Consejos básicos de seguridad para usuarios de MetaMask
¿Eres nuevo en criptomonedas y web3?
Visite MetaMask Learn para obtener una experiencia de aprendizaje directa diseñada específicamente para los recién llegados a web3. Es totalmente gratis y está disponible en varios idiomas e incluye herramientas útiles, como simulaciones, que le ayudarán a familiarizarte con MetaMask.
¿Qué es una frase de Recuperación Secreta y cómo hago una copia de seguridad?
La mayoría de las criptobilleteras usan una frase semilla, o frase secreta de recuperación (SRP), como estándar. Una SRP es una lista de palabras generadas aleatoriamente cuando creas tu billetera MetaMask y te da acceso a todas las cuentas (direcciones) dentro de ella.
Al crear una billetera por primera vez, se te pedirá que anotes tu frase secreta de recuperación o que conectes tu cuenta de Google o Apple a MetaMask. Aunque ambas opciones tienen una SRP asociada, funcionan de manera diferente en el backend.
Si no conectas tu cuenta de Google o Apple a MetaMask, MetaMask no controla ninguno de tus datos personales o privados en nuestros servidores. Todo está cifrado en su navegador y protegido a través de su SRP. Si pierdes tus cuentas de MetaMask y necesitas restaurarlas, solo podrás hacerlo con tu SRP, a la que MetaMask no tiene acceso. En este caso, tu SRP es tu único punto vulnerable para acceder a tus cuentas.
Si conectas tu cuenta de Google o Apple a MetaMask, tu SRP se cifra y se fragmenta en cinco nodos diferentes. Solo tu cuenta y contraseña de Google o Apple pueden acceder y descifrar los cinco fragmentos. En este caso, tu cuenta y contraseña de Google/Apple son tus dos puntos vulnerables. Por este motivo, asegúrate de no reutilizar tu contraseña de Google o Apple como contraseña de MetaMask. Las dos contraseñas deben ser completamente únicas. También te recomendamos que sigas protegiendo tu SRP en caso de que pierdas tu contraseña o tu cuenta de Google/Apple.
Por qué necesitas guardar tu frase secreta de recuperación
MetaMask es una billetera de autocustodia. Quien tenga acceso a una SRP tiene acceso a todas sus cuentas. Si tu dispositivo se daña, se pierde, te lo roban o sufre corrupción de datos, el equipo de Soporte de MetaMask no podrá recuperar tu SRP por ti. Para obtener más consejos sobre cómo proteger tu SRP, consulta nuestro artículo aquí.
No compartas tu frase secreta de recuperación ni tus claves privadas
Cualquier persona que tenga tu SRP o tus claves privadas puede controlar tus activos y, por lo tanto, enviar tokens desde tus cuentas. Nunca las compartas con nadie, ni siquiera con el equipo de MetaMask o con cualquiera que diga que nos representa.
Nunca te pediremos que proporciones tu SRP. Si alguien afirma que lo hacemos, insiste en no compartirla. Si alguien dice ser miembro de MetaMask o del equipo de soporte de MetaMask, o te solicita tu frase de recuperación secreta o claves privadas, denúncialo poniéndote en contacto con Soporte. Si alguien te pide tu SRP o tus claves privadas, está intentando robarte todos tus activos.
Esto también se aplica a sitios web y aplicaciones. Las únicas situaciones legítimas en las que necesitará introducir su SRP son:
- Cuando está creando su billetera por primera vez, ya que necesita ingresar ciertas palabras de la frase para confirmar que la ha registrado.
- Si está restaurando su billetera en un dispositivo nuevo o desde una instalación nueva, o restablece su contraseña (un proceso similar).
Sin embargo, hay estafadores que intentan simular estas dos situaciones. Consulte aquí para obtener más información: ¿Cómo reconozco al verdadero MetaMask?
Si tienes una gran cantidad de tokens en tu(s) cuenta(s), considera adquirir una billetera física.
Las billeteras hardware son consideradas la forma más segura de almacenar sus tokens. Se les conoce también como billeteras "frías", ya que están desconectadas la mayor parte del tiempo de Internet. Así, las claves privadas nunca están al alcance de los delincuentes en Internet, ya que la propia billetera hardware debe firmar (autorizar) las transacciones.
No compartas tu(s) contraseña(s)
Nunca debes compartir ninguna de tus contraseñas con nadie, pero para los fines de este artículo nos centraremos en tu contraseña de MetaMask. Si conectas tu cuenta de Google o Apple a MetaMask, se requiere tu contraseña para acceder a tus cuentas.
Soporte de MetaMask nunca te pedirá que compartas tu contraseña. Si alguien tiene acceso a tu contraseña y a tu cuenta de Google o Apple, podrá acceder a todas tus cuentas de MetaMask.
Si no tienes tu cuenta de Google o Apple conectada a MetaMask, tu contraseña funciona de manera diferente. Tener acceso a tu contraseña no le dará a nadie acceso a tus cuentas. Sin embargo, debes seguir protegiendo tu contraseña y mantener buenas prácticas de seguridad.
- Usa una contraseña sólida, con una combinación de letras mayúsculas y minúsculas, números y caracteres especiales.
- Usa una contraseña diferente para cada cuenta.
- Guarda tus contraseñas en un lugar seguro y sin conexión. Los servicios en la nube y los gestores de contraseñas pueden ser hackeados y no son la forma más segura de guardar tus contraseñas.
- NUNCA compartas tu contraseña con nadie.
No existe tal cosa como "demasiada" seguridad. La guía básica aquí no es completa en ningún sentido. Aprenda siempre a proteger mejor sus tokens, a través de la comunidad, los materiales informativos o los canales de discusión.
Recursos adicionales
A continuación se presentan algunos recursos adicionales para mantener a su equipo a salvo:
¿Qué son las aprobaciones de tokens y por qué son importantes?
Las aprobaciones de tokens otorgan permiso para que una aplicación descentralizada acceda y mueva un tipo específico de token y una cantidad de tokens desde su billetera. Si no tiene cuidado con las aprobaciones de tokens que se llevan a cabo en su billetera MetaMask, podría ser un vector de ataque con el poder de vaciar su billetera.
Para evitar que esto suceda, intente seguir estas pautas:
- Siempre verifica qué solicita realmente una dapp antes de hacer clic en "Aprobar". En MetaMask, también puede ajustar la cantidad a la que tiene acceso la dapp. Incluso si solo proporciona acceso al 10 % de sus tokens y la aplicación descentralizada resulta ser una estafa, ese sigue siendo un resultado considerablemente mejor que si hubiera otorgado acceso ilimitado.
- Haz tu propia investigación (DYOR). El mejor momento para adquirir el hábito de realizar la debida diligencia en cualquier dapp antes de interactuar con ella fue hace seis meses; el segundo mejor momento es hoy. Presta atención a errores ortográficos, imágenes o logotipos de baja calidad y otras señales de alerta.
- Recuerde que si algo parece demasiado bueno para ser verdad, probablemente no lo sea. Si le ofrecen un APY del 498,563 %, probablemente se trate de algo riesgoso.
Para obtener una explicación más detallada sobre las aprobaciones de tokens y cómo gestionarlas, lea el siguiente artículo.