Seguridad de la cuenta WEEX: la configuración de 5 minutos que vale la pena hacer

La seguridad de un exchange en realidad son dos sistemas separados, y la mayoría de las guías los mezclan en uno solo.

Una mitad le corresponde a la plataforma: cómo se custodian los activos de los clientes, cómo el motor de riesgo monitorea la actividad y si las reservas se publican y se pueden verificar. Podés evaluarla, pero no configurarla.

La otra mitad es el acceso a tu cuenta, y depende completamente de vos. Es ahí donde ocurre la enorme mayoría de las pérdidas individuales: no por una brecha en la plataforma, sino por una credencial que llegó a manos de otra persona. Es una buena noticia, porque tu parte consiste en una configuración que se hace una sola vez. Acá está, ordenada según cuánto riesgo elimina cada elemento.

Usá una app autenticadora, no SMS

Si vas a cambiar una sola cosa, cambiá esta.

Los códigos enviados por SMS son vulnerables al SIM swapping: un atacante convence a la operadora de telefonía para transferir tu número a un dispositivo que controla y, desde ese momento, todos los códigos destinados a vos llegan a su teléfono. No requiere conocimientos técnicos avanzados y derrota por completo la autenticación de dos factores basada en SMS.

Una app autenticadora genera códigos en tu dispositivo a partir de una seed almacenada. Nada viaja por la red móvil, así que no hay nada que interceptar ni redirigir.

Prestá atención a dos cosas durante la configuración:

Guardá los códigos de respaldo offline. Anotalos y conserválos en un lugar físico. Si perdés el dispositivo sin ellos, recuperar el acceso se vuelve considerablemente más difícil.

Nunca ingreses un código en otro lugar que no sea la pantalla de inicio de sesión verdadera. Ningún agente de soporte, por ningún canal, tiene un motivo legítimo para pedírtelo. Un código que le leés a alguien que te llama es un código que esa persona escribe en el formulario de inicio de sesión real mientras todavía habla con vos.

Configurá una lista blanca de direcciones de retiro

Es la configuración más valiosa de la lista y la que más se suele omitir, porque su beneficio es invisible hasta el día en que hace falta.

Una lista blanca restringe los retiros a las direcciones que aprobaste previamente. Su valor aparece cuando hay un compromiso de la cuenta: incluso un atacante que tomó el control total todavía no puede enviar fondos a una dirección que no esté en la lista, y agregar una nueva activa su propio proceso de seguridad con una demora.

Esa demora es el objetivo. Convierte un robo instantáneo e irreversible en un intervalo en el que podés detectarlo e intervenir. Casi ninguna otra medida de seguridad de la cuenta te da tiempo después de que el atacante ya entró.

Configurala mientras todo está tranquilo, agregá las direcciones que realmente usás y dejala activa.

Limitá el alcance de tus claves API o eliminalas

Las claves API son el modo de falla más silencioso, porque una clave comprometida no parece un compromiso. No hay un inicio de sesión desconocido ni una alerta. Simplemente se comporta como vos.

Tres reglas:

Nunca otorgues permiso de retiro, a menos que un flujo de trabajo específico realmente lo necesite. Los permisos de trading y de retiro están separados por una razón. Una clave filtrada con permisos de lectura y trading es un mal día; una clave filtrada con derechos de retiro significa una cuenta vaciada.

Vinculá las claves a direcciones IP específicas cuando la herramienta lo permita. Solo esto hace que una clave robada sea prácticamente inutilizable en otro lugar.

Eliminá lo que no estés usando. Las claves creadas para un bot que probaste una vez o para un rastreador de portafolio que abandonaste siguen activas hasta que las revoques. Revisá la lista periódicamente y eliminá todo lo que no puedas justificar de inmediato.

Instalá únicamente desde fuentes oficiales

Una app ve lo que escribís, por lo que una versión no oficial implica otorgar más confianza que a cualquier página web.

Instalá únicamente desde la página oficial de descarga de WEEX y desde las tiendas de aplicaciones mencionadas allí. Las versiones modificadas circulan por chats grupales y páginas de descarga clonadas, y capturan credenciales y códigos de autenticación desde el dispositivo, donde tu cuidado en el sitio web no llega.

Si alguien te manda un instalador directamente, eso no es comodidad. Es el ataque.

Configurá un marcador antiphishing y entendé qué demuestra

Un marcador antiphishing es una frase que elegís y que WEEX incluye en sus correos electrónicos genuinos. Un mensaje que afirma ser de WEEX pero no contiene tu frase no proviene de WEEX.

Entendé en qué dirección funciona esto, porque es fácil interpretarlo mal. El marcador te indica que un correo no es genuino. No verifica nada enviado por Telegram, SMS, una llamada telefónica o redes sociales, canales que no lo incluyen. Para esos casos, usá la herramienta de verificación de contactos, que cubre sitios web, direcciones de correo electrónico, números de teléfono, identificadores de Telegram y cuentas sociales.

Y sin importar si hay un marcador: el soporte de WEEX responde los tickets que abrís. No contacta primero a los usuarios y ningún representante legítimo te va a pedir que transfieras fondos o activos digitales a esa persona, a WEEX o a un tercero.

Qué cubre el lado de la plataforma y qué no

Para completar la información, esta es la mitad que no podés configurar. WEEX separa el almacenamiento en cold wallet y hot wallet, con protección multifirma en el lado cold, mantiene los activos de los usuarios separados de los fondos operativos, monitorea continuamente el riesgo de la actividad de las cuentas y publica el Proof of Reserves, que muestra las reservas de la plataforma frente a las tenencias de los usuarios, con la marca de tiempo del snapshot y la altura del bloque. WEEX tiene licencia en varias jurisdicciones y continúa ampliando su estrategia de licencias.

También existe un Protection Fund de 1,000 BTC, mantenido en billeteras públicas y separado de los fondos operativos. Leé su alcance antes de confiar en él: está diseñado para pérdidas ocurridas sin culpa del usuario y no cubre pérdidas de trading, transacciones en las que te engañaron o que autorizaste por error, transacciones aparentemente no autorizadas en las que no ocurrió ninguna transferencia externa, ni pérdidas vinculadas con fraude o abuso de la plataforma.

Esa lista de exclusiones es precisamente la razón por la que importan las cinco configuraciones anteriores. La arquitectura del lado de la plataforma aborda las fallas del lado de la plataforma. Un retiro que te convencieron de aprobar es una transacción autorizada, y el único control que puede detenerlo es el que configuraste de antemano.

Hacelo una vez

App autenticadora en lugar de SMS. Lista blanca de retiros activada. Claves API con alcance limitado o eliminadas. Solo instaladores oficiales. Marcador antiphishing configurado, entendiendo claramente qué demuestra y qué no.

5 minutos, una sola vez, y la gran mayoría de las formas en que realmente se pierden las cuentas individuales deja de aplicarse a la tuya.

Preguntas frecuentes

1. ¿La autenticación de dos factores por SMS es suficiente?

Es considerablemente más débil que una app autenticadora. El SIM swapping permite que un atacante reciba tus códigos al transferir tu número de teléfono a su dispositivo, lo que derrota por completo la verificación por SMS. Una app autenticadora genera códigos localmente, así que nada pasa por la red móvil.

2. ¿Qué hace realmente una lista blanca de direcciones de retiro?

Restringe los retiros a las direcciones que aprobaste de antemano. Su valor real aparece cuando hay un compromiso: un atacante dentro de tu cuenta no puede retirar a una dirección nueva sin pasar por el proceso de agregarla, que incluye una demora. Esa demora es el intervalo en el que podés intervenir.

3. ¿Una clave API puede vaciar mi cuenta?

Solo si tiene permiso de retiro. Otorgá permiso de trading sin permiso de retiro, salvo que un flujo específico requiera lo contrario, vinculá las claves a direcciones IP fijas cuando sea posible y eliminá cualquier clave que no estés usando activamente.

4. ¿De qué me protege un marcador antiphishing?

Específicamente, de los correos electrónicos fraudulentos. Un correo genuino de WEEX contiene la frase que configuraste; uno que no la tiene no es de WEEX. No ofrece protección en Telegram, SMS, llamadas telefónicas ni redes sociales: verificá esos canales en weex.com/official-verification.

5. ¿Dónde debería descargar la app de WEEX?

Solo desde weex.com/download y las tiendas de aplicaciones mencionadas allí. Los instaladores compartidos en grupos de chat o desde páginas de descarga a las que llegaste mediante un enlace son una vía común para distribuir versiones que roban credenciales.

6. Si mi cuenta es comprometida, ¿el Protection Fund me reembolsará?

No automáticamente y tampoco en los escenarios más comunes. El fondo está diseñado para pérdidas ocurridas sin culpa del usuario, como un incidente de seguridad del lado de la plataforma. No cubre transacciones en las que te engañaron o que autorizaste por error, pérdidas de trading ni pérdidas relacionadas con fraude o abuso de la plataforma. Los reclamos deben enviarse a support@weex.com dentro de los 30 días.

7. ¿Qué debería hacer primero si creo que mi cuenta ya fue comprometida?

Cambiá tu contraseña desde un dispositivo confiable, restablecé la autenticación de dos factores, revocá todas las claves API, revisá la lista blanca de retiros en busca de entradas que no hayas agregado y contactá al soporte por los canales oficiales, con marcas de tiempo y detalles. Si firmaste una aprobación de wallet, revocala desde la wallet: cambiar la contraseña no deshace una aprobación on-chain.

Advertencia de riesgo

Los criptoactivos son muy volátiles y operar con ellos puede resultar en una pérdida parcial o total del capital. Nada de lo que figura aquí constituye asesoramiento de inversión, legal o fiscal. Las configuraciones descritas reducen las vías de ataque habituales, pero no eliminan el riesgo de seguridad de la cuenta, y ninguna configuración hace que una cuenta sea inmune a un compromiso. Las transacciones de blockchain son irreversibles: los fondos movidos por un atacante o mediante una aprobación que firmaste generalmente no pueden ser recuperados por WEEX, las autoridades ni ningún servicio de recuperación. La responsabilidad por la seguridad de las credenciales, del dispositivo y por el almacenamiento de los códigos de recuperación recae en el titular de la cuenta. El WEEX Protection Fund no cubre pérdidas de trading, transacciones que te engañaron para autorizar ni pérdidas derivadas de fraude o abuso de la plataforma. Las funciones de los productos y las opciones de seguridad pueden cambiar; confirmá la configuración actual en la propia plataforma. Sos responsable de asegurarte de que el uso de los servicios de WEEX cumpla con las leyes de tu jurisdicción.