Estafas cripto en 2026: cómo funcionan, qué muestran los datos y qué hacer después de caer en una

Las estafas son una de las mayores fuentes de pérdidas en cripto. El informe de 2025 del FBI cuenta 181.565 denuncias relacionadas con cripto y 11.400 millones de dólares en pérdidas solo en Estados Unidos, y Chainalysis estima que en 2025 se robaron 17.000 millones de dólares en estafas cripto en todo el mundo. Esta guía explica, a partir de esas fuentes primarias y de un estudio revisado por pares, cómo funcionan los principales tipos de estafa, qué señales de alerta se repiten, cómo reducir el riesgo y qué hacer en las primeras horas si el dinero ya se ha ido. A propósito no recomendamos ningún servicio de «recuperación de fondos», porque las estafas de recuperación son en sí una categoría en los datos del FBI.

Las cifras y qué mide cada una

Dos cautelas al leerlas. Primera: las cifras del FBI proceden de quienes presentaron una denuncia, así que subestiman, y se refieren solo a Estados Unidos. Segunda: Chainalysis cuenta lo que puede vincular on-chain con actividad de estafa y revisa la estimación al alza a medida que etiqueta más direcciones. Por ejemplo, para 2024 informó primero 9.900 millones y ahora sitúa ese año en unos 12.000. Ninguna es un recuento exacto de víctimas. Coinciden en la dirección: las pérdidas por estafas subieron en 2025.

El patrón por edad en los datos del FBI es contundente. De los 11.400 millones, las personas de 60 años o más denunciaron 4.430 millones, más que cualquier otro grupo. En el fraude de inversión en cripto, el grupo de 60 o más denunció 2.760 millones en 13.685 denuncias, y en las estafas con cajeros cripto ese grupo suma 257 millones de 389.

Cómo funcionan las principales estafas

1. Estafas de inversión, «pig butchering» y plataformas falsas

El FBI las describe como estafas sofisticadas de larga duración que se apoyan en la manipulación psicológica y en la apariencia de legitimidad, «perpetradas en gran medida por organizaciones criminales con base en el sudeste asiático que usan a víctimas de trata de personas como trabajo forzoso para gestionar las operaciones de estafa». El patrón que describe, paso a paso:

1. El contacto empieza por mensajes de texto, redes sociales, anuncios o apps de citas y pasa rápido a una plataforma de mensajería.
2. Se introduce a la víctima en un grupo de inversión que se presenta como experto del sector y ofrece consejos para operar o invertir en criptomonedas o en oro.
3. Se anima a la víctima a enviar cripto a una plataforma o app de inversión falsa que muestra beneficios falsos, y puede ofrecérsele un préstamo para invertir más.
4. Cuando la víctima intenta retirar, se le cobran «impuestos y comisiones» como último intento de sacarle dinero, y luego los estafadores desaparecen.

Chainalysis añade que estafas antes distintas están convergiendo: muchas estafas de inversión incluyen ahora suplantación, ingeniería social y trucos dirigidos a wallets. También señala que, en 2025, el pago medio a estafas que rastrea pasó de 782 a 2.764 dólares, un 253 % más. Su análisis on-chain vincula la actividad de pig butchering con redes de Asia oriental y sudoriental, y observó desde alrededor de 2022 una caída de actividad durante los siete días festivos del Año Nuevo chino, que interpreta como indicio del papel central de los operadores de la región. Un caso importante que cita son los cargos del Departamento de Justicia de EE. UU. contra el presidente del Prince Group por presuntos centros de estafa con trabajo forzoso en Camboya, junto con acciones para incautar más de 15.000 millones de dólares en ganancias. Son acusaciones en un caso que, como señala la propia Chainalysis, ha tropezado con complicaciones jurisdiccionales.

2. Suplantación: bancos, autoridades y «soporte» de exchanges

Chainalysis informa de que las estafas de suplantación crecieron más de un 1.400 % en 2025, con el pago medio a estas estafas subiendo más de un 600 %. Dos ejemplos que describe muestran el abanico. Una campaña de phishing que imitaba a operadores de peajes fue descrita, en una demanda presentada por Google en noviembre de 2025, como obra de una red con base en China que usa software de phishing como servicio y, según esa demanda, habría llegado a más de un millón de personas en al menos 121 países. Por separado, un hombre fue acusado en Brooklyn de hacerse pasar por el servicio de atención al cliente de un exchange para convencer a usuarios de que movieran sus activos a wallets «seguras» controladas por los estafadores, en un caso que la fiscalía del distrito de Brooklyn cifró en casi 16 millones de dólares. Ambos son descritos por las fuentes como acusaciones o cargos.

El mecanismo común es urgencia más autoridad: un mensaje dice que tu cuenta está comprometida, que un peaje está vencido o que una transacción es sospechosa, y ofrece una acción «segura» que mueve dinero al atacante. Un exchange o un banco reales no te piden transferir fondos a una nueva «wallet segura» ni te piden la frase semilla.

3. Address poisoning

El address poisoning explota algo corriente: las direcciones en cadenas como Ethereum son cadenas hexadecimales de 40 caracteres que nadie memoriza, así que la gente copia una dirección de su historial de transacciones. Un estudio de la Carnegie Mellon University presentado en el USENIX Security Symposium 2025 describe cómo el atacante genera primero direcciones «gemelas» parecidas a una que la víctima ha usado y luego interactúa con la víctima para «envenenar» su historial, con la esperanza de que la víctima envíe tokens a la gemela por error. A lo largo de dos años en Ethereum y BNB Smart Chain, los investigadores identificaron 270 millones de intentos de ataque on-chain dirigidos a 17 millones de víctimas, con 6.633 incidentes que causaron al menos 83,8 millones de dólares en pérdidas. Es la medición de los investigadores sobre incidentes confirmados, y el total real puede ser mayor o menor.

La defensa se deduce del mecanismo: no confíes nunca en el principio y el final de una dirección y no copies una dirección del historial sin comprobarla entera.

4. Estafas con cajeros cripto

En los datos del FBI, las denuncias sobre cajeros y quioscos cripto subieron un 23 % y las pérdidas un 58 % en 2025, hasta 389 millones de dólares, de los cuales 257 millones los denunciaron mayores de 60 años. Chainalysis señala que los fondos que parten de cajeros cripto de EE. UU. fluyen con frecuencia a wallets vinculadas a redes de blanqueo con base en el sudeste asiático, y que a las víctimas suele decírseles que conviertan efectivo en cripto en un quiosco y lo envíen después. El FBI ha publicado avisos sobre esquemas que usan cajeros cripto y códigos QR para cobrar el pago. Una petición de meter efectivo en un cajero cripto, sea cual sea el motivo declarado, es una señal de alerta.

5. Estafas de recuperación

Tras una pérdida, las víctimas suelen ser contactadas de nuevo. El FBI informa de 10.516 denuncias de estafas de recuperación con 1.400 millones de dólares en pérdidas, un aumento de las denuncias que señalan suplantación de funcionarios y de empresas de recuperación, y un patrón de bufetes ficticios que se dirigen a víctimas de estafas cripto. Su nota sobre la cifra importa: las pérdidas «pueden incluir también pérdidas sufridas en estafas anteriores que motivaron el contacto con la empresa de recuperación». La lección es que quien te contacta sin que lo hayas buscado ofreciendo devolverte tu dinero, sobre todo a cambio de un pago por adelantado, es más probablemente un segundo estafador que un rescatador.

6. Malware y kits de phishing

Chainalysis señala el malware «stealer» y los troyanos de acceso remoto que usan los estafadores para vaciar cuentas sin una larga conversación con la víctima: basta «un clic». También describe lo baratas que son las herramientas: un vendedor de kits de phishing que menciona ofrecía paquetes por apenas entre 20 y 50 dólares en criptomoneda, y sin embargo las campañas alcanzaron a muchísimas víctimas. Sus datos indican que las estafas con kits de phishing rinden mucho más por estafa que las ordinarias. Añadimos un punto propio: cuanto más barato el kit, mayor el volumen de mensajes falsos que verás, así que trata cualquier enlace, adjunto o mensaje de «soporte» inesperado como no fiable por defecto.

7. Estafas potenciadas por IA

Chainalysis analizó estafas con vínculos on-chain a proveedores de herramientas de IA, como software de intercambio de rostros y tecnología deepfake. Esas estafas extrajeron de media 3,2 millones de dólares por operación, frente a 719.000 en las que no tienen tales vínculos, 4,5 veces más. La firma también señala que solo puede ver las herramientas de IA compradas on-chain, así que es una indicación y no un recuento de todo el uso de IA. La consecuencia práctica: una videollamada o un mensaje de voz ya no son prueba de identidad.

Señales de alerta que se repiten en varios tipos de estafa

• Contacto no solicitado que pasa rápido a una app de mensajería privada. Es el primer paso en la descripción del FBI de las estafas de inversión.
• Una rentabilidad garantizada o inusualmente regular, o un «grupo de expertos» con capturas de beneficios.
• Una plataforma o app que no encuentras en una tienda oficial ni en el registro de un regulador, que muestra beneficios que no puedes retirar.
• La exigencia de comisiones o impuestos antes del retiro. El FBI la señala como última fase de la estafa.
• Urgencia y autoridad: un mensaje dice ser tu banco, tu exchange o un organismo público y presiona para actuar de inmediato.
• La petición de usar un cajero cripto o de enviar cripto a una wallet «segura» o «de verificación».
• La petición de tu frase semilla, tu clave privada o acceso remoto a tu dispositivo. Ningún servicio legítimo lo necesita.
• Una oferta no solicitada de recuperar fondos perdidos.

Cómo reducir el riesgo

Esta sección es una orientación general extraída de los mecanismos descritos, no una garantía.

1. Comprueba si una empresa está autorizada. En la UE, los proveedores de servicios cripto deben estar autorizados conforme a MiCA y la ESMA publica un registro; consulta nuestra guía de cumplimiento de MiCA. En el Reino Unido, las páginas ScamSmart de la FCA ayudan a comprobar empresas y leer sus avisos. Una autorización no hace seguras las inversiones, pero su ausencia es una señal de alerta seria.
2. No hagas clic en enlaces de mensajes. Abre tú la app del exchange o del banco o escribe la dirección. Una alerta de fraude real será visible dentro de tu cuenta.
3. No compartas nunca una frase semilla o clave privada. Ni con el «soporte», ni con un «asesor», ni para «verificación». Nuestra guía de hardware wallets explica cómo mantener las claves sin conexión y cómo comprar el dispositivo con seguridad, algo que el reciente caso Ledger mostró que importa: consulta nuestra reconstrucción.
4. Comprueba cada carácter de una dirección antes de enviar, no solo el principio y el final, y envía primero una pequeña cantidad de prueba a destinatarios nuevos. Guarda las direcciones de confianza en la libreta de direcciones de tu wallet en lugar de copiarlas del historial.
5. Usa correos separados, contraseñas fuertes y únicas y autenticación en dos pasos en las cuentas de exchange, prefiriendo app o llave física a SMS donde se ofrezca.
6. Frena. Toda estafa en la descripción del FBI depende de que actúes antes de pensar. Un día de espera no cuesta nada si la oportunidad es real.
7. Habla con alguien. La Operation Level Up del FBI avisa a víctimas de fraude de inversión en cripto de que están siendo estafadas; en 2025 avisó a 3.780 víctimas, y el FBI informa de que el 78 % de ellas no sabía que la estaban estafando. Un segundo par de ojos ayuda.
8. Recuerda que ni los grandes exchanges son inmunes. El reciente incidente de Binance, tratado en nuestra investigación, es un recordatorio de dejar en cualquier plataforma solo lo necesario y de esperar que los estafadores exploten noticias así con falsos mensajes de «recuperación» o «verificación».

Una lista de comprobación antes de depositar en cualquier sitio

Estas preguntas se derivan de los mecanismos anteriores. Si no puedes responder a todas, espera.

1. ¿Quién contactó con quién? Si un desconocido o un contacto nuevo en línea te presentó la plataforma, es la jugada de apertura que describe el FBI.
2. ¿Está la empresa en el registro de un regulador, y coincide exactamente la dirección web con la del registro? Los dominios gemelos son una herramienta estándar de la suplantación.
3. ¿Puedes retirar primero una pequeña cantidad, sin pagar ninguna comisión, antes de depositar más? Una plataforma que deja retirar pequeñas cantidades y luego bloquea las grandes sigue siendo una estafa. El FBI dice que a las víctimas se les muestran beneficios falsos para fomentar inversiones mayores.
4. ¿Alguien te promete una rentabilidad? Una rentabilidad garantizada o inusualmente regular de una inversión en cripto no es creíble.
5. ¿Va el dinero a una dirección de una empresa regulada o a una wallet que te dio el «asesor»? Lo segundo debería detenerte.
6. ¿Te están metiendo prisa o te dicen que mantengas la inversión en secreto ante la familia? Ambas son tácticas de presión.
7. ¿Lo harías igualmente si esa persona desapareciera? Si la respuesta depende de la guía de un solo individuo, el riesgo está en ese individuo.

Si alguien cercano está siendo estafado

La Operation Level Up del FBI halló que el 78 % de las víctimas avisadas en 2025 no sabía que la estaban estafando. Esa es la principal dificultad cuando hay un familiar o amigo de por medio: puede defender al estafador. Algunos puntos que se derivan de lo que describe el FBI:

• Haz preguntas en vez de acusar. «¿Puedes retirar una pequeña cantidad hoy?» se oye mejor que «esto es una estafa».
• Señala el patrón, no a la persona. Beneficios falsos, exigencia de comisiones para liberar fondos y presión para invertir más son los pasos de la descripción del FBI. Si tu familiar los reconoce, ayuda.
• Pídele que no envíe nada más mientras lo miráis juntos, y que no pague ninguna «comisión de liberación».
• Ayúdale a conservar pruebas y a denunciar, aunque aún no esté convencido. La denuncia puede llevar a que los investigadores se pongan en contacto.
• Espera vergüenza. Las víctimas de estafas suelen ocultar sus pérdidas, y esas mismas personas son abordadas luego por estafadores de recuperación.

Si te han estafado: las primeras horas

La rapidez importa, pero también no empeorar las cosas.

1. Deja de enviar dinero. Las peticiones de «impuestos», «comisiones» o pagos de «desbloqueo» forman parte de la estafa, según el FBI. No pagues nada para que liberen tus fondos.
2. Conserva las pruebas. Guarda los hashes de las transacciones y las direcciones a las que enviaste, capturas de chats y sitios web, nombres de usuario, números de teléfono, fechas e importes. No borres cuentas ni conversaciones.
3. Contacta de inmediato con la plataforma desde la que enviaste. Si pagaste desde un exchange o un proveedor de pagos, denuncia el fraude y facilita los datos de las transacciones. Los fondos que aún están en una plataforma a veces pueden congelarse. Los grandes incidentes recientes muestran que el congelamiento puede producirse en horas cuando emisores y exchanges cooperan, por ejemplo, los emisores de stablecoins congelaron miles de millones tras el robo a Binance, pero esos casos implicaban a las fuerzas del orden y sumas enormes. Para una víctima individual las perspectivas suelen ser mucho menores, y actuar pronto es lo que da alguna posibilidad.
4. Cambia las contraseñas y protege los dispositivos si compartiste credenciales o instalaste software a petición del estafador. Si revelaste una frase de recuperación, mueve los fondos restantes a una wallet nueva con una frase semilla nueva generada en un dispositivo limpio.
5. Denuncia ante las autoridades. En Estados Unidos, presenta una denuncia en el Internet Crime Complaint Center del FBI. En otros países, denuncia a la policía nacional y al supervisor financiero o a la autoridad de consumo de tu país. En el Reino Unido, las páginas ScamSmart de la FCA explican cómo denunciar y comprobar empresas. Las reglas y organismos de denuncia difieren según el país, así que consulta la página oficial de tu autoridad.
6. Ojo con las estafas de recuperación. Quien te contacte ofreciendo devolverte tu dinero, sobre todo a cambio de un pago por adelantado, o diciendo ser un bufete u organismo al que no acudiste, debe tratarse como sospechoso. Verifica cualquier bufete de forma independiente en el colegio o registro oficial de su país.
7. Busca apoyo. El fraude provoca malestar real. El informe del FBI señala que sus especialistas en víctimas derivaron a víctimas a prevención del suicidio en 2025. Si tú o alguien que conoces está en dificultades, contacta con servicios locales de emergencia o de crisis.

Qué hacen las fuerzas del orden y qué significa para ti

También hay buenas noticias en los datos. El informe del FBI describe la Scam Center Strike Force, un nuevo grupo de trabajo de la Fiscalía Federal del Distrito de Columbia que combina el Departamento de Justicia, el FBI y el Servicio Secreto para perseguir los centros de estafa del sudeste asiático. La Operation Level Up, iniciada en enero de 2024, ha avisado a más de 8.000 víctimas y registra 500 millones de dólares de ahorro para las víctimas avisadas. En el Reino Unido, la Metropolitan Police logró condenas en un caso que llevó a la recuperación de más de 61.000 bitcoins, que Chainalysis describe como la mayor incautación de cripto confirmada del mundo, de un fraude que perjudicó a más de 128.000 personas en China entre 2014 y 2017. Estos casos muestran que el rastreo on-chain funciona y que las incautaciones son posibles. No significan que una víctima individual recupere su dinero: la recuperación suele requerir un largo proceso legal.

Lo que no pudimos verificar

• Estadísticas de víctimas a escala de la UE comparables con las del FBI. No hallamos una única fuente primaria de la UE legible con totales de pérdidas de 2025, así que los datos principales de esta guía son denuncias de EE. UU. y una estimación global on-chain.
• Los canales y procedimientos de denuncia exactos y actuales en cada país. Consulta la página oficial de tu autoridad nacional.
• Si las cifras de Chainalysis sobre estafas se revisarán de nuevo. La firma dice que sus estimaciones suelen crecer a medida que etiqueta más direcciones.
• Las pérdidas por address poisoning posteriores a junio de 2024. El estudio que citamos cubre de julio de 2022 a junio de 2024.

Preguntas frecuentes