Cómo confirmar si un mensaje de «Binance» es real

Un correo, un SMS, una llamada, un mensaje privado: todos dicen ser "Binance", todos dicen que algo pasó con tu cuenta y que hagas clic ya, que confirmes ya, que les pases el código ya. En ese momento, lo más peligroso no es el mensaje en sí, sino esa sensación de "apúrate" que provoca. Este artículo te da un método de verificación que no depende de la intuición: tres pasos para ver si es real, más una regla de respaldo para "cuando de plano no estás seguro". Apréndetelo y, la próxima vez que te apuren, mantendrás la calma y no harás clic a lo loco.

Verificación en tres pasos: antiphishing → dominio → discurso

Cuando recibas un mensaje que dice ser de Binance, revísalo en este orden: que cualquier paso se ponga en rojo ya basta para darlo por falso, sin necesidad de completar los tres.

Paso 1: busca el código antiphishing (solo sirve para correos y mensajes dentro del sitio)

Si antes configuraste tu código antiphishing, los correos y mensajes internos reales de Binance traerán esa serie de caracteres que definiste. Es el filtro más fácil: si el correo no trae tu código antiphishing, o el código está mal, trátalo de una vez como falso. Ojo: esto solo cubre correos y mensajes dentro del sitio; los SMS, las llamadas y los mensajes de terceros no llevan código antiphishing, así que este paso no aplica ahí y hay que pasar al segundo y al tercero.

Paso 2: mira el dominio del remitente y el del enlace

En el correo hay que mirar la dirección real del remitente, no el nombre que se muestra. El nombre visible se puede poner como "Centro de seguridad de Binance", pero lo que dice si es real o falso es si el dominio que va después de la @ es el oficial. Las suplantaciones suelen usar estos trucos: un dominio parecido, prefijos o sufijos añadidos, o un subdominio muy largo que pone la palabra oficial al frente para engañar.

• Mira lo que va después de la @: lo clave es el dominio de la dirección del remitente; no te dejes engañar por el nombre visible.
• Mira a dónde lleva el enlace: pasa el cursor sobre el botón o el enlace del correo (sin hacer clic todavía) y observa la dirección real que aparece abajo a la izquierda. Si el texto dice "sitio oficial de Binance" pero el enlace apunta a un dominio desconocido, es phishing.
• Desconfía de los dominios parecidos: una letra de más, un sufijo cambiado, la palabra oficial metida dentro de una cadena larga de dominio; son trucos habituales de las suplantaciones.

Para saber cuál es el dominio oficial, guíate por lo que la página oficial de Binance publique en cada momento, no por lo que creas recordar. Lo más seguro no es comparar si el dominio se parece o no, sino directamente no hacer clic en el enlace y entrar tú al sitio (ver la sección de más abajo).

Paso 3: mira el discurso

Los mensajes de phishing tienen un tono en común: crean urgencia, te piden actuar de inmediato y te empujan a "escribir información sensible" o a "transferir". Con que aparezca una sola de estas frases, alerta máxima:

• "Cuenta con actividad anómala / a punto de congelarse / se detectó un riesgo; verifica de inmediato haciendo clic."
• "Tu solicitud de retiro está pendiente de confirmación; si no fuiste tú, haz clic aquí para cancelar."
• "Soporte está resolviendo tu problema; proporciona el código de verificación / pásame el código de este SMS."
• "Participa en la promoción / airdrop oficial; primero transfiere a la dirección indicada para desbloquear."

Lo que el Binance oficial nunca hace

Recordar "lo que el canal oficial nunca hace" sirve más que recordar "cómo actúa el oficial", porque los estafadores justamente se disfrazan de oficiales para hacer estas cosas. Con toparte con alguna de las siguientes, básicamente ya puedes darlo por falso:

• No te escribe por privado por iniciativa propia: no te agrega ni te manda privados en Telegram, WhatsApp u otras apps de mensajería de terceros diciendo "soy soporte oficial". Al soporte oficial lo buscas tú desde la app o el sitio oficial; no es él quien "te acecha" a ti.
• No te pide la contraseña ni códigos: no te solicita tu contraseña de acceso, tu contraseña de fondos, tu código de verificación en dos pasos ni tu frase de recuperación. Eso solo debes escribirlo tú en la página oficial; ningún "soporte" necesita que se lo dictes. Sobre todo la frase de recuperación: cualquiera que te pida "respaldar", "verificar" o "importar" la frase es una estafa, y una vez que la entregas, los activos on-chain casi no se recuperan.
• No te hace transferir para "verificar" o "descongelar": no existe eso de "primero transfiere algo para demostrar que la cuenta es segura"; es puro discurso de estafa.
• No te hace enviar cripto a una "dirección segura": eso de "tu cuenta fue atacada, primero transfiere los activos a la dirección segura / billetera fría que te damos para resguardarlos" es de los engaños más convincentes y costosos de estos años: esa dirección es del estafador y, en cuanto envías la cripto, ya no vuelve. Si de verdad quieres proteger tus activos, lo haces tú dentro de tu cuenta; ningún "oficial" te da una dirección externa para que transfieras.
• No te hace instalar software de control remoto: no te pide instalar programas de asistencia remota como AnyDesk o TeamViewer "para ayudarte a resolverlo". En cuanto lo instalas y le das el control, la otra persona puede operar directo en tu pantalla y ver cómo escribes tus códigos. A cualquiera que te pida instalar herramientas de "asistencia remota" o "revisión de seguridad", cuélgale o bloquéalo.
• No te hace descargar una app por un enlace privado: si te pide hacer clic en un enlace para instalar una "versión nueva" o "versión segura", casi seguro es una suplantación. Para instalar la app, búscala en la tienda de aplicaciones de tu sistema por el desarrollador oficial; cómo verificarlo lo tienes en cómo confirmar que la app de Binance que descargaste es la real.

Falso soporte, falsos SMS y falsas llamadas

Cada canal tiene su propio punto flaco en el engaño; lo vemos por separado.

Falso soporte por privado

Qué suelen decir: publicaste en una red social o en un grupo algo como "no puedo entrar a mi cuenta / no puedo retirar", y al instante te escribe por privado alguien con una foto de perfil que dice "soporte oficial de Binance": "vi tu problema, yo te ayudo a resolverlo", e incluso suelta un par de términos oficiales para parecer muy profesional.

Por qué lo dicen así: está al acecho de quien "está apurado y desesperado por ayuda"; mientras más nervioso estes, más fácil es que te dejes llevar. Lo que busca es luego llevarte a hacer clic en un enlace, instalar un programa de "asistencia remota" o sacarte poco a poco el código. El soporte real no anda escribiendo privados y acechando gente por todos lados.

Qué debes hacer: no respondas, no hagas clic y no lo agregues. Si tienes un problema, entra tú a la app o el sitio oficial y abre la consulta desde el acceso de soporte que hay dentro: ese es el único canal de soporte confiable. A cualquier "soporte" que "te busque por iniciativa propia", dalo por falso de entrada.

Falsos SMS

Qué suelen decir: un SMS cuyo número de origen parece de un rango legítimo, con un texto como "[Binance] Tu solicitud de retiro fue enviada; si no fuiste tú, haz clic en xxx para cancelar" o "Tu cuenta tiene un riesgo, haz clic para verificar", seguido de un enlace corto.

Por qué lo dicen así: el SMS no lleva código antiphishing, así que no se le puede aplicar el primer paso, y el estafador se aprovecha justo de ese hueco. El enlace corto lleva a una página de acceso muy imitada: en cuanto escribes tu usuario y contraseña, caen en manos del otro. Otra variante se hace pasar por "SMS de código de verificación" y te induce a reenviar el código que recibiste al "soporte para que lo confirme".

Qué debes hacer: no hagas clic en ningún enlace del SMS; si quieres comprobar algo, entra tú al sitio. Y cualquier código de verificación que recibas, nunca lo reenvíes ni se lo dictes a nadie. Si de verdad hay un retiro o un riesgo, lo sabrás al entrar al sitio oficial.

Falsas llamadas

Qué suelen decir: al otro lado del teléfono dicen ser del "departamento de seguridad / centro de soporte de Binance", con un tono apurado y profesional: "detectamos un inicio de sesión anómalo en tu cuenta, te están robando, ahora mismo te la congelo de urgencia; léeme el código de verificación del SMS que acabas de recibir" o "haz lo que te digo y transfiere tus activos a una dirección segura para resguardarlos".

Por qué lo dicen así: el identificador de llamada se puede falsificar, y frases como "te están robando" buscan crear pánico para que hagas caso sin tiempo de pensar. Lo que quieren es que digas en voz alta ese código de verificación, o engañarte para que tú mismo transfieras la cripto.

Qué debes hacer: con que al otro lado te pidan un código, una contraseña o que transfieras o instales algo, cuelga de inmediato. No dejes que te lleven el ritmo por teléfono y mucho menos devuelvas la llamada al número que te dieron. Para confirmar el estado de tu cuenta, cuelga y entra tú al sitio a revisar el registro de accesos y de retiros.

¿Dudas? Entra tú mismo al sitio

De todas las verificaciones, la que menos falla es esta, tan sencilla que casi no hay que pensar: no hagas clic en ningún enlace del mensaje, no devuelvas la llamada al número que trae y no escanees ningún código; abre tú mismo el marcador del navegador o escribe la dirección oficial para entrar a tu cuenta, y verifica dentro del sitio si de verdad ocurrió eso.

La lógica es directa: si lo que dice el mensaje es real (por ejemplo, sí hubo un retiro o sí hubo un inicio de sesión anómalo), entonces al entrar al sitio oficial lo verás sin falta en los avisos o en el registro de seguridad; si dentro del sitio no aparece nada de eso, el mensaje casi seguro es falso y su fin es llevarte a una página falsa. Esta regla de respaldo es sólida porque esquiva por completo el acceso que te ofrece la otra persona: tú vas por el camino que controlas y que sabes con certeza que es el oficial.

• Entra por marcadores o por la app del sistema: guarda con antelación la dirección oficial de Binance como marcador del navegador y de ahí en adelante entra siempre por el marcador, sin buscar y sin hacer clic en enlaces; en el teléfono, entrar por la app oficial instalada desde la tienda del sistema es igual de confiable. Ninguna de esas dos rutas pasa por el acceso que te da la otra persona.
• Concilia dentro del sitio: una vez dentro, revisa el centro de mensajes, y en los ajustes de seguridad el registro de accesos y el de retiros, y compáralos con lo que decía el mensaje sospechoso. Si dice "hubo un inicio de sesión anómalo", mira si aparece en los dispositivos de acceso; si dice "hay un retiro pendiente de confirmar", mira si aparece en el registro de retiros.
• Si no aparece, es falso: si dentro del sitio no hay nada de lo que menciona el mensaje, básicamente puedes darlo por falso; bórralo y no le hagas caso, y mucho menos vuelvas a hacerle clic.

Cuando conviertes esto en hábito, los tres pasos de verificación sirven más para "detectar el engaño con antelación", y esta regla es el respaldo de "pase lo que pase, no me desvían". Es un poco más lenta y más simplona, pero es justamente esa simpleza la que deja sin efecto toda esa 'prisa' que el estafador diseña con tanto cuidado. Si ya escribiste tu contraseña o un código en una página sospechosa, no lo dejes pasar: sigue el orden de qué hacer si te hackean la cuenta para cambiar la contraseña, revisar los dispositivos y frenar la pérdida cuanto antes.

Algunos engaños que parecen muy reales

Comparando los avisos de seguridad oficiales y los casos públicos, escogí algunos muy realistas y con los que es fácil caer, para vacunarte con anticipación:

• El frenazo del "inicio de sesión anómalo": un correo dice que hubo un acceso desde otra ubicación, con un botón de "no fui yo, congelar de inmediato"; al entrar es una página de acceso falsa.
• La maniobra al revés del "retiro pendiente": te avisan de un retiro y te guían a hacer clic en "cancelar", y en el proceso te sacan el código de verificación.
• El "primero transfiere, luego recibes" de la "promoción/airdrop oficial": te piden transferir primero a una dirección indicada para "activar" antes de poder reclamar.

Preguntas frecuentes