Actualizado Reglas verificadas 2026-10-18
Para la seguridad de tu cuenta en un exchange, te recomiendo seis ajustes: cambiar la autenticación de dos factores (2FA) a una app de autenticación o a una passkey, configurar el código antiphishing, activar la lista blanca de retiros, revisar la gestión de dispositivos y las notificaciones de inicio de sesión, no habilitar el permiso de retiro en las claves API y respaldar la clave de tu autenticador. La mayoría de estos 13 exchanges (Binance, OKX, Bybit, Bitget, MEXC, Gate, BingX, KuCoin, HTX, XT, WEEX, Pionex y Ourbit) tienen estas opciones en el menú de tu foto de perfil, dentro de «Centro de seguridad» o «Configuración de seguridad».
Mucha gente no se da cuenta de que cambiar la configuración de seguridad bloquea los retiros por sí solo. De los 13, 10 indican en su ayuda oficial que, al cambiar ajustes de seguridad como el autenticador, los retiros quedan restringidos 24 horas; Binance los restringe hasta 48 horas después de restablecer el 2FA, y Pionex prohíbe retirar durante 72 horas después de restablecer Google Authenticator. Por eso conviene dejar la seguridad lista cuando tengas tiempo, y no esperar a cambiarla justo cuando necesites retirar con urgencia.
Otro punto que se presta a confusión es la «lista blanca». En OKX, MEXC, HTX y Pionex, la lista blanca es un modo de restricción: una vez activada, solo puedes retirar a las direcciones de la lista. En Gate y Bybit, en cambio, la lista blanca se orienta a omitir verificaciones: al retirar a una dirección de la lista, puedes saltarte los códigos de verificación. El nombre es el mismo, pero la función es distinta. Abajo organicé la información oficial de cada exchange en listas y tablas comparativas, y marqué directamente lo que no está indicado oficialmente.
Resumen: (1) Para el 2FA, usa una app de autenticación o una passkey; Bitget advierte oficialmente que la verificación por SMS tiene el riesgo de secuestro de la tarjeta SIM. (2) La passkey te verifica con tu rostro o tu huella; 12 de los 13 exchanges describen esta función en su ayuda oficial, y el centro de ayuda de Ourbit no lo indica. (3) Una vez configurado, el código antiphishing aparece en los correos oficiales; Binance, Bybit y XT indican que también va en los SMS. Cualquier «correo oficial» sin este código debe tratarse como sospechoso. (4) En OKX, MEXC y Pionex, la lista blanca de retiros tiene una espera de 24 horas para direcciones nuevas; en HTX, el usuario elige cuándo entra en vigor, y desactivar la lista blanca además requiere la revisión de un administrador. (5) Desde el 2023-01-30, las claves API de Binance sin IP vinculada solo pueden tener permiso de lectura; para habilitar el permiso de retiro, primero hay que configurar una restricción de IP. (6) Respalda la clave al vincular Google Authenticator; Bybit indica que esta «frase mnemotécnica» de recuperación se muestra una sola vez y que la plataforma no la guarda.
La información siguiente se verificó en las páginas oficiales el 2026-10-18 (fecha de verificación de datos) y se comparte como referencia.
¿Qué tipo de 2FA conviene elegir?
Los exchanges suelen ofrecer cuatro tipos de 2FA: códigos por SMS, códigos por correo electrónico, apps de autenticación (como Google Authenticator, que genera un código de 6 dígitos cada 30 segundos) y passkeys. Varios exchanges recomiendan oficialmente usar primero una passkey o una app de autenticación, y dejar el SMS para después. Las recomendaciones de seguridad de Bitget dicen que «recomienda encarecidamente usar Google Authenticator y Passkey» y advierten que la verificación por SMS puede filtrarse si secuestran tu tarjeta SIM (buenas prácticas de seguridad de cuenta de Bitget). Los consejos de seguridad de Binance y de XT usan la misma frase para recomendar reemplazar la verificación por SMS con una passkey o una app de autenticación (consejos de seguridad de cuenta de Binance, consejos de seguridad de cuenta de XT).
El mayor riesgo de una app de autenticación es cambiar de celular. Al vincularla, la pantalla muestra una clave o un código QR, y esa clave tienes que anotarla y guardarla aparte. Bybit la llama «frase mnemotécnica» e indica que solo se muestra una vez, al vincular, y que Bybit no la guarda (Bybit: cómo recuperar tu código de Google Authenticator). KuCoin también indica que, si guardaste la clave, al cambiar de celular basta con ingresarla en el nuevo para volver a vincular (guía de configuración de Google 2FA de KuCoin). Además, en KuCoin, si ingresas mal el código de Google 5 veces seguidas, se bloquea durante 2 horas; si el código sigue saliendo como incorrecto, revisa primero que la hora de tu celular esté en automático.
¿Qué es una passkey?
La passkey (llave de acceso) es un método de inicio de sesión del estándar FIDO que verifica tu identidad con el reconocimiento facial, la huella o el bloqueo de pantalla de tu propio celular o computadora, sin escribir contraseñas ni códigos de verificación. Pionex lo explica con claridad: los datos biométricos se quedan en el dispositivo y no se suben al servidor, así que aunque alguien consiga tu cuenta y tu contraseña, sin tu celular no puede pasar la verificación; una vez activada, para retirar solo necesitas la verificación biométrica, sin ingresar uno tras otro los códigos de correo, SMS y Google Authenticator (Pionex: presentación de la función passkey).
Antes de configurarla, revisa los requisitos del dispositivo. OKX pide iOS 16.0.0 o superior, o Android 14.0 o superior, y también acepta llaves de seguridad USB compatibles con FIDO2 (OKX: cómo crear una passkey (app)). HTX indica iOS 16 o Android 9 o superior, y permite crear hasta 10 passkeys (HTX: cómo crear una passkey). XT admite el Llavero de iCloud y llaves de seguridad USB o NFC, y también puedes escanear un código QR para crearla con otro celular (XT: cómo crear una passkey).
Hay algunos puntos más que conviene tener en cuenta. Binance tiene un interruptor llamado «Must verify using passkey» (verificar obligatoriamente con passkey); al activarlo, el inicio de sesión y los retiros solo pueden hacerse con passkey. Binance advierte que, si pierdes la passkey, no podrás iniciar sesión, y pide desactivarlo antes de cambiar de celular, cambiar de cuenta de iCloud o reinstalar la app (Binance: la función «Must verify using passkey»). Eliminar una passkey también cuenta como cambio de seguridad: OKX restringe los retiros 24 horas cuando restableces una passkey o la eliminas sin verificar con otra passkey, y Bybit y KuCoin también incluyen «eliminar una passkey» entre los casos de restricción de retiros de 24 horas. Pionex, por su parte, indica que las passkeys se desactivan si abres el sitio en el navegador integrado de apps como Telegram o WeChat, así que debes usar un navegador normal o la app oficial.
¿Cómo se usa el código antiphishing?
El código antiphishing (Anti-Phishing Code) es un texto que configuras tú mismo; una vez configurado, los correos oficiales que envía el exchange lo incluyen. Cuando recibas un correo que dice venir del exchange, busca primero ese código: si no está o no coincide, no hagas clic en ningún enlace. Dónde aparece y cuántos caracteres admite cambia según el exchange:
- Binance: aparece en los correos y SMS oficiales; debe tener de 6 a 8 caracteres e incluir al menos tres tipos entre mayúsculas, minúsculas, números y guion bajo, sin símbolos especiales. En la versión web se configura en [Cuenta] → [Seguridad] → [Seguridad avanzada] (Binance: qué es el código antiphishing, actualizado el 2026-08-28).
- Bitget: aparece en la página de inicio de sesión, en los correos y en los SMS; se configura en «Centro de seguridad» → «Configuración avanzada» → «Código antiphishing» (Bitget: cómo configurar el código antiphishing).
- MEXC: solo indica que aparece en los correos oficiales; de 1 a 6 caracteres, sin símbolos especiales (MEXC: cómo configurar el código antiphishing).
- KuCoin: aparece en los correos y en la ventana de inicio de sesión (información de seguridad de cuenta de KuCoin).
- XT: va tanto en los correos como en los SMS, pero por ahora solo se puede configurar en la versión web, no en la app (XT: configurar o cambiar el código antiphishing).
- BingX: de 4 a 20 caracteres; se configura en los ajustes de seguridad avanzada (guía de seguridad de cuenta de BingX).
El código antiphishing sirve sobre todo para reconocer correos y SMS; no detiene las llamadas de falsos agentes de soporte. Bitget y KuCoin muestran el código en la página de inicio de sesión, así que si no lo ves al entrar, sospecha de la URL. Los demás exchanges solo lo muestran en correos o SMS, y si llegas a un sitio falso desde un anuncio del buscador, no tienes nada con qué comparar. Por eso, además de configurar el código antiphishing, lo mejor es guardar la URL oficial en favoritos y entrar siempre desde ahí.
¿Cómo se configura la lista blanca de retiros?
La lista blanca de retiros (Withdrawal Whitelist) es la última línea de defensa si te roban la cuenta: aunque el atacante logre iniciar sesión, solo puede enviar las monedas a las direcciones que agregaste antes. Pionex indica que, con la lista blanca activada, solo se puede retirar a las direcciones designadas y el sistema rechaza cualquier otra; las direcciones nuevas de la lista blanca solo se pueden usar después de 24 horas, y hasta las transferencias internas quedan sujetas a la lista blanca (Pionex: qué es la lista blanca de retiros).
Los tiempos de espera y la forma de desactivarla varían mucho entre exchanges:
- OKX: en la app, entra en «Activos» → «Retirar» → «Libreta de direcciones» → «Configuración de direcciones» y activa el «modo de lista de permitidas» (Allowlist). El «bloqueo de retiros a direcciones nuevas» es opcional; si lo activas, no puedes retirar a las direcciones recién agregadas durante 24 horas (OKX: cómo usar la lista de permitidas para retiros (app)).
- MEXC: con la «restricción de seguridad de lista blanca» activada, las direcciones nuevas deben esperar 24 horas; si la activas y luego la desactivas, también tienes que esperar 24 horas para poder retirar (MEXC: cómo ajustar la configuración de retiros).
- HTX: al activarla eliges cuándo entra en vigor; por ejemplo, si eliges «entra en vigor en 3 días», las direcciones nuevas deben esperar 3 días naturales. Acortar el plazo de entrada en vigor o desactivar la lista blanca requiere la revisión de un administrador de la plataforma, y HTX indica que tarda «desde unos minutos hasta varios días» (HTX: guía de la lista blanca de direcciones de retiro (app)).
- Binance: una vez activada, solo puedes retirar a direcciones de la lista blanca; modificarla (incluido agregar direcciones) puede suspender los retiros 24, 48 o 72 horas (Binance: gestión de la configuración de retiros).
- Bybit: la «lista blanca de direcciones de retiro» omite la verificación; además hay dos interruptores, «retirar solo a la libreta de direcciones» y «restricción de retiro a direcciones nuevas», y al desactivar este último los retiros quedan restringidos durante 24 horas (Bybit: cómo gestionar la seguridad de los retiros).
- Gate: si marcas «sin verificación» en una dirección de la lista blanca, al retirar ya no tienes que ingresar los códigos de SMS, correo y Google Authenticator ni la contraseña de fondos; cada red se configura por separado (Gate: cómo configurar la lista blanca de direcciones de retiro en la app).
Las direcciones sin verificación de Gate y Bybit son cómodas, pero hay que conocer lo que implican: si te roban la cuenta, retirar a esas direcciones no requiere código de verificación. Si en tu lista blanca solo tienes tu propia billetera fría o direcciones de depósito de otro exchange, el riesgo es bajo; lo que no debes hacer es marcar como «sin verificación» una dirección de origen desconocido. Si quieres limitar a dónde se puede retirar, en Bybit lo que debes activar es «retirar solo a la libreta de direcciones». Antes de retirar, confirma también que elegiste la red correcta; qué hacer si te equivocas de red lo explico en cómo recuperar un depósito enviado por la red equivocada.
¿Qué revisar en la gestión de dispositivos y las notificaciones de inicio de sesión?
Revisa con regularidad la lista de dispositivos con sesión iniciada y, si ves uno que no reconoces, cierra su sesión de inmediato. En OKX la ruta es «Centro de seguridad» → «Gestión de dispositivos», y la misma guía recomienda revocar en «Gestión de autorizaciones» las apps de terceros que ya no uses (OKX: guía para reforzar la seguridad de la cuenta). En la app de Pionex está en tu foto de perfil → «Configuración de seguridad» → «Dispositivos con sesión iniciada», y en la versión web en «Seguridad de la cuenta» → «Gestión de dispositivos de inicio de sesión» (Pionex: alertas de inicio de sesión inusual).
Una notificación de inicio de sesión no significa necesariamente que te robaron la cuenta. Pionex indica que envía una alerta cuando detecta una IP o un dispositivo nuevos, y que cambiar de Wi-Fi o activar una VPN puede provocarla; la ubicación que muestra la IP depende del proveedor de internet, así que es normal que no coincida con la ciudad donde realmente estás. Lo que de verdad debe preocuparte es una notificación a una hora en la que no hiciste nada, o un modelo de dispositivo que no reconoces. En ese caso, Pionex recomienda, en este orden, cambiar la contraseña de inicio de sesión, volver a vincular Google Authenticator, confirmar que tu correo registrado esté seguro y, si hace falta, contactar al soporte para congelar primero los retiros.
Bitget tiene además una restricción para dispositivos nuevos: después de que un dispositivo nuevo inicia sesión, sus funciones de pago y retiro quedan restringidas durante 1 hora, sin afectar a los dispositivos que ya usabas (Bitget: por qué se restringen los retiros). BingX ofrece un «bloqueo de cuenta» con un solo toque que puedes activar de inmediato si detectas un inicio de sesión, un retiro o un cambio de seguridad que no hiciste tú (BingX: código antiphishing, lista blanca de retiros y bloqueo de cuenta). Cómo desbloquear una cuenta bloqueada o congelada lo explico en qué hacer si tu cuenta del exchange está congelada.
¿Cómo configurar los permisos de las claves API de forma segura?
Las claves API permiten que herramientas de contabilidad, bots de trading o plataformas de copy trading operen tu cuenta directamente, sin iniciar sesión. En su explicación sobre cuentas comprometidas, Pionex indica que, si se filtra una clave API, la otra persona puede abrir órdenes e incluso retirar fondos sin iniciar sesión (Pionex: qué hacer si tu cuenta fue comprometida). Las reglas oficiales de algunos exchanges:
| Exchange | Regla oficial | Fuente |
|---|---|---|
| Binance | Para habilitar el permiso de retiro hay que agregar una restricción de acceso por IP; desde el 2023-01-30, las claves sin restricción de IP solo pueden tener permiso de lectura | Cómo crear claves API en Binance (actualizado el 2025-03-20) |
| OKX | Las claves sin IP vinculada que tienen permiso de trading o de retiro se eliminan automáticamente tras 14 días sin actividad; cada clave admite hasta 20 IP | Preguntas frecuentes sobre API (actualizado el 2026-09-28) |
| XT | Las claves nuevas solo tienen permiso de consulta por defecto; se recomienda vincular IP; hasta 10 claves por persona, y la clave privada se muestra una sola vez | Cómo crear una clave API (actualizado el 2026-08-01) |
| HTX | La lista blanca de retiros solo limita la app y la versión web; los usuarios de API no están sujetos a ella y siguen retirando a las direcciones definidas en la API | Guía de la lista blanca de direcciones de retiro (web) (2025-11-14) |
Fuente: centros de ayuda oficiales de cada exchange enlazados en la tabla, verificado el 2026-10-18.
La regla de HTX es la que más atención merece: la lista blanca puede frenar a quien te robe la cuenta, pero no a una clave API filtrada. Lo más prudente es no habilitar nunca el permiso de retiro en las claves que le das a herramientas de terceros, vincular una IP siempre que se pueda y eliminar las claves que ya no uses. Cómo evaluar las plataformas de copy trading y los bots que te piden una API lo explico en cómo detectar estafas de copy trading.
Comparativa de funciones de seguridad en 13 exchanges
En la tabla, «bloqueo de retiros» se refiere al tiempo de suspensión de retiros que cada exchange indica oficialmente después de cambiar la configuración de seguridad. Lo que activa el bloqueo no es exactamente igual en todos; los detalles están en las páginas de origen.
| Exchange | Tipos de 2FA | Passkey | Código antiphishing | Lista blanca de retiros | Bloqueo de retiros tras cambios |
|---|---|---|---|---|---|
| Binance | Passkey, app de autenticación, SMS, correo | Sí; se puede activar «Must verify using passkey» | Sí, correo y SMS | Modo de restricción; modificarla puede suspender retiros 24/48/72 horas | Hasta 48 horas tras restablecer el 2FA o cambiar el autenticador (fuente) |
| OKX | SMS, correo, app de autenticación, passkey | Sí; admite llaves de seguridad USB FIDO2 | Sí, correo | Modo de lista de permitidas; bloqueo de 24 horas para direcciones nuevas (opcional) | 24 horas tras cambiar la contraseña de inicio de sesión o el método de verificación (fuente) |
| Bybit | Correo, SMS, Google Authenticator, passkey | Sí | Sí, correo y SMS | La lista blanca omite la verificación; además, retiro solo a la libreta de direcciones y bloqueo de retiro a direcciones nuevas | 24 horas tras 9 tipos de acciones, como cambiar la contraseña, el teléfono, el correo, Google Authenticator o la contraseña de fondos, o eliminar una passkey (fuente) |
| Bitget | SMS, Google Authenticator, passkey | Sí; primero hay que vincular Google Authenticator | Sí, correo, SMS y página de inicio de sesión | Sí | 24 horas tras restablecer la contraseña, la contraseña de fondos o Google Authenticator, o cambiar el correo o el teléfono (fuente) |
| MEXC | Google Authenticator, SMS, correo, passkey | Sí | Sí, correo | Modo de restricción; las direcciones nuevas esperan 24 horas | Sin retiros ni transferencias durante 24 horas tras desvincular Google Authenticator (fuente) |
| Gate | SMS, Google Authenticator, correo, passkey | Sí; primero hay que activar dos métodos de verificación | Sí, correo | Direcciones sin verificación, configuradas por red | 24 horas tras vincular o desvincular teléfono, Google Authenticator o correo, o restablecer la contraseña de inicio de sesión o de fondos; no se puede levantar antes (fuente) |
| BingX | Teléfono, correo, Google Authenticator | Sí; según BingX, por ahora se usa para iniciar sesión | Sí, correo | Modo de restricción | 24 horas tras eliminar o cambiar un elemento de seguridad (fuente) |
| KuCoin | Teléfono, correo, verificación de Google, passkey | Sí | Sí, correo y ventana de inicio de sesión | Sí; retirar a la lista blanca solo pide la contraseña de trading | 24 horas tras 7 situaciones, como eliminar una passkey o cambiar la verificación de Google, la contraseña de trading, el teléfono o el correo (fuente) |
| HTX | Teléfono, correo, Google Authenticator, passkey | Sí, hasta 10 | Sí (página de configuración); dónde aparece no está indicado oficialmente | Modo de restricción; el usuario elige cuándo entra en vigor; desactivarla requiere revisión | 24 horas tras modificar un ajuste de seguridad en el Centro de seguridad (fuente) |
| XT | Verificación de Google, SMS, correo, passkey | Sí; admite llaves de seguridad USB/NFC | Sí, correo y SMS; solo se configura en la web | No indicado oficialmente | 24 horas para retiros y ventas C2C tras cambiar o desvincular la verificación (fuente) |
| WEEX | Teléfono, correo, Google Authenticator, passkey | Sí; admite llaves de seguridad físicas | Sí, correo | Gestión de direcciones; las direcciones nuevas requieren confirmación por correo | No indicado oficialmente |
| Pionex | Correo, SMS, Google Authenticator, passkey | Sí | No indicado oficialmente | Modo de restricción; las direcciones nuevas esperan 24 horas | 72 horas tras restablecer Google Authenticator (fuente) |
| Ourbit | Google Authenticator, correo | No indicado oficialmente | Sí, correo | No indicado oficialmente | 24 horas tras restablecer el código de Google Authenticator (fuente) |
Fuente: centros de ayuda oficiales y páginas de configuración de seguridad de cada exchange, verificado el 2026-10-18. Lo de WEEX se basa en su página oficial de configuración de seguridad y su guía de seguridad de cuenta; el código antiphishing de Ourbit, en su guía oficial de verificación; la lista blanca de Bitget, en su guía avanzada de seguridad de cuenta.
Con la tabla se puede calcular cuánto tendrías que esperar en el peor caso. Toma como ejemplo restablecer un Google Authenticator perdido: la revisión de Binance tarda hasta 24 horas y después los retiros quedan restringidos hasta 48 horas más, en total hasta 72 horas; Pionex completa la revisión en un plazo de 72 horas y luego prohíbe retirar otras 72 horas, en total hasta 144 horas, es decir, 6 días; OKX restringe los retiros 24 horas después del restablecimiento. Si en la lista blanca de HTX eliges «entra en vigor en 3 días», cada dirección nueva que agregues tarda 72 horas. Antes de cambiar de celular, viajar al extranjero o planear mover tus monedas, lo mejor es dejar una semana de margen.
¿Qué hacer si cambias de celular o pierdes el 2FA?
Mientras todavía tengas el celular anterior, resuelve todo antes de cambiar: vuelve a vincular el autenticador en el celular nuevo con la clave respaldada, o usa un código del autenticador anterior para «cambiar» el autenticador en el Centro de seguridad. Si activaste «Must verify using passkey» en Binance, desactívalo antes de cambiar de celular. Pionex indica que, mientras el celular nuevo tenga iniciada sesión con el mismo Apple ID o la misma cuenta de Google, las passkeys se sincronizan automáticamente; si después de sincronizar no funcionan, elimina la passkey anterior y crea una nueva.
Si ya perdiste el autenticador, sigue el proceso de restablecimiento por autoservicio de cada exchange. La entrada suele estar en la página de verificación al iniciar sesión:
| Exchange | Dónde se inicia | Qué necesitas | Tiempo de revisión | Restricción de retiros tras restablecer |
|---|---|---|---|---|
| Binance | En la página de verificación, «¿Verificación de seguridad no disponible?» → marca los elementos que no puedes usar → «Confirmar restablecimiento» | Otros métodos de verificación que todavía funcionen; si hace falta, un teléfono o correo nuevo | Hasta 24 horas | Hasta 48 horas, incluidas ventas C2C y transferencias internas |
| OKX | «Usar otro método de verificación» → «Restablecer la verificación en dos pasos» | Verificación facial si ya tienes la sesión iniciada | No indicado oficialmente | 24 horas, incluida la venta en C2C |
| Bybit | «Verificación de seguridad no disponible» → «Verificación de Google no disponible» | Código enviado al correo o teléfono registrado; si no te llega, solicitud manual | Solicitud manual: te contactan en un plazo de 1 a 3 días hábiles | 24 horas, incluido P2P |
| MEXC | App: «Restablecer verificación de seguridad» / web: «Elemento de seguridad perdido» | Código por correo, teléfono de contacto, foto sosteniendo tu documento, y responder fechas de inicio de sesión, regiones, pares de trading y activos | 1 día hábil | Sin retiros ni transferencias durante 24 horas |
| XT | «Elemento de verificación de seguridad no disponible» → «Confirmar restablecimiento» | Foto sosteniendo tu documento y una nota escrita a mano, más un video de tu historial de retiros en otra plataforma (hasta 50MB) | No indicado oficialmente; el resultado se avisa por correo | 24 horas, incluidas ventas P2P |
| Pionex | Página de inicio de sesión «¿Perdiste un elemento de verificación de seguridad?» → «Iniciar restablecimiento» | Mes y año de registro, apodo y pares de trading en los que usaste bots | En un plazo de 72 horas | 72 horas |
Fuente: Binance (actualizado el 2026-06-03), OKX (actualizado el 2026-08-25), Bybit (actualizado el 2025-11-25), MEXC, XT (actualizado el 2026-10-06), Pionex; verificado el 2026-10-18.
En KuCoin, la entrada es «Forgot password» → «Google Authenticator unavailable» en la página de inicio de sesión, y después del restablecimiento no puedes retirar durante 24 horas. Los procesos de OKX, MEXC y XT piden verificación facial o una foto sosteniendo tu documento, así que conviene completar la verificación de identidad con anticipación; el proceso de cada exchange está en guías KYC como verificación de identidad en Binance y verificación de identidad en OKX. Si el soporte te pide tu número de cuenta, basta con darle tu UID; qué es el UID lo explico en qué es el UID de un exchange.
¿Cuáles son las formas más comunes de robo de cuentas?
- Anuncios en buscadores y sitios falsos: los consejos de seguridad de XT indican que no hagas clic en enlaces de anuncios del buscador, comentarios en redes sociales ni mensajes de desconocidos, y que entres solo desde el sitio oficial o las tiendas de apps oficiales. Los sitios falsos copian la página de inicio de sesión para que ingreses tu contraseña y tus códigos de verificación.
- Falso soporte y control remoto: alguien que dice ser del soporte te pide instalar programas como TeamViewer o AnyDesk para «ayudarte con la cuenta». Pionex indica que su soporte nunca te pedirá instalar software de acceso remoto; si lo hiciste, considera que el dispositivo está comprometido.
- Secuestro de SIM: el atacante se hace pasar por ti para obtener un duplicado de tu tarjeta SIM y recibir tus códigos por SMS. Bitget y WEEX usan este motivo para recomendar una app de autenticación en lugar del SMS.
- Apps no oficiales: Pionex menciona descargar APK de fuentes no oficiales como una de las causas más comunes de cuentas comprometidas.
- Pedirte códigos de verificación: HTX indica que nunca te pedirá la contraseña, los códigos de verificación por SMS o correo ni el código de Google Authenticator (HTX: cómo reforzar la seguridad de la cuenta), y XT también indica que no pide contraseñas, claves privadas ni códigos 2FA. Quien te pida leer en voz alta un código, mandar una captura de pantalla o compartir tu pantalla te está estafando.
Para confirmar si una llamada, un correo o una URL son oficiales, puedes usar la herramienta de verificación oficial de cada exchange; XT y Ourbit, por ejemplo, tienen canales de verificación oficiales. Si estás en Taiwán y recibes una llamada o un mensaje sospechoso, puedes llamar a la línea antifraude 165 (165 反詐騙專線) para verificarlo. Reuní más métodos en tipos de estafas con exchanges, y si te piden pagar antes de poder retirar, revisa estafas de retiro en exchanges falsos.
Para recibir reembolsos tampoco hace falta entregar ningún dato de verificación. En los exchanges donde te registras con los códigos de referido de este sitio, el propio exchange paga el reembolso de forma automática según la relación de referido. Por ejemplo, con el código de referido de Binance KEVINWU, el reembolso automático del exchange es actualmente de 20% (actualizado el 2026-10-24); todos están reunidos en códigos de referido de exchanges cripto. Bybit no tiene un reembolso automático del exchange que aplique a este sitio, así que tienes que vincular tu UID a través de Fee Otter. Este reembolso adicional lo paga Fee Otter, no el exchange ni Kevin Wu, y el porcentaje es el que indique la página de Fee Otter; los detalles están en reembolso de comisiones de Bybit: Fee Otter. Si un sitio de reembolsos te pide tu contraseña, tus códigos de verificación o tus claves API, no se los des; reuní las señales de alerta en señales de alerta de estafas con reembolsos.
Preguntas frecuentes
¿Qué es más seguro para el 2FA de un exchange, el SMS o Google Authenticator?
Una app de autenticación como Google Authenticator es más segura que el SMS, y una passkey es todavía mejor. Bitget advierte oficialmente que la verificación por SMS puede filtrarse si secuestran tu tarjeta SIM, y Binance y XT también recomiendan reemplazar el SMS con una passkey o una app de autenticación. Si usas una app de autenticación, respalda la clave en el momento de vincularla.
¿Dónde aparece el código antiphishing?
El código antiphishing aparece sobre todo en los correos oficiales que envía el exchange. Binance, Bybit y XT indican que también va en los SMS; Bitget además lo muestra en la página de inicio de sesión, y KuCoin en la ventana de inicio de sesión. MEXC solo indica que aparece en los correos. Si recibes un «correo oficial» sin tu código antiphishing, no hagas clic en ningún enlace.
¿Por qué no puedo retirar después de cambiar la configuración de seguridad?
Es un mecanismo de protección del exchange que le da tiempo al verdadero titular para reaccionar si le roban la cuenta. 10 exchanges, entre ellos OKX, Bybit, Gate y KuCoin, indican 24 horas; Binance, hasta 48 horas después de restablecer el 2FA, y Pionex, 72 horas después de restablecer Google Authenticator. Gate indica que esta restricción no se puede levantar antes; solo queda esperar a que pase el plazo.
¿En qué se diferencian la lista blanca de retiros y la libreta de direcciones?
La libreta de direcciones solo guarda las direcciones que usas seguido y no limita a dónde puedes retirar; con la lista blanca activada, solo puedes retirar a las direcciones de la lista. Pionex las separa en dos pestañas. Ten en cuenta que en Gate y Bybit la lista blanca se orienta a omitir verificaciones: al retirar a una dirección de la lista, puedes saltarte los códigos de verificación. En Bybit, para limitar a dónde se puede retirar, hay que activar «retirar solo a la libreta de direcciones».
¿Qué debo hacer antes de cambiar de celular?
Antes de cambiar de celular, pasa primero el autenticador al teléfono nuevo y después ocúpate de las passkeys. Si respaldaste la clave, ingrésala en el celular nuevo para volver a vincular; si no la respaldaste, «cambia» el autenticador en el Centro de seguridad mientras el celular anterior todavía funcione. Si activaste «Must verify using passkey» en Binance, Binance pide desactivarlo antes de cambiar de celular; si no, es posible que no puedas iniciar sesión.
Si pierdo Google Authenticator, ¿cuánto tarda en volver a habilitarse el retiro?
Depende del exchange: OKX restringe los retiros 24 horas después del restablecimiento, Binance hasta 72 horas y Pionex hasta 6 días. El tiempo de revisión de OKX no está indicado oficialmente. La revisión de Binance tarda hasta 24 horas, más una restricción de retiros de hasta 48 horas después del restablecimiento; Pionex revisa en un plazo de 72 horas y luego prohíbe retirar otras 72 horas. MEXC revisa en 1 día hábil y después no permite retirar durante 24 horas.
¿Es seguro darle una clave API a un bot o a una herramienta de contabilidad?
El riesgo solo es controlable si habilitas el permiso de lectura o de trading, sin el de retiro, y vinculas una IP. Binance exige una restricción de IP para habilitar el permiso de retiro, y OKX elimina automáticamente las claves con permiso de trading o de retiro que no tienen IP vinculada y llevan 14 días sin usarse. La lista blanca de retiros de HTX no limita los retiros por API, así que con más razón no hay que habilitar el permiso de retiro a la ligera.
¿Qué hago si pierdo mi passkey?
Si pierdes tu passkey, inicia sesión con otro método de verificación que tengas vinculado, y luego elimina la passkey anterior y crea una nueva. Pionex indica que en la página de verificación puedes elegir «verificar de otra forma», y que para eliminarla se completa la verificación de seguridad con los métodos vinculados a tu cuenta. Después de eliminarla, OKX, Bybit y KuCoin restringen los retiros durante 24 horas; si activaste «Must verify using passkey» en Binance, tendrás que pasar por el proceso de restablecimiento del 2FA.
Si tu cuenta muestra actividad anormal, queda restringida o congelada, revisa qué hacer si tu cuenta del exchange está congelada; los hackeos que han sufrido los propios exchanges están reunidos en historial de seguridad de los exchanges. Las condiciones y reglas de acreditación antes de retirar están en condiciones de depósitos y retiros explicadas, y la comparación de comisiones de retiro de USDT de cada exchange, en comparación de comisiones de retiro de USDT.