Cómo confirmar que bajaste la app real de Binance y no una falsa

Lo más traicionero de una app falsa es esto: una vez instalada, se ve casi idéntica a la real —mismo ícono, misma interfaz, y hasta te deja "iniciar sesión"—. La única diferencia es que el usuario, la contraseña y el código que cargas van tal cual a manos de otro. Para cuando te das cuenta de que algo anda mal, la plata quizá ya se movió. Por eso, al instalar la app de Binance vale la pena dedicarle dos minutos y revisarla en serio. Aquí te explico de una vez "cómo instalarla bien, cómo verificarla después y cómo remediarlo si te equivocaste", y en ningún momento publicamos direcciones en nombre de Binance ni te apuramos a descargar: es más seguro que la llave de la verificación la tengas tú en la mano.

Qué te hacen realmente una app falsa o un sitio de phishing

Primero dejemos claro el daño, así te dan ganas de dedicarle esfuerzo a este paso. Una app falsa de Binance o un sitio de phishing son, en el fondo, una cáscara que se ve como la oficial y sirve solo para engañarte y sacarte información sensible. Suelen hacer estas cosas:

• Roban usuario y contraseña: el correo o teléfono y la contraseña que cargas en una pantalla de inicio de sesión falsa van directo a la base del atacante.
• Roban el código de verificación: fingen que "hace falta verificar" y te inducen a cargar el código de la verificación en dos pasos o el del SMS; mientras ese código todavía es válido, el atacante lo usa de inmediato para entrar a tu cuenta real.
• Inducen a transferir: algunas apps falsas muestran un saldo trucho y un supuesto "aviso de soporte" para engañarte y que mandes monedas a cierta dirección "para activar o desbloquear".
• Sacan la frase de recuperación: si se disfrazan de versión con billetera, pueden inducirte a importar o "respaldar" la frase de recuperación; una vez filtrada, los activos on-chain son casi imposibles de recuperar.
• Roban información de forma permanente: una app falsa instalada en el teléfono también puede leer sin parar tu portapapeles, tus notificaciones y tus SMS, robando a largo plazo.

De todas estas trampas, las más letales son las del código de verificación y la frase de recuperación, porque le permiten al atacante entrar directo a la cuenta real o llevarse directo los activos on-chain. Justamente porque el daño es tan directo, "instalar la app correcta y entrar al sitio correcto" es una de las primeras defensas en la seguridad de la cuenta.

El camino correcto: buscar al desarrollador oficial en la tienda del sistema

La forma más segura de instalar la app de Binance es abrir la tienda de apps que trae el sistema del teléfono, buscarla tú mismo e instalarla tú mismo, en vez de tocar un enlace que te mandaron o escanear un código que te dieron. La tienda de apps del sistema tiene un proceso de revisión; no garantiza cero falsificaciones, pero es mucho más segura que un canal de origen desconocido.

• iPhone: abre la App Store que viene de fábrica, escribe en la búsqueda "Binance" y, entre los resultados, busca el oficial.
• Android: abre la tienda de apps confiable que trae tu dispositivo (cambia según la marca), busca igual y elige el oficial entre los resultados.

Lo clave no es "encontrarla", sino "reconocer cuál es la oficial una vez que aparece". Una app falsa puede aparecer entre los resultados con un nombre y un ícono muy parecidos, así que mirar solo el nombre y el ícono no alcanza: hay que bajar a cotejar la información del desarrollador (la próxima sección).

Cotejar: nombre del desarrollador, reseñas, descargas

En la ficha de descarga de la tienda, no te apures a tocar "instalar"; mira primero estos puntos. Juntos, te ayudan a distinguir la app oficial de una falsificación:

Nombre del desarrollador

Este es el punto más importante. La ficha de descarga suele mostrar el nombre del desarrollador o editor, y a una app falsa le cuesta mucho falsificar del todo la entidad oficial. Fíjate si ese nombre corresponde a la entidad publicadora oficial de Binance; el nombre exacto rige por lo que anuncie la empresa y por lo que muestre la tienda. Si el desarrollador figura como una persona, una empresa desconocida o una cadena de caracteres sin sentido, casi seguro es una falsificación. Tocando el nombre del desarrollador también ves sus otras apps: bajo la entidad oficial suele haber un conjunto ordenado de apps relacionadas, mientras que bajo un falsificador todo suele estar desprolijo o hay una sola cosa que "se cuelga del nombre".

Cantidad y contenido de las reseñas

La app oficial suele tener una enorme cantidad de reseñas, de un orden de magnitud alto; una app falsa suele tener muy pocas, o un montón de elogios calcados amontonados en poco tiempo. Ojea algunas reseñas recientes: si hay usuarios gritando en los comentarios "esto es falso" o "me robaron después de iniciar sesión", es una señal de peligro muy fuerte.

Hay varias "pintas raras" en la zona de reseñas que conviene mirar con desconfianza: un montón de reseñas de cinco estrellas con poquísimas palabras y redacción calcada aparecidas en poco tiempo (infladas); elogios todos genéricos tipo "buenísima" o "está bien", sin que nadie mencione ninguna función concreta; o una brecha marcada entre elogios y críticas, con reseñas mecánicas y, en medio, unas pocas quejas reales bien escritas de "me robaron" o "no puedo retirar". Las reseñas de usuarios reales son variadas: hay halagos y quejas, con situaciones concretas; un bloque de elogios todos igualitos, en cambio, no es normal.

Historial y cantidad de descargas

La app oficial suele tener un historial de publicación bastante largo y una cantidad acumulada de descargas o instalaciones muy alta, con un registro de actualizaciones continuo. La app falsa suele ser de publicación reciente, con pocas descargas y un historial de actualizaciones muy corto. Si estos números no cuadran con "lo que debería tener un exchange de primera línea", desconfía.

Estas formas de descarga, ni las toques

Las siguientes maneras de conseguir la app tienen todas un riesgo claramente alto; evítalas siempre que puedas:

• Un archivo APK que te pasan por un grupo o por privado: un instalador de origen desconocido puede tener código espía incrustado, y ponerlo equivale a entregar la cuenta.
• Descargar escaneando un código QR desconocido: los códigos QR de afiches, mensajes privados o zonas de comentarios no sabes adónde apuntan, y es muy probable que sea una página de descarga de phishing.
• "Tiendas de apps" de terceros o sitios de cracks: los sitios de descarga que no vienen con el sistema y son de origen desconocido son, desde siempre, un caldo de cultivo de apps falsas.
• Un enlace de descarga que te pasa "soporte": si alguien que dice ser de soporte te hace tocar un enlace para instalar una "versión especial" o "versión segura", casi siempre es una falsificación. Lo oficial no funciona así.
• El botón de descarga de un correo o SMS: si viene una "actualización de seguridad" o un "actualiza ya" con un enlace de descarga, trátalo como falso de entrada. Cómo verificar este tipo de mensajes lo ves en cómo confirmar si un mensaje "de Binance" es real.

Lo que tienen en común es que todas dejan que otro decida por ti de dónde descargar. Apenas entregas la iniciativa, no hay verificación posible. Si te mantienes en "buscar tú mismo en la tienda del sistema y cotejar tú mismo al desarrollador", esta clase de riesgo la esquivas casi por completo.

Qué cuidar en iOS y en Android

La lógica de cotejar al desarrollador y mirar las reseñas sirve para los dos sistemas, pero como el mecanismo es distinto, cada uno tiene sus trampas propias.

En iOS

En el iPhone, instalar apps prácticamente tiene un solo camino correcto, la App Store, lo que de por sí frena un montón de falsificaciones. Lo que hay que cuidar son las jugadas que esquivan la tienda:

• Invitaciones desconocidas de TestFlight: TestFlight es el canal de Apple para distribuir versiones de prueba, y hay quien lo usa para enviar un "Binance en beta" o "versión exclusiva" y engañarte para que lo instales. No toques enlaces de TestFlight de origen desconocido; un usuario normal no necesita usar un exchange desde una versión de prueba.
• Certificados de empresa o perfiles de configuración: si para instalar cierto "Binance" te piden ir a "Ajustes - General - VPN y gestión de dispositivos" y confiar en un certificado de empresa o un perfil, frena de inmediato. Una app legítima de la App Store no necesita que confíes en un certificado a mano; ese paso equivale casi a entregar la llave de la puerta.
• "Que te haga cambiar ajustes del sistema para funcionar": cualquier "Binance" que exija apagar alguna opción de seguridad o instalar un perfil de configuración para correr, trátalo como falsificación.

En Android

Android es abierto, hay más orígenes desde donde instalar y también más espacio para la falsificación, así que presta más atención:

• "Permitir instalar de orígenes desconocidos" es un interruptor de alto riesgo: al instalar un APK de origen desconocido, el sistema te pide activar este permiso. Apenas lo activas, le abres la puerta a la app falsa cargada por fuera. Cuando termines, apágalo; no lo dejes prendido a diario.
• Reconoce la tienda confiable que trae tu dispositivo: la tienda de fábrica cambia según la marca del teléfono; quédate con la original de tu dispositivo y no instales desde una "tienda de terceros" desconocida.
• Fíjate si pide permisos desmedidos: una app de exchange que de entrada quiere leer los SMS, leer los contactos o el servicio de accesibilidad (que puede simular toques y leer la pantalla) es muy sospechosa: esos permisos son justo los que se usan para robar códigos e información.

Ya instalada, cómo revisarla

Aunque la hayas instalado desde la tienda y cotejado al desarrollador, no bajes del todo la guardia. Antes y después del primer inicio de sesión, cruza algunas señales internas más; es como ponerle un segundo seguro a "esta es la app real".

Mira el dominio y el comportamiento de las páginas tras iniciar sesión

Los saltos a páginas web y los enlaces oficiales de la app real deberían aterrizar en el dominio oficial de Binance (el dominio exacto rige por lo que anuncie la empresa). Si dentro de la app alguna página te lleva a un dominio desconocido y te pide volver a iniciar sesión, es muy sospechoso.

Verifica al revés con el código antiphishing

Si configuraste un código antiphishing, cuando tras iniciar sesión se dispare un correo oficial o un mensaje interno, fíjate si adentro está esa cadena que definiste. Una comunicación oficial que trae el código antiphishing correcto es un indicio de que "de verdad estás tratando con el sistema real de la cuenta". Ten en cuenta que solo sirve para correos y mensajes internos.

Activa la verificación en dos pasos y observa si el flujo es normal

Haz dentro de la app todo el flujo de la verificación en dos pasos. En la app real, el 2FA es un flujo estándar acoplado al sistema de tu cuenta; una app falsa puede delatarse en este paso, por ejemplo cuando "verifica" y en realidad no cambia nada, o cuando te induce a cargar información sensible de más. Si el flujo se siente raro o te piden cosas fuera de lo razonable, vale la pena desconfiar.

Cómo confirmar el sitio real en la computadora

Para iniciar sesión con el navegador en la computadora también hay una rutina de "confirmar que estás en el sitio real", con la misma lógica que en el teléfono: no entres por un buscador, controla tú el acceso.

• Escribe tú mismo la dirección o usa un marcador: la primera vez que entras al sitio oficial, confirma que esté todo bien y guárdalo como marcador; de ahí en más, entra siempre desde el marcador. No busques en un buscador y toques los primeros resultados, donde suelen mezclarse falsificaciones y anuncios.
• Coteja el dominio de la barra de direcciones: antes de iniciar sesión, mira la barra y fíjate si el dominio es el oficial (rige lo que anuncie la empresa). Reconoce el dominio principal y léelo de derecha a izquierda: desconfía de trucos como una letra de más, un sufijo cambiado o meter "binance" dentro de una cadena larga de subdominios (algo como binance.xxxx.com, donde el dominio principal real es xxxx.com, no Binance).
• No toques el bloque de anuncios de arriba de los resultados: en lo más alto de la página de resultados suele haber espacios promocionados marcados como "anuncio" o "patrocinado", y a los sitios falsos les encanta comprar ahí para hacerse pasar por el oficial y salir primeros. Para entrar al sitio, usa el marcador o escribe la dirección; no toques por comodidad el anuncio más llamativo.
• Presta atención a los avisos de seguridad y al certificado del navegador: en una página sin el candado de seguridad en la barra, o que avisa de un certificado anómalo o de "no seguro", no cargues ningún dato de la cuenta. El candado solo indica que la conexión está cifrada, no que el sitio sea el oficial; así que mira el candado y, sobre todo, el dominio: coteja los dos juntos.
• No instales extensiones de navegador de origen desconocido: algunas extensiones maliciosas alteran la página o roban lo que escribes. Para instalar cualquier cosa relacionada con Binance, vuelve al principio de "canal oficial, confírmalo tú mismo".

En la computadora, en lo que más se cae es en "buscar a las apuradas y tocar el primero". Cambia el modo de entrar de "buscar + tocar" a "marcador + escribir la dirección" y al sitio de phishing le va a costar mucho engañarte. Si dudas de un mensaje o un enlace, pásalo por el autochequeo de autenticidad de mensajes de phishing y repasa los distintos criterios.

Si sospechas que te equivocaste, cómo remediarlo

Si ya instalaste una app sospechosa o cargaste datos en una página sospechosa, no entres en pánico; resuelve en orden y lo más rápido posible. La idea central es: pasarte a un dispositivo limpio, esquivar el acceso sospechoso y cambiar de una todos los ajustes de seguridad que se puedan cambiar.

1. Desinstala la app sospechosa: primero borra del teléfono esa app de origen desconocido para que deje de seguir leyendo tu información.
2. Pásate a un dispositivo que sepas que está limpio: haz los pasos siguientes desde otro teléfono o computadora sin problemas, para no cargar contraseñas en un dispositivo que puede estar contaminado.
3. Entra tú mismo al sitio real: escribe la dirección oficial o entra a la app real desde la tienda del sistema; no uses la que acabas de desinstalar ni toques ningún enlace relacionado.
4. Cambia la contraseña: cambia la contraseña de inicio de sesión y también la contraseña de fondos; si usaste ese mismo juego de contraseñas en otro lado, cámbialas también en esas cuentas.
5. Restablece la verificación en dos pasos: vuelve a enlazar el 2FA para invalidar la relación de verificación vieja que pudo haberse filtrado.
6. Revisa los dispositivos con sesión: en la configuración de seguridad mira los dispositivos con sesión iniciada y expulsa todos los desconocidos; las sesiones viejas ya abiertas no se cierran solas porque cambies la contraseña, hay que limpiarlas a mano.
7. Revoca las claves de API sospechosas: si alguna vez conectaste una herramienta de terceros o creaste una API key, entra y fíjate si hay alguna desconocida o con permisos excesivos; la sospechosa, bórrala y recréala directamente. Una app falsa puede haberte inducido a entregar los datos de API, así que no te saltees este paso.
8. Revisa retiros y lista blanca: fíjate si hay retiros desconocidos o si agregaron a escondidas alguna dirección desconocida a la lista blanca; si detectas algo raro, actúa de inmediato.
9. Si ya hubo pérdida, trátalo como cuenta hackeada: si ya se transfirieron activos, la ventana de tiempo es clave; sigue de inmediato, paso a paso, la guía de qué hacer si te hackearon la cuenta, congela lo que se pueda congelar cuanto antes y haz cuanto antes el trámite de reclamo oficial si se puede.

Preguntas frecuentes