Cómo se vacían las billeteras cripto en un Mac, y cómo evitarlo.

1Dónde buscan los ladrones tu frase de recuperación

Los ladrones de datos para Mac van directos a las billeteras. Atomic (AMOS) apunta a unas 50 extensiones de billetera para el navegador y a billeteras de escritorio como Electrum y Exodus, además del llavero y los archivos de tu Escritorio y de Documentos (BleepingComputer, 2023). MacSync, difundido mediante comandos pegados en Terminal en 2025 y 2026, se lleva las frases de recuperación de billeteras cripto junto con el llavero (The Hacker News, 16 de marzo de 2026).

Así que una frase de recuperación escrita en Notas, guardada como archivo .txt, conservada como captura de pantalla o enviada a ti mismo por correo está a una búsqueda de distancia para cualquier ladrón que se ejecute en el Mac, aunque sea un minuto.

2Encuentra las frases que dejaste en tu Mac

Estos comandos listan archivos de tu Mac cuyo texto contiene las palabras que la gente escribe junto a una frase. Solo buscan; no abren ni envían nada:

mdfind -onlyin ~ "recovery phrase"

mdfind -onlyin ~ mnemonic

mdfind -onlyin ~ "seed phrase"

Revisa también tus capturas de pantalla: en Fotos, busca «frase de recuperación», «seed» o «wallet»; Fotos encuentra texto dentro de las imágenes. Borra lo que encuentres después de copiar la frase en papel, y luego vacía la Papelera y el álbum Eliminado recientemente.

3Cambios en el portapapeles

Un clipper vigila tu portapapeles. Cuando copias algo que parece una dirección cripto, la cambia por una dirección del atacante del mismo tipo, así que lo que pegas no es lo que copiaste.

El hábito que lo detiene: después de pegar, compara la dirección completa, no solo los primeros y últimos caracteres, con la que querías usar. En una billetera de hardware, compárala en la pantalla del dispositivo antes de confirmar.

4Envenenamiento de direcciones: la imitación en tu historial

Los atacantes envían cantidades minúsculas desde direcciones que empiezan y terminan como otras que ya usaste, así que una imitación queda en tu propio historial. Copia del historial una sola vez y el dinero se va a ellos.

Funciona: dos personas perdieron más de 62 millones de dólares así en diciembre de 2025 y enero de 2026, una unos 50 millones y otra 12,2 millones, la segunda después de copiar una dirección de su historial de transacciones (Cointelegraph sobre las cifras de Scam Sniffer, 9 de febrero de 2026).

También le pasó a MLX: justo después de que MLX moviera sus fondos a nuevas billeteras frías el 2 de noviembre de 2026, direcciones parecidas empezaron a enviarles polvo en Solana y BNB Chain.

• Nunca copies una dirección de tu historial de transacciones.
• Guarda como contactos las direcciones a las que envías a menudo y elígelas desde ahí.
• Ignora las cantidades minúsculas que llegan de direcciones que no conoces. No las devuelvas.
• Envía primero una pequeña prueba a cualquier dirección nueva y comprueba que llegó.

5Una revisión de tu billetera en cinco minutos

1. Busca en tu Mac frases escritas (con los comandos de arriba) y revisa tus capturas de pantalla.
2. Abre la página de extensiones de tu navegador. Deja solo las billeteras que instalaste tú, desde el enlace del propio fabricante; elimina todo lo que no reconozcas.
3. Comprueba que macOS está al día: Ajustes del Sistema → General → Actualización de software.
4. En cadenas EVM, revisa las aprobaciones de tokens antiguas que ya no necesitas y revócalas, por ejemplo con Revoke.cash.
5. Si alguna vez pegaste en Terminal un comando de una página web, haz también la revisión del Mac.

6Si vaciaron tu billetera

1. Pasa lo que quede a una billetera nueva creada en un dispositivo limpio, con una frase de recuperación nueva. Nunca reutilices la frase antigua.
2. Cambia las contraseñas de tu correo y de tus cuentas en exchanges desde ese dispositivo limpio y activa la autenticación de doble factor.
3. Si los fondos fueron a una dirección de depósito de un exchange, avísale de inmediato con el ID de la transacción.
4. Una transferencia en blockchain no se puede revertir. Quien se ofrezca a recuperar tus criptomonedas a cambio de una comisión está montando una segunda estafa.

7Preguntas

Vaciaron mi billetera. ¿Qué hago?

Pasa lo que quede a una billetera nueva creada en un dispositivo limpio, con una frase de recuperación nueva, y cambia desde ese dispositivo las contraseñas de tu correo y de tus exchanges. Si los fondos fueron a un exchange, comunícale el ID de la transacción. Después averigua cómo se filtró la frase antes de volver a usar el Mac para cripto.

¿Qué es el envenenamiento de direcciones?

Los atacantes envían cantidades minúsculas desde direcciones que se parecen a otras que ya usaste, así que una imitación aparece en tu historial. Si copias del historial, les envías a ellos. Pasa en todas las cadenas, incluidas Ethereum, BNB Chain, Tron y Solana. Elige las direcciones de tus contactos guardados.

¿Dónde debo guardar mi frase semilla?

En papel o metal, sin conexión, en dos lugares distintos. Nunca en Notas, un archivo de texto, una captura de pantalla, una foto, un correo o una nube. Para cantidades mayores, usa una billetera de hardware para que las claves nunca toquen el ordenador.

¿Es seguro guardar mi frase de recuperación en un gestor de contraseñas?

Es mucho mejor que una nota o una captura, pero sigue estando en el ordenador: un ladrón que se ejecuta como tú a veces puede llegar a ella. Para lo que no puedas permitirte perder, guarda la frase sin conexión.

¿Se pueden recuperar las criptomonedas robadas?

Normalmente no: una transferencia en blockchain es definitiva. Si fue a un exchange, puede que la congele si avisas rápido. Ignora a quien ofrezca recuperarlas a cambio de una comisión.