¿Dónde guarda tus criptomonedas una plataforma de intercambio y qué pasa si la hackean?

Cuando compras criptomonedas en una plataforma de intercambio, tu saldo parece un puñado de monedas guardadas en un cajón con tu nombre. No lo es, y eso importa cuando algo sale mal. El 29 de octubre de 2026, unos atacantes se llevaron unos 6300 millones de dólares de las billeteras «calientes» (hot wallets) de Binance, las que están conectadas a internet, según la propia plataforma, que suspendió las retiradas hasta reanudarlas por fases el 1 de noviembre. Así funciona la custodia.

Puntos clave: ¿dónde guarda tus criptomonedas una plataforma de intercambio?

• La plataforma tiene las claves; tu saldo es su registro de lo que es tuyo.
• Parte de los fondos se queda en billeteras «calientes», conectadas a internet, para atender las retiradas, y estas están más expuestas a ataques.
• La prueba de reservas (proof of reserves) es una instantánea, no una auditoría. Los fondos como SAFU son reservas de la empresa, no una garantía legal.
• En la UE, las normas de MiCA sobre separación de activos y responsabilidad solo se aplican a las empresas autorizadas.
• La autocustodia y confiar en una empresa conllevan riesgos distintos; ninguna de las dos opciones está libre de riesgo.

¿Qué significa que una plataforma de intercambio «tenga» tus criptomonedas?

Una billetera no almacena monedas. La Comisión de Bolsa y Valores de EE. UU. (SEC) dice que las billeteras «almacenan las “claves privadas” o códigos de acceso de tus criptoactivos». Una clave privada es como una contraseña para mover las monedas. Si la pierdes, pierdes el acceso para siempre.

En una plataforma de intercambio, la empresa gestiona esas claves por ti: eso es la custodia. Tu saldo es su registro de lo que es tuyo, respaldado por monedas cuyas claves controla ella. Si el custodio «sufre un hackeo, cierra o quiebra, puedes perder el acceso», advierte la SEC. ¿Es tu primera vez? Empieza por los conceptos básicos sobre criptomonedas.

¿Qué son las billeteras calientes y las billeteras frías?

Piensa en una tienda. La caja registradora de la entrada tiene lo que hace falta para el día; la cámara acorazada del fondo guarda el resto y cuesta más llegar a ella.

Una billetera caliente (hot wallet) es la caja registradora: conectada a internet, cómoda, pero expuesta a ciberamenazas. Una billetera fría (cold wallet) es la cámara acorazada: normalmente un dispositivo sin conexión, como una memoria USB, o incluso papel. La SEC dice que las billeteras frías son menos cómodas, pero en general están mejor resguardadas frente a las ciberamenazas. Eso sí, los dispositivos pueden perderse, dañarse o ser robados.

Muchas plataformas dicen que guardan sin conexión la mayoría de las monedas de sus clientes y mantienen en línea un saldo operativo para las retiradas. Incluso una pequeña parte en línea de una gran plataforma puede suponer miles de millones. Nuestro curso cómo guardar criptomonedas trata ambos tipos.

¿Cómo protegen las claves las plataformas de intercambio?

El gran riesgo es que una sola persona o máquina tenga una clave que lo abra todo. Dos técnicas habituales reparten ese poder:

• Multisig (multifirma): una transacción necesita varias claves, por ejemplo 2 de 3, como una caja que solo se abre cuando dos de las tres personas que tienen llave giran la suya.
• MPC (computación multipartita, o criptografía de umbral): una clave se reparte entre varias partes o máquinas, de modo que ninguna la tiene entera.

Estas herramientas protegen la clave, no el proceso de aprobación que la rodea. En el hackeo de Bybit de 2025, en el que se vació una billetera fría multisig, los atacantes comprometieron a las personas y los sistemas que rodeaban las billeteras, no la criptografía, según la empresa de análisis Elliptic. Así que interpreta «multisig» o «MPC» como «nadie puede mover los fondos por sí solo», no como «los hackeos son imposibles». Tienes más información en nuestra introducción a la seguridad.

¿Qué es la prueba de reservas y qué no muestra?

La prueba de reservas es un informe de una plataforma sobre las criptomonedas que tiene frente a los saldos de sus clientes. Algunas te permiten verificar que tu saldo se incluyó, y demuestran que las reservas cubren los saldos al menos uno a uno sin revelar el saldo de nadie.

Técnicos del PCAOB, el regulador de auditoría de EE. UU., afirman que estos informes se refieren a «un momento concreto», probablemente no tienen en cuenta las deudas de la empresa y no ofrecen ninguna garantía sobre lo que ocurre después con los activos. «Los encargos de PoR no son auditorías», escribieron. Es un extracto bancario de un segundo. Una billetera caliente vaciada el 29 de octubre figuraba en el informe de Binance del 1 de octubre, según CoinDesk.

¿Qué es un fondo de tipo seguro como SAFU?

SAFU es el fondo de emergencia de Binance. Binance lo describe como una reserva creada en julio de 2018 para casos extremos, como brechas de seguridad, y financiada con un porcentaje de las comisiones de negociación.

Un fondo así es de la propia empresa: ella decide si lo usa y cómo, dentro de lo que se pueda permitir. Ningún sistema público garantiza las criptomonedas. MiCA obliga a que los documentos informativos de los emisores indiquen que las criptomonedas no están cubiertas por los sistemas de garantía de depósitos ni de indemnización de los inversores de la UE, y la aseguradora de depósitos de EE. UU., la FDIC, dice que su seguro no se aplica a las criptomonedas.

¿Qué exige la legislación de la UE a las empresas con licencia?

MiCA, el reglamento cripto de la UE, se aplica a las empresas con licencia que tienen en su poder criptomonedas de sus clientes o sus claves. El texto de MiCA exige, entre otras cosas:

• Guarda (art. 70): «las medidas adecuadas para salvaguardar los derechos de propiedad de los clientes, especialmente en caso de insolvencia», y que no se usen los criptoactivos de los clientes por cuenta propia.
• Separación (art. 75): los criptoactivos de los clientes se mantienen separados de los de la empresa, también en la blockchain, y fuera del alcance de sus acreedores si la empresa quiebra.
• Responsabilidad (art. 75): la empresa responde de los criptoactivos perdidos en un incidente que pueda atribuírsele, con un límite igual a su valor de mercado en el momento de la pérdida, pero no de los acontecimientos que demuestre que se produjeron con independencia de sus operaciones.

La pega: esto solo cubre a las empresas autorizadas. La ESMA, el supervisor de los mercados de la UE, afirma que los clientes de proveedores no autorizados «no se benefician de las salvaguardas de MiCA, incluidas las protecciones de los activos de los clientes», y mantiene un registro público de empresas autorizadas. La autorización no descarta los hackeos, pero te dice qué normas se aplican. Tienes más información en normas cripto en la UE.

Autocustodia o una empresa: ¿qué ventajas e inconvenientes tiene cada opción?

La autocustodia consiste en tener tus propias claves. Ninguna de las dos opciones elimina el riesgo.

• Autocustodia: control exclusivo y responsabilidad exclusiva. Un hackeo o una quiebra de una plataforma no afecta directamente a tus monedas. Pero si pierdes tanto tu billetera como su frase de recuperación (seed phrase, las palabras que permiten restaurarla), la pérdida suele ser permanente. La configuración puede requerir ciertos conocimientos, y las normas de custodia de MiCA no se aplican.
• Una empresa: normalmente se puede recuperar la cuenta, y un custodio autorizado de la UE debe cumplir las normas de MiCA sobre separación de activos y responsabilidad. Pero dependes de su seguridad, de sus prácticas y de su capacidad para cubrir una pérdida, y las retiradas pueden suspenderse.
• En ambos casos: el phishing y el malware en tu propio dispositivo siguen siendo un riesgo.

¿Qué hábitos ayudan?

• No compartas nunca tus claves privadas ni tu frase de recuperación, dice la SEC.
• Usa contraseñas robustas y la autenticación de dos factores (2FA), una segunda verificación además de tu contraseña. La agencia de ciberseguridad de EE. UU., CISA, insta a usar versiones «resistentes al phishing».
• Plantéate usar una lista de direcciones permitidas (allowlist) para las retiradas si se ofrece: así las retiradas solo van a direcciones que hayas aprobado de antemano.
• Espera phishing después de las grandes noticias. Los mensajes falsos de «compensación» aparecen rápido, a veces junto a promociones reales, así que verifica solo en la app o la web oficiales, nunca a través de un enlace de un mensaje.
• Desconfía de las ofertas de «recuperación». El IC3 del FBI las califica de «una artimaña para volver a victimizar a quienes ya han perdido dinero».

Qué nos deja todo esto

En una plataforma de intercambio, tus criptomonedas son un saldo respaldado por claves que controla otro, y los ataques a menudo se dirigen a las personas y los sistemas que rodean esas claves. La prueba de reservas muestra un momento, los fondos de emergencia son una decisión de la empresa y las obligaciones de la UE solo se aplican en las empresas autorizadas.

Qué puedes hacer ahora

• Aprende a detectar mensajes falsos de reembolso y de recuperación en nuestro curso para detectar estafas.
• Trae tus preguntas sobre billeteras y claves a nuestros Talleres.

Preguntas de los lectores

Si hackean mi plataforma de intercambio, ¿recuperaré mis criptomonedas?

Depende. Una plataforma puede cubrir las pérdidas con sus propios fondos, pero es decisión suya. Los fondos robados que se congelan (bloqueados por el emisor de un token) no se devuelven automáticamente; la recuperación puede tardar meses o años. En la UE, un custodio autorizado responde de las pérdidas que le sean atribuibles.

¿Una billetera fría es inmune a los hackeos?

No. En general está menos expuesta a los ataques en línea, pero el dispositivo puede perderse, dañarse o ser robado.

¿La prueba de reservas demuestra que una plataforma tiene suficiente dinero?

Por sí sola, no: muestra los activos en un momento dado y probablemente no las deudas de la empresa.

Los precios de las criptomonedas pueden subir y bajar bruscamente, y podrías perder parte o la totalidad del dinero que inviertas. Las criptomonedas no están cubiertas por la protección de depósitos. Este artículo es educativo y no constituye asesoramiento financiero.