Riesgos de privacidad de los rastreadores de carteras de criptomonedas y claves API de exchanges: una lista práctica de seguridad
Un rastreador de carteras puede ahorrarte tiempo al reunir en un solo lugar los saldos y el historial de transacciones de varios exchanges. Pero esa comodidad también crea otro lugar donde hay que proteger los datos financieros y el acceso a las cuentas. Antes de conectar nada, decide qué necesita el rastreador, limita cada clave API a ese propósito y asegúrate de saber cómo revocar el acceso.
Los riesgos dependen del rastreador, del exchange y de los permisos que concedas. Incluso el acceso de solo lectura puede revelar saldos, activos en cartera e historial de transacciones. Trata cada conexión como una decisión de compartir datos concretos, no como un atajo inofensivo. Por eso, conviene entender cómo proteger la privacidad al usar rastreadores de criptomonedas antes de vincular una cuenta.
Antes de conectar: decide qué necesita realmente el rastreador
Empieza por definir para qué lo necesitas. Si solo quieres consultar una vez al mes un resumen de tus activos, quizá baste con introducir los datos manualmente. Una hoja de cálculo con el activo, la cantidad, el exchange y la fecha puede servir para ese propósito sin dar acceso a tu cuenta a un servicio externo.
Introducir los datos manualmente requiere más trabajo, sobre todo si haces operaciones con frecuencia. Pero también te permite controlar qué queda registrado. Puedes anotar los saldos una vez a la semana y omitir los depósitos o las transacciones que no sean relevantes para tu seguimiento personal.
Si necesitas actualizaciones automáticas, comprueba si el rastreador admite el acceso de solo lectura. Una clave API de solo lectura puede permitirle consultar saldos o registros de transacciones sin realizar operaciones, aunque los nombres exactos de los permisos varían según el exchange. Consulta la pantalla de permisos del exchange en lugar de confiar únicamente en la descripción del rastreador, y verifica que la configuración ofrezca permisos seguros para claves API de exchanges.
Piensa en qué información puede deducir el rastreador a partir de los datos que recibe. El historial de depósitos, retiros y operaciones puede revelar cuándo usas un exchange y cómo cambia tu cartera. Los riesgos de privacidad de los rastreadores de carteras de criptomonedas y las claves API de exchanges son dos cuestiones relacionadas: los datos que recopila el rastreador y el acceso que se concede mediante la clave.
Antes de crear una clave, haz una lista breve de las funciones que piensas utilizar. Si solo necesitas consultar saldos, no actives el historial de transacciones, a menos que el rastreador lo exija y aceptes compartir esa información adicional. Si no puede explicar por qué necesita un permiso, detente y consulta a su equipo de soporte antes de conectar la cuenta.
Antes de conectar: revisa los permisos de la clave API
En los paneles de los exchanges, los permisos de la API suelen aparecer como casillas o interruptores. Las etiquetas varían, así que revisa cada opción con atención. Para un rastreador de carteras, por lo general deberían estar desactivadas las operaciones, los retiros, las transferencias internas y otras funciones de gestión de la cuenta, salvo que haya un motivo específico y verificado para activarlas.
Busca permisos relacionados con la creación o cancelación de órdenes, el movimiento de fondos, los cambios en la configuración de la cuenta o la gestión de otras claves API. Un rastreador que solo informa sobre la cartera no debería necesitar esas funciones. Si el exchange ofrece una opción independiente de solo lectura, selecciónala y confirma que el acceso a operaciones y retiros esté desactivado.
Algunos exchanges también permiten restringir una clave API por dirección IP. Esta medida puede ser útil si el rastreador publica un rango de IP fijo y el exchange permite crear una lista de direcciones autorizadas, pero no adivines ni introduzcas una dirección copiada de una fuente no oficial. Si las instrucciones del rastreador no están claras, no uses esa opción hasta poder verificar los detalles.
Comprueba los permisos de la clave después de crearla, no solo durante la configuración. Guarda un registro de los permisos y de la fecha en que los revisaste; es más seguro dejar una nota breve en un gestor de contraseñas que guardar una captura de pantalla en una galería de fotos general.
Para reforzar la seguridad general de tu cuenta, compara tu configuración con esta lista de verificación de seguridad para exchanges de criptomonedas. La idea es sencilla: una conexión con un rastreador no debería tener más permisos de los que necesita para cumplir su función.
Durante la configuración: limita las cuentas y los datos que compartes
Conecta solo los exchanges, las subcuentas y las carteras que realmente quieras controlar. Si tu exchange separa tus inversiones a largo plazo de las operaciones activas, conectar únicamente la subcuenta de largo plazo puede reducir la cantidad de actividad que recibe el rastreador.
Antes de importar una cartera, confirma que el rastreador solo necesita la dirección pública o una conexión de solo lectura, y no la frase semilla ni la clave privada. Nunca introduzcas la frase semilla de una cartera en un rastreador. Un servicio que te la pide está solicitando el control de la cartera, no simplemente permiso para mostrar los saldos. Entender los riesgos de conectar una cartera cripto a un rastreador también implica distinguir entre compartir una dirección pública y entregar credenciales que permiten controlar los fondos.
Revisa las opciones de importación antes de autorizar la carga del historial completo de transacciones. Quizá puedas establecer un intervalo de fechas, seleccionar activos concretos o desactivar ciertas categorías de datos. Si solo necesitas consultar el saldo actual, evita importar años de actividad irrelevante solo porque esa opción viene activada por defecto.
Antes de terminar la configuración, comprueba el nombre de la cuenta que aparece en el rastreador. Es fácil conectar una cuenta personal cuando querías conectar una subcuenta empresarial, o vincular una cuenta del exchange con actividad que no tenías previsto compartir. Una comprobación cuidadosa puede evitar una exportación de datos innecesaria.
Siempre que sea posible, utiliza una subcuenta específica del exchange para el seguimiento. Limita sus permisos y activos al propósito que hayas elegido, y no añadas cuentas solo porque el rastreador permita conectarlas con un solo clic.
Después de la configuración: protege las claves y las cuentas
Guarda las claves API y sus secretos en un gestor de contraseñas de confianza. Identifica la entrada con el nombre del exchange, el rastreador y la fecha de creación; después, anota los permisos concedidos. Es más fácil revisar y actualizar la información en un gestor de contraseñas que en un conjunto disperso de notas.
No guardes claves en notas de texto sin cifrar, borradores de correo, mensajes de chat ni capturas de pantalla. Esos archivos pueden sincronizarse con otros dispositivos o servicios en la nube, donde quizá tengan acceso más personas del que imaginas. Si ya has capturado una clave en una captura de pantalla, bórrala del dispositivo y revisa también las carpetas sincronizadas o de elementos eliminados recientemente.
Protege el dispositivo que utilizas para gestionar el acceso al exchange. Activa el bloqueo de pantalla, instala las actualizaciones del sistema operativo y evita crear o cambiar claves en un ordenador compartido. Si pierdes un dispositivo, considera que cualquier clave guardada podría estar expuesta hasta que puedas revocarla desde el exchange.
Activa la autenticación multifactor tanto en el exchange como en la cuenta del rastreador, si está disponible. Cuando sea posible, prefiere una aplicación de autenticación o una llave de seguridad física, y guarda los códigos de recuperación en un lugar separado del dispositivo que protegen. Una contraseña por sí sola quizá no baste para detener a alguien que la consiga mediante phishing o a través de un dispositivo comprometido.
Utiliza una contraseña distinta para cada servicio. Si el rastreador ofrece alertas de inicio de sesión o una lista de sesiones activas, activa las alertas y revisa la lista después de configurarlo. La seguridad de la cuenta importa incluso si la clave API no permite operar, porque alguien que acceda a tu cuenta del rastreador podría ver los detalles de tu cartera.
Durante el seguimiento: vigila la actividad inesperada de las claves
Revisa de vez en cuando la página de gestión de API del exchange. Comprueba el nombre de la clave, sus permisos, la información sobre el último uso y las restricciones de IP. Una fecha u hora que no reconozcas, o un cambio de permisos, merece atención, aunque el saldo no parezca haber cambiado.
- Busca claves API que no reconozcas, incluidas las claves de prueba antiguas.
- Confirma que las operaciones, los retiros y las transferencias sigan desactivados.
- Revisa las alertas del exchange sobre nuevos accesos a la API o cambios en la configuración de seguridad.
- Consulta el historial de inicio de sesión del rastreador y cierra las sesiones que no reconozcas.
- Compara los saldos mostrados con los del exchange si las cifras no coinciden.
No des por hecho que el panel del rastreador ofrece un registro de seguridad completo. Consulta directamente en el exchange la actividad de la API y las alertas de la cuenta. Si el exchange muestra que una clave se ha utilizado desde una ubicación inesperada o en un horario que no reconoces, revócala primero e investiga después.
Presta atención también a las solicitudes del personal de soporte. Un equipo de soporte legítimo no debería pedirte la clave secreta de la API, la contraseña ni el código de autenticación por mensaje. Comparte el nombre de la clave o una captura censurada solo si es necesario; elimina los identificadores de la cuenta y los valores secretos antes de enviar cualquier información.
Cuando algo cambia: revoca y sustituye el acceso de forma segura
Revoca la clave API si pierdes un teléfono o un ordenador que contiene el secreto, si sospechas que alguien ha accedido a tu cuenta del rastreador o si el exchange informa de actividad inusual. Ve primero a la configuración de API del exchange, desactiva o elimina la clave y comprueba que su estado figure como revocada o inactiva.
Si sospechas que la cuenta se ha visto comprometida, protege también el inicio de sesión del exchange: cambia la contraseña, revisa la autenticación multifactor, cierra las sesiones que no reconozcas y contacta con el exchange a través de su canal de soporte oficial. Si pudieran haberse visto afectados los fondos o la configuración de la cuenta, sigue el procedimiento del exchange para gestionar incidentes en lugar de confiar en que el rastreador lo resuelva.
Si cambias de rastreador, revoca la clave del servicio anterior antes de crear otra. No dejes ambas claves activas «por si acaso». Después de crear la nueva, confirma sus permisos y conecta únicamente los datos de la cuenta que necesitas.
Cuando cambie la configuración de tu cuenta del exchange —por ejemplo, si creas una nueva estructura de subcuentas o restableces la seguridad—, revisa todas las claves API existentes. Puede que algunas ya no sean necesarias y que los permisos elegidos anteriormente no se ajusten a la nueva configuración. Lleva un registro sencillo de las claves en el gestor de contraseñas para identificar el rastreador asociado a cada una.
Después de revocar una clave, vuelve a consultar el exchange para confirmar que ya no está activa. Eliminar la conexión desde el rastreador no siempre revoca la clave del exchange: son acciones distintas y quizá debas realizar ambas.
Antes de elegir un rastreador o dejar de usarlo: pon a prueba tu plan de salida
Antes de registrarte, averigua cómo desconectar una cuenta del exchange y qué sucede después con las credenciales guardadas. El botón «Desconectar» puede detener las sincronizaciones futuras sin eliminar los datos que el servicio ya conserva. Revisa la configuración y la documentación actuales del rastreador; las opciones de eliminación y los periodos de conservación pueden cambiar, así que verifica la información directamente.
Prueba la función de exportación antes de depender del rastreador como único registro. Si es posible, exporta una pequeña muestra y comprueba que las fechas, los nombres de los activos y los tipos de transacción aparezcan en un formato útil. Guarda los registros importantes en un lugar seguro que controles, en vez de depender de que puedas seguir accediendo a una sola cuenta del rastreador.
Al dejar de usar el servicio, exporta los registros que necesites, desconecta cada exchange y cartera y, después, revoca en los exchanges las claves API correspondientes. Revisa la configuración de la cuenta del rastreador para comprobar si debes solicitar la eliminación por separado y guarda cualquier confirmación que recibas. Si el servicio no aclara si elimina las credenciales o los datos de transacciones, pide una respuesta clara al equipo de soporte antes de cerrar la cuenta.
Por último, vuelve a consultar la página de API del exchange después de eliminar la conexión con el rastreador. Confirma que todas las claves asociadas a ese servicio estén inactivas; una clave antigua de solo lectura puede seguir exponiendo datos de la cuenta si continúa activa.
