Las estafas cripto más comunes en 2026 y cómo reconocerlas

La imagen mental que casi todo el mundo tiene de una estafa cripto —un hacker rompiendo una contraseña— es exactamente la equivocada. En la inmensa mayoría de los casos documentados, nadie rompe nada: la víctima pulsa "confirmar" con plena capacidad, en su propio dispositivo, convencida de que está haciendo lo correcto.

Ese cambio de enfoque importa porque cambia la defensa. Contra el robo de credenciales sirve una contraseña larga. Contra una firma que autorizas tú, la única defensa es un procedimiento: qué compruebas, en qué orden, antes de aprobar cualquier cosa.

Aquí están los mecanismos exactos de las estafas que más dinero movieron en 2025 y 2026, con las cifras que sí están verificadas y sin las que no lo están.

El tamaño real del problema

Chainalysis, en su informe de crimen cripto publicado en enero de 2026 con datos de 2025, cifró el volumen ilícito total en 154.000 millones de dólares, un 162 % más que el año anterior, aunque sigue siendo menos del 1 % del volumen total de transacciones cripto. De ahí, unos 17.000 millones son ingresos por estafas (14.000 confirmados en la cadena).

Pero el dato que mejor describe lo que ha cambiado no es el total, sino el ticket medio: el pago medio por estafa pasó de 782 dólares en 2024 a 2.764 en 2025, un 253 % más. Menos víctimas, cada una desplumada mucho más a fondo. Detrás de ese salto hay dos tendencias medidas:

• Las estafas de suplantación crecieron un 1.400 % interanual, con el importe medio subiendo un 600 %.
• Las operaciones que emplean inteligencia artificial ingresan 3,2 millones de dólares de media, frente a 719.000 las que no la usan. Son 4,5 veces más, y explica por qué la voz clonada y el vídeo sintético dejaron de ser anécdota.

Del lado estadounidense, el informe IC3 del FBI publicado en abril de 2026 registró más de 11.000 millones de dólares en fraude con criptomonedas repartidos en 181.565 denuncias, sobre un total de 1.008.597 denuncias de todo tipo. El fraude de inversión supone alrededor del 49 % de todas las pérdidas por estafas. Y un dato que conviene tener presente si tienes familia mayor: las personas de más de 60 años perdieron unos 7.700 millones de dólares, un 37 % más que en 2024.

Tipología: el mecanismo exacto de cada una

Pig butchering (estafa romántica de inversión)

El nombre es desagradable y describe el proceso: engordar antes de sacrificar. Empieza con un contacto que parece casual —un WhatsApp "equivocado", un match en una app, un mensaje profesional— y sigue con semanas o meses sin mencionar dinero. Cuando la relación está consolidada, la inversión aparece de pasada, como algo que el estafador hace por su cuenta y que le va bien.

La pieza técnica es una plataforma falsa: una web o app con gráficos, saldo, historial y botón de retirada, donde tu depósito figura creciendo. La cifra no corresponde a nada. El paso que convierte a la víctima en cliente fiel es que la primera retirada pequeña sí funciona: se te devuelven 200 € de los "beneficios" con dinero del propio estafador. A partir de ahí las aportaciones se multiplican. El final es siempre el mismo: al pedir una retirada grande aparece un impuesto, una comisión de desbloqueo o una verificación que hay que pagar por adelantado.

Suplantación de soporte técnico

Es la categoría que más ha crecido, con ese 1.400 % interanual. El estafador se hace pasar por el soporte de tu wallet, tu exchange o tu banco y aparece justo donde vas a buscarlo: respondiendo a tu queja pública, en un anuncio patrocinado sobre la búsqueda "soporte [marca]" o llamando con un número que parece legítimo. Más abajo tienes la anatomía completa, mensaje a mensaje.

Wallet drainers y firmas maliciosas

Aquí está la mecánica que más conviene entender, porque es invisible si no sabes leerla.

En redes de contratos inteligentes, para que una aplicación mueva tus tokens tienes que autorizarla antes con una transacción de tipo approve, que indica quién puede gastar y cuánto. Muchas interfaces legítimas rellenan ese "cuánto" con el número máximo posible para no molestarte otra vez. Una interfaz maliciosa hace exactamente lo mismo, pero el autorizado es un contrato del atacante. Desde ese momento, sin que vuelvas a firmar nada, puede vaciar tu saldo de ese token cuando quiera. Con NFT existe el equivalente setApprovalForAll, que autoriza una colección entera.

Peor aún son las firmas fuera de cadena (Permit y Permit2). No cuestan gas, no aparecen como transacción y en la pantalla se ven como un mensaje inocuo que la web te pide "para verificar tu cuenta". Conceden la misma autorización. Muchas víctimas juran no haber aprobado nada, y técnicamente creen decir la verdad.

El caso mejor documentado de este tipo es el del Ledger Connect Kit del 14 de diciembre de 2023: la cuenta NPM de un ex-empleado fue comprometida por phishing y se inyectó un drainer en una librería usada por miles de aplicaciones. Se robaron unos 484.000 dólares antes de que se parcheara, en horas. Las víctimas tenían hardware wallets en la mano y firmaron ellas mismas.

Address poisoning, paso a paso

Esta merece el desglose completo porque es puramente psicológica:

1. El atacante vigila la cadena y detecta que has enviado fondos a la dirección 0x7f3a...9c2d.
2. Genera por fuerza bruta una dirección vanity cuyos primeros y últimos caracteres coincidan con esa: 0x7f3a...9c2d, con el medio completamente distinto. Generar coincidencias de cuatro o cinco caracteres es barato.
3. Te envía desde ella una transacción de importe cero o de polvo. No necesita tu permiso para hacerlo, y en muchos casos usa un evento de transferencia de valor cero que ni siquiera mueve nada.
4. Esa transacción queda en tu historial, visualmente idéntica a la que hiciste tú.
5. La próxima vez que quieras repetir el envío, copias la dirección del historial en vez de del origen original. Compruebas el principio y el final, como hace todo el mundo. Coinciden.
6. Envías. El dinero es del atacante y no vuelve.

Rug pulls, airdrops falsos y Ponzis con apariencia de plataforma

En el rug pull, los promotores lanzan un token, atraen compradores y retiran la liquidez, dejando un activo que ya no se puede vender. Variantes: contratos con emisión oculta que diluyen a todos, o con comisión de venta que se sube al 100 % tras el lanzamiento. Se detectan mirando si la liquidez está bloqueada y si el contrato conserva funciones de administrador.

En el airdrop falso, el token aparece solo en tu wallet con un nombre que sugiere premio. Su único propósito es que busques cómo canjearlo y acabes en una web que te pide firmar. Nadie regala nada a quien no ha hecho nada; si te interesa el tema, empieza por entender cómo funciona un airdrop real.

En el Ponzi con aspecto de plataforma se vende un rendimiento fijo —un 1 % diario, un 8 % mensual— pagado con el dinero de los nuevos entrantes, más una estructura de referidos que convierte a las víctimas en comerciales. La señal es aritmética: ninguna estrategia real produce rendimientos constantes e independientes del mercado.

Las señales de alarma comunes a todas

• Urgencia artificial: una ventana de tiempo que se cierra, una cuenta que se bloquea, una oportunidad que caduca hoy.
• Rendimiento garantizado o constante. No existe.
• Cualquier petición de la frase semilla o de las claves privadas, venga de quien venga.
• Que te pidan instalar AnyDesk, TeamViewer o similar para "ayudarte".
• Una plataforma de la que solo has oído hablar por la persona que te la recomienda.
• Pagar por adelantado para desbloquear un cobro: impuestos, comisiones, seguros, verificaciones.
• Presión para no consultarlo con nadie, o para mantenerlo en privado.
• Un contacto entrante no solicitado, sea llamada, correo, mensaje o comentario en redes.

Ejemplo trabajado: anatomía de una suplantación de soporte

Marta tiene 6.200 € en una wallet de móvil. Una actualización deja la app mostrando saldo cero —un fallo de sincronización, sin más— y escribe en X pidiendo ayuda a la cuenta oficial de la marca. En once minutos recibe respuesta.

"@SoporteWallet_Help" — Hola Marta, lamentamos el problema. Somos el equipo de asistencia. Para agilizar el caso, continúa en nuestro canal seguro de Telegram: t.me/walletsupport_es

Qué ha pasado: la cuenta lleva el nombre y el logotipo de la marca, con un guion bajo de más. El soporte real de una empresa seria nunca te saca de la plataforma oficial ni te contacta primero.

Agente — Buenas tardes. Antes de nada, ¿desde qué versión de la app ocurre? Vemos incidencias en la 4.2.1 relacionadas con el índice de derivación.

Qué ha pasado: competencia técnica creíble y vocabulario correcto. Esto genera confianza deliberadamente. En 2026 este guion suele estar asistido por IA, lo que explica la calidad del castellano y la rapidez.

Agente — Es una incidencia conocida. Podemos resincronizar tu monedero desde el servidor. Necesito que ejecutes la herramienta de validación en nuestro portal: wallet-recovery-es.app

Qué ha pasado: dominio con el nombre de la marca dentro pero registrado hace once días. Marta no lo comprueba: ha llegado desde una conversación, no desde un buscador.

Portal — Introduce tu frase de recuperación de 12 palabras para restaurar el índice.

Qué ha pasado: aquí termina todo, técnicamente. Con la semilla, el atacante reconstruye la wallet en su dispositivo. Muchas víctimas se detienen aquí, y por eso el guion moderno ofrece una alternativa más suave: si dudas, el agente te ofrece "conectar la wallet y firmar una verificación", lo que produce una aprobación ilimitada en vez de entregar la semilla. El resultado para ti es el mismo.

Agente — Perfecto, ya está en cola. La sincronización tarda entre 30 y 60 minutos. No cierres la aplicación.

Qué ha pasado: la espera cumple una función. Da margen para mover los fondos y retrasa el momento en que Marta pide ayuda a alguien más.

Cincuenta minutos después la wallet está vacía. Coste: 6.200 €, unas 2,2 veces el pago medio por estafa de 2025 (2.764 $), en una conversación de menos de una hora. Semanas más tarde llegará un mensaje de una supuesta firma de recuperación de activos que, por una provisión de fondos, promete rastrear el dinero. Es la segunda estafa, y suele ser del mismo grupo.

Checklist antes de firmar cualquier cosa

• Lee en la pantalla del dispositivo, no en la del navegador, la dirección de destino y el importe. La web puede mentir; el dispositivo no.
• Identifica qué tipo de operación es: si es una aprobación, mira quién es el contrato autorizado y por cuánto. Si el importe es ilimitado y no lo necesitas, redúcelo.
• Si te piden firmar un mensaje sin coste de gas para "verificar" o "conectar", detente: puede ser una autorización Permit.
• Comprueba la URL carácter a carácter y llega siempre desde tu propio marcador, nunca desde un enlace ni desde un anuncio.
• Copia la dirección de destino de la fuente original y verifica caracteres del centro, no solo el principio y el final.
• Haz un envío de prueba pequeño en cualquier operación importante o hacia una dirección nueva.
• Revisa y revoca tus aprobaciones activas cada pocos meses desde el explorador de bloques de la red o una herramienta de revocación reconocida.
• Usa una wallet separada, con saldo mínimo, para conectarte a aplicaciones nuevas. Nunca la que guarda tu patrimonio.

Si ya has caído: qué hacer, en este orden

Sé realista desde el principio. Una transacción confirmada no se revierte, y la mayoría de las víctimas no recupera nada. Aun así, el orden de los pasos cambia mucho lo que se puede salvar.

1. Desconecta y aísla. Deja de interactuar con la web, la app o la persona. No firmes nada más, ni siquiera lo que te presenten como "cancelación".
2. Revoca las aprobaciones de la wallet afectada desde el explorador de la red o una herramienta de revocación reconocida. Es urgente: mientras la aprobación viva, el atacante puede volver.
3. Mueve lo que quede a una wallet nueva generada en un dispositivo limpio, mejor si es de autocustodia con hardware. Si la semilla ha sido expuesta, la wallet antigua está muerta para siempre: no la reutilices ni le vuelvas a enviar fondos, ni siquiera para pagar el gas de un rescate.
4. Documenta todo. Hashes de transacción, direcciones de destino, capturas de la conversación, URLs, perfiles, números de teléfono, importes y fechas. Sin esto no hay denuncia útil.
5. Avisa a los exchanges implicados. Si los fondos van a una plataforma regulada, comunícaselo por su canal oficial con los hashes. Es la única vía realista de congelación, y depende de la velocidad.
6. Denuncia.
7. No contrates a nadie que te prometa recuperar el dinero.

Dónde denunciar en España

• Denuncia formal en comisaría de la Policía Nacional o en un cuartel de la Guardia Civil: son los cauces con validez procesal, y ambas tienen unidades especializadas en delitos telemáticos.
• INCIBE, a través de su línea de ayuda en ciberseguridad (017), orienta gratuitamente sobre los pasos a seguir, aunque no tramita denuncias.
• Si la plataforma se anunciaba como autorizada, comprueba en el registro de la CNMV si lo está y comunica el caso al organismo. La CNMV publica además advertencias sobre entidades no autorizadas.
• Si hubo transferencia bancaria por medio, avisa a tu banco de inmediato: es la única parte de la cadena que a veces admite retrocesión.

En Latinoamérica

Los cauces cambian por país y conviene confirmarlos antes de acudir. En Argentina hay una fiscalía especializada en ciberdelincuencia y, si la plataforma decía operar legalmente, puedes comprobarlo en el registro de PSAV de la CNV, creado por la Resolución General 994 de marzo de 2024. En México la denuncia se canaliza por la policía cibernética y, en asuntos financieros, por la Condusef. En Colombia la Policía Nacional mantiene un canal virtual de denuncia y la Superintendencia Financiera publica advertencias sobre entidades no autorizadas. En Brasil, el Banco Central registra y supervisa a los proveedores.

Qué ha cambiado en 2026

Tres cosas, y ninguna buena. La primera es la industrialización con IA: cuando una operación que la usa ingresa 4,5 veces más, la adopción es inevitable. Traducido a tu día a día, las señales clásicas —faltas de ortografía, traducciones raras, voces con acento improbable— han dejado de ser fiables, y una videollamada ya no es prueba de identidad.

La segunda es el desplazamiento hacia menos víctimas y más importe por víctima, con el pago medio multiplicado por 3,5 en un año. Los grupos invierten más tiempo en cada objetivo apoyándose en datos filtrados: la brecha de Ledger de diciembre de 2020, que expuso unos 270.000 registros con direcciones físicas de personas con criptomonedas, sigue alimentando campañas dirigidas seis años después.

La tercera sí juega a tu favor: la regulación te da una herramienta de verificación que antes no existía. Desde el 1 de julio de 2026, cualquier plataforma que ofrezca servicios en España debe estar autorizada bajo MiCA. Comprobar el registro es el filtro más rápido que tienes, y el paso previo natural a elegir dónde operar. Si no aparece, no hay conversación que valga.

Preguntas frecuentes

Fuentes y referencias

1. Chainalysis — 2026 Crypto Crime Report
2. Chainalysis — Crypto scams 2026
3. Chainalysis — Crypto hacking and stolen funds 2026
4. FBI — Cryptocurrency and AI scams bilk Americans of billions (IC3 2025)
5. CoinDesk — Ledger exploit drained $484K
6. CNMV — Registro de proveedores de servicios de criptoactivos
7. CNV Argentina — Registro de Proveedores de Servicios de Activos Virtuales

Guías relacionadas