Phishing: cómo detectar sitios, emails y mensajes falsos de Kraken

• Sitios web de imitación. La dirección se parece a la de Kraken pero no es la misma: una letra extra o cambiada, o «kraken» seguido de palabras como "-support" o "-verify".
• Anuncios de búsqueda. Los estafadores pagan anuncios para que su sitio falso aparezca por encima del real en los resultados de búsqueda.
• Emails y mensajes urgentes. Mensajes como «Inicio de sesión inusual detectado», «Tu cuenta está suspendida» o «Retiro pendiente» enlazan a una página de inicio de sesión falsa. Los SMS pueden aparecer incluso en el mismo hilo que mensajes legítimos de Kraken.
• Códigos QR en emails, mensajes o cartas que abren un sitio falso.
• Páginas falsas de «verifica que eres humano» que te piden pegar un comando en tu ordenador. Esto instala malware. Consulta Riesgos del software de acceso remoto.
• Aplicaciones falsas y extensiones de navegador que copian el nombre y el logotipo de Kraken.
• Sitios vaciadores de monederos. Las páginas de airdrops falsos o de «reclamar tus tokens» te piden conectar un monedero de autocustodia y aprobar una transacción que lo vacía.

• Usa claves de acceso para el 2FA para el inicio de sesión. Una clave de acceso está vinculada al sitio web real de Kraken, por lo que no funcionará en uno falso aunque te hayan engañado. Usa una aplicación de autenticación solo si las claves de acceso no están disponibles, y lee primero Riesgos de usar una aplicación de autenticación. Consulta ¿Qué es una clave de acceso?
• Escribe la dirección o usa un marcador. Accede a https://id.kraken.com/sign-in escribiéndola en la barra de direcciones de tu navegador (comprueba que no haya errores) y guárdala como marcador si la visitas con frecuencia. No uses un buscador para acceder a Kraken ni a otros sitios sensibles.
• Fíjate en el dominio, no en el candado. Un candado o "https" solo indica que la conexión está cifrada. Los sitios falsos también los tienen. El dominio es la parte justo antes de la primera barra: en kraken.com.example.net/sign-in, el dominio es example.net, no Kraken.
• No hagas clic en enlaces de mensajes que no esperabas. Abre Kraken tú mismo y comprueba si hay alguna alerta. Para verificar el remitente de un email, consulta ¿Es este email de Kraken?
• No introduzcas nunca tu frase semilla en ningún sitio web. Kraken jamás te la pedirá.
• Descarga las aplicaciones de Kraken solo desde el App Store o Google Play, usando los enlaces de kraken.com.
• Añade una segunda capa. Guarda tu clave maestra en un dispositivo diferente al de tu 2FA para el inicio de sesión y activa el Bloqueo global de configuración (GSL), para que cualquier persona que acceda a tu cuenta no pueda cambiar tu configuración de seguridad.
• Opcional: activa el cifrado PGP del email. Kraken puede cifrar los emails que te envía con tu clave PGP, lo que dificulta mucho que los estafadores los falsifiquen. Consulta ¿Qué es el cifrado PGP/GPG?

• Compartir tu nombre de usuario, contraseña, códigos 2FA o clave maestra.
• Compartir o reenviar un email de autorización de dispositivo, ni el enlace que contiene.
• Compartir tu frase semilla (también llamada frase de recuperación), de ningún monedero.
• Eliminar o cambiar tu 2FA, clave maestra o Bloqueo global de configuración (GSL), salvo que hayas contactado con nosotros primero para recibir ayuda a través de nuestros canales oficiales.
• Instalar software de acceso remoto como AnyDesk o TeamViewer. Consulta Riesgos del software de acceso remoto.
• Enviar cripto ni mover tus fondos a un monedero o dirección "seguro" o "protegido".
• Realizar un pago para liberar, descongelar o "verificar" tus fondos.

Contacta con la Atención al cliente de Kraken de inmediato a través de este formulario. Responde a las preguntas con sinceridad y con el mayor detalle posible.

Si todavía puedes iniciar sesión, accede a Kraken directamente (mediante un marcador o escribiendo la dirección), cambia tu contraseña y actualiza tu 2FA para el inicio de sesión y tu clave maestra. Comprueba que todas tus direcciones de retirada, claves API y dispositivos te resulten conocidos, y elimina cualquiera que no reconozcas.

Si has introducido una frase semilla, mueve los fondos de ese monedero a uno nuevo con una nueva frase semilla, configurado en un dispositivo en el que confíes.

Consulta también ¿Cómo denuncio un incidente de phishing? y Mi cuenta está comprometida, ¿qué debo hacer?