecleada una sola vez en un formulario web está perdida al margen de cualquier cifrado.

La frase de recuperación explicada: por qué esas doce o veinticuatro palabras lo son todo

La frase de recuperación, llamada también seed phrase, es una secuencia de doce o veinticuatro palabras por lo general, a partir de la cual pueden calcularse todas las claves privadas de una cartera. Esta secuencia de palabras no es un complemento de las credenciales ni un segundo factor: es la base matemática completa de tu saldo.

De ahí se derivan dos cosas que a menudo se confunden en el día a día. Primera: quien tiene la frase tiene el saldo, sin tu dispositivo, sin tu PIN y sin que tú notes nada. Segunda: tampoco advertirás el robo enseguida después, porque la cartera en tu dispositivo sigue teniendo un aspecto normal. Un atacante que haya copiado la frase puede esperar semanas.

Por qué un dispositivo nunca pide la frase

Una cartera de hardware es un dispositivo que genera las claves privadas y las guarda de forma permanente en un chip aislado, de modo que nunca salen del aparato. Ese es todo su motivo de existir. Cuando un programa, una web o una carta te piden la frase, están pidiendo exactamente aquello que el dispositivo está construido para no entregar. La petición misma es el diagnóstico. Cómo guardar la frase correctamente lo describimos en nuestra guía sobre la custodia segura de la frase semilla.

Código QR en una carta: por qué el quishing esquiva las protecciones habituales

El quishing designa el phishing a través de un código QR. El ataque resulta eficaz porque desactiva de golpe tres capas de protección que sí actuarían en un correo electrónico.

Un filtro antispam no ve una carta. Un aviso del navegador para páginas fraudulentas conocidas a menudo no se activa, porque los dominios recién registrados todavía no figuran en ninguna lista. Y la capa más importante desaparece por completo: en un correo electrónico puedes pasar el ratón por encima del enlace y leer la dirección de destino antes de pinchar. Un código QR carece de significado para el ojo humano. Solo averiguas adónde apunta después de escanearlo, y para entonces ya estás allí.

A eso se suma el cambio de dispositivo. La carta está sobre la mesa de la cocina y el escaneo se hace con el móvil. Con ello el proceso abandona precisamente el aparato en el que muchos tienen su software de protección y aterriza en aquel cuya pantalla recorta con más fuerza la barra de direcciones. Un nombre de dominio que en un monitor salta a la vista como falso a menudo ni siquiera cabe entero en un teléfono.

Las cartas de Ledger de abril a junio de 2026: el precedente de esta oleada

Este truco no es nuevo en el ámbito germanohablante. Desde finales de abril de 2026, clientes del fabricante francés de carteras de hardware Ledger recibieron cartas impresas que exigían una actualización de seguridad de resistencia cuántica. Cryptopolitan describió su factura: impresión profesional, con código QR y con el número de modelo correcto y el historial de pedidos del destinatario. El propio Ledger confirmó públicamente a principios de junio de 2026 que las cartas son falsas, y señaló que la empresa nunca pregunta por la frase de recuperación de 24 palabras.

La comparación de ambas oleadas muestra lo que ha cambiado. Las cartas de Ledger estaban ajustadas a una marca y se apoyaban en que los destinatarios fueran realmente clientes de esa marca. Las cartas de las que informa la BACS en agosto apuntan, según el organismo, a diversas carteras de criptomonedas. Quien solo ha aprendido a desconfiar de las cartas con un nombre de marca concreto ya no está protegido por ello.

De dónde sacan los remitentes tu dirección postal: filtraciones en los distribuidores de carteras

Una carta de phishing necesita una dirección, y una tras la cual viva con probabilidad elevada un propietario de criptomonedas. Esas listas no surgen por azar. El origen está allí donde a un distribuidor o a un operador logístico se le escapan datos de pedidos.

En el caso de Ledger, la pista conduce, según expone Cryptopolitan, a la filtración de datos de la empresa del año 2020, en la que se sustrajeron nombres, direcciones y números de teléfono de clientes. Esos datos circulan desde entonces y envejecen despacio, porque la gente se muda pocas veces.

Más actual es el material de este mes de agosto. El 13 de agosto informamos sobre una filtración de datos en el operador logístico ShipMonk con direcciones de clientes de Trezor y el 20 de agosto sobre datos de pedidos filtrados en SafePal. Ambas son informaciones de nuestra propia cobertura, no del comunicado de la BACS. No existe públicamente una prueba directa de que sean exactamente esos conjuntos los que están detrás de exactamente estas cartas, y difícilmente podrá establecerse desde fuera.

En la práctica esto significa que, si en los últimos años has pedido una cartera de hardware por internet, tu dirección de entrega es un componente plausible de listas de ese tipo. No es motivo de pánico ni un problema de seguridad de tu dispositivo. Es la razón por la que precisamente tú recibes una carta así y tu vecino no. Quien se replantee la elección de dispositivo encontrará los criterios en nuestra comparativa de carteras de hardware.

Dos semanas de plazo en lugar de presión temporal: por qué esta carta está construida de otro modo

El detalle más llamativo del comunicado de la BACS es un plazo. La carta concede al destinatario más de dos semanas, según el organismo. Eso resulta inusual en los intentos de estafa, porque los atacantes suelen crear una presión temporal artificial para que nadie se detenga a pensar o a preguntar.

El organismo interpreta el plazo largo como un factor que aumenta la credibilidad, y resulta plausible. Un escrito que te deja catorce días parece una comunicación administrativa y no una amenaza. Incluso te permite dejar la carta a un lado y volver a ella más tarde, lo que refuerza la impresión de seriedad.

Para ti, por tanto, la característica se invierte. Hasta ahora la presión temporal valía como señal de alarma. En este tipo de carta la calma es la señal de alarma, porque ningún fabricante acompaña una actualización de seguridad con un plazo adicional de dos semanas. Los avisos de seguridad auténticos te dicen que actúes de inmediato, y te llegan en la aplicación o en la web del fabricante, no en el buzón.

Actualización de firmware auténtica o phishing: en qué reconoces la diferencia

El firmware es el software que se ejecuta en el propio dispositivo de la cartera. Se instala mediante el software de gestión oficial del fabricante, que se dirige directamente al aparato y comprueba la firma criptográfica de la actualización. Ese camino empieza siempre en ti, nunca en un requerimiento venido de fuera.

De ahí se derivan tres comprobaciones que no requieren conocimientos técnicos.

La primera es el canal. Una actualización se muestra en la aplicación del fabricante. No se anuncia por correo postal, ni por SMS, ni en un correo electrónico con una llamada a actuar.

La segunda es la pregunta por la frase. Ningún proceso de actualización la solicita. Tampoco cuando una página afirma que solo quiere "verificarla" o "migrarla".

La tercera es la dirección. Cuando visitas la web de un fabricante, la tecleas tú mismo o usas un marcador propio. Un código QR procedente de un escrito no solicitado no sustituye a eso.

Emparentado, aunque técnicamente distinto, está el ataque mediante ventanas de aprobación fraudulentas, en el que no revelas ninguna frase sino que firmas una transacción que hace algo diferente de lo mostrado. Cómo leer esas ventanas lo desmenuzamos en nuestro artículo sobre wallet drainers y aprobaciones de firma, y un caso real de un fabricante en el análisis del fallo de firma en la aplicación de Ethereum. Ninguno de los dos casos guarda relación con la carta, salvo en que responden a la misma pregunta: ¿qué hay realmente detrás de lo que estoy confirmando ahora mismo?

Cartera de hardware, cartera de software, exchange: a quién afecta realmente este ataque

El alcance del ataque depende de dónde esté tu saldo, y los tres casos difieren de forma notable.

Con una cartera de hardware el ataque te alcanza de lleno en cuanto introduces la frase. No hay instancia alguna que recupere la transacción ni servicio de atención que congele la cuenta.

Con una cartera de software en el móvil o en el navegador ocurre lo mismo. También aquí la frase es la llave maestra. La única diferencia está en que una cartera así reside de todos modos en un dispositivo con acceso a internet y tiene por ello vías de ataque adicionales. Un resumen de los criterios figura en nuestra comparativa de carteras de software.

Si tu saldo está en cambio en un exchange regulado, para ti no existe frase de recuperación alguna, porque las claves están en manos del depositario. Una carta que pida tu frase cae allí en el vacío. Eso no protege frente a otros trucos, como las falsas exigencias de retirada, que tratamos en un artículo aparte sobre el phishing en torno a las retiradas en los exchanges.

Qué debes hacer si ya has introducido la frase de recuperación

Si has escaneado el código QR y tecleado la frase, la rapidez cuenta, y el orden importa.

Crea primero una cartera nueva con una frase nueva en un dispositivo limpio. Transfiere después el saldo de la cartera antigua a la nueva. En ese orden, porque una transferencia necesita un destino y el destino tiene que existir antes de que envíes.

La cartera antigua queda después inservible de forma permanente. Cambiar la contraseña, poner un PIN nuevo o restablecer el dispositivo no sirven de nada, porque la frase vale con independencia del aparato. Quien la tenga puede volver a configurar la cartera en otro sitio en cualquier momento.

Cuenta con consecuencias fiscales. Una transferencia entre dos carteras propias no es una venta en Alemania, pero conviene documentarla para que después nadie suponga un ingreso donde no lo hubo. Un robo, por su parte, no puede computarse sin más como pérdida a efectos fiscales. Ambas cosas deben quedar registradas, y para ello sirven las herramientas de nuestro panorama de herramientas fiscales y de seguimiento de cartera. Ante un perjuicio económico efectivo, la BACS recomienda expresamente presentar una denuncia penal.

Qué puedes denunciar aunque no haya daño

Si la carta te ha llegado pero no has entrado al trapo, la carta vale algo de todos modos. Demuestra que tu dirección figura en una lista. Guárdala, fotografíala y comunícasela al fabricante en cuyo nombre se envió. En Alemania, las oficinas de consumidores y la Oficina Federal de Seguridad de la Información recogen ese tipo de avisos. Y trata el correo futuro dirigido a esa misma dirección con la misma desconfianza, porque una lista de direcciones vendida una vez se revende.

Phishing de carteras cripto por carta: qué te llevas de todo esto

1. Recuerda la única regla que cubre todas las variantes. La frase de recuperación no se teclea nunca en ningún sitio, salvo al restaurar una cartera en un dispositivo que sostienes tú mismo en ese momento. Ninguna actualización, ninguna verificación y ninguna migración la necesitan. Si no tienes claro qué dispositivo mantiene esa separación con limpieza, la comparativa de carteras de hardware ayuda a situarlos.
2. Revisa tu vía de custodia, no solo tu buzón. Quien lo guarda todo en autocustodia soporta en solitario todo el riesgo de este truco. Quien mantiene una parte en un proveedor supervisado desplaza ese riesgo concreto, pero asume a cambio un riesgo de contraparte. Qué proveedores están autorizados en la UE figura en el panorama de los exchanges de criptomonedas regulados.
3. Documenta de inmediato cada traslado de tu saldo. Si cambias de frase por una sospecha, se generan transferencias que un año después ya no reconstruyes de memoria. Una herramienta de seguimiento del panorama de herramientas fiscales y de seguimiento de cartera te ahorra ese trabajo mientras los datos siguen frescos.

El hallazgo verdadero de esta semana es poco espectacular y por eso fácil de subestimar. Los atacantes no han aprendido nada técnico, han aprendido algo sobre la confianza. Se han dado cuenta de que en un entorno digital el papel resulta más creíble que un correo electrónico, y pagan franqueo por ello. Mientras la cuenta les salga, la próxima oleada no llegará por correo electrónico. Cómo evoluciona el mercado al margen de esto puedes leerlo en nuestra predicción del precio de Bitcoin; el precio, eso sí, no influye en la seguridad de tu frase.

(25 de agosto de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)