La versión rápida. Compra al fabricante, o a un distribuidor que el propio fabricante liste. Nunca de segunda mano, nunca a un vendedor de un marketplace. Si un dispositivo llega ya configurado, o con una frase de recuperación impresa en una tarjeta, es una estafa sin excepción: devuélvelo, y no pongas ni una sola moneda en él para “probarlo”.
El ataque más fácil es la caja, no el chip
Un monedero hardware se diseña partiendo de que el ordenador al que se conecta es hostil. La clave privada se genera dentro del dispositivo, nunca sale de él, y cada pago debe confirmarse en la pantalla del propio dispositivo. Un elemento seguro hace que extraer esa clave sea físicamente difícil.
Todo eso descansa sobre un supuesto: que el secreto que hay dentro lo generó el dispositivo, en tus manos, y que nunca ha existido en ningún otro sitio.
Un atacante que no puede romper el chip ataca el supuesto. Basta con venderte un dispositivo cuya frase de recuperación ya tiene, y el silicio se vuelve irrelevante. Tampoco necesita actuar en el momento de la venta: vigila las direcciones y se lleva el saldo cuando le convenga, meses después si quiere.
Por eso “de dónde ha salido este dispositivo” es una pregunta de seguridad, no una pregunta de compras.
Compra directamente, o a un distribuidor que el fabricante liste
La compra más segura es la tienda del propio fabricante. La siguiente más segura es un distribuidor nombrado en la web del propio fabricante. La dirección de la confianza importa: cree la lista de distribuidores del fabricante, nunca la afirmación de un vendedor de estar autorizado.
- Nunca de segunda mano. Un dispositivo usado es un dispositivo que ha tenido otra persona, y un reinicio que no hiciste tú no demuestra nada.
- Nunca un anuncio en un marketplace general, incluido uno que parezca la tienda oficial de la marca. El inventario agrupado y la logística de terceros hacen que nadie pueda decirte por qué manos pasó la caja.
- Nunca un dispositivo de regalo que llegue como premio, obsequio de una conferencia o una “mejora gratuita” que no pediste.
- Trata un descuento fuerte como información. Los márgenes son estrechos, y un precio muy por debajo del del propio fabricante es motivo para preguntar por qué.
Cómo llegas a la tienda también importa. Escribe tú mismo la dirección o usa un marcador que hayas guardado antes, porque se han puesto tiendas clonadas delante de los compradores mediante anuncios de búsqueda y publicaciones en redes. Es la misma familia de trucos que cubre cómo detectar estafas cripto.
La señal de alarma que zanja la conversación
Si el dispositivo llega ya inicializado — tiene un PIN, muestra un saldo, te pide que confirmes un monedero existente — o si la caja contiene una tarjeta con una frase de recuperación ya escrita o impresa, párate ahí. No existe ninguna razón legítima para ninguna de las dos cosas: ni la comodidad del fabricante, ni un servicio del distribuidor, ni una opción “preconfigurada”.
Todo monedero hardware honesto genera su frase de recuperación en el dispositivo, en el primer uso, delante de ti, y te pide que la escribas tú mismo. Una frase que llegó en la caja es una frase de la que ya tiene copia otra persona.
Seguridad: Nunca muevas una cantidad pequeña a un dispositivo sospechoso para ver qué pasa. Una frase precargada permite al remitente vaciar el saldo en el instante en que llega, y una prueba que parece funcionar no demuestra nada salvo que el dispositivo se enciende. Busca los datos de contacto del vendedor por tu cuenta, devuelve la unidad y empieza de nuevo desde el fabricante.
Compara el embalaje con las indicaciones del fabricante
Merece la pena inspeccionar precintos, retractilado, hologramas y bolsas con evidencia de manipulación, pero por sí solos son pruebas débiles. Las pegatinas se pueden reproducir y las bolsas se pueden volver a sellar de forma convincente, así que un precinto que se ve bien te dice poco.
Lo que aumenta el valor de la comprobación es comparar lo que has recibido con la descripción publicada por el propio fabricante de una unidad sellada auténtica. Los fabricantes documentan qué hay en la caja y cómo funciona su embalaje, y esa documentación, no tu instinto, es la referencia.
Más fuerte todavía es la atestación del propio dispositivo. Muchos modelos ejecutan una comprobación criptográfica de autenticidad contra el fabricante al conectarse por primera vez. Ejecútala, usando software descargado del dominio del propio fabricante, y sigue su proceso documentado en lugar de un folleto que venía en el paquete.
Después configura el dispositivo tú mismo, generando un monedero nuevo y escribiendo las palabras a mano. Nuestra guía de configuración lo cubre con cuidado.
La oleada de phishing que sigue a una filtración de datos de clientes
Este sector tiene un problema estructural incómodo. Comprar un monedero hardware suele implicar entregar un nombre, una dirección de entrega, un correo electrónico y a menudo un número de teléfono, y ese registro dice en voz baja: esta persona probablemente tiene cripto.
Cuando una lista así se escapa, por una brecha en un minorista, un socio de transporte o un proveedor de marketing, se convierte en una lista de objetivos. Lo que viene después tiene una forma predecible. Llegan mensajes que mencionan un pedido real, advierten de un “incidente de seguridad” y te dirigen a un sitio que imita al del fabricante, donde se te pide que introduzcas tu frase de recuperación para “migrar” o “validar” tu monedero.
Campañas de este tipo han escalado hasta cartas impresas e incluso dispositivos de reemplazo no solicitados enviados por correo a domicilios particulares, con instrucciones para restaurar usando una tarjeta adjunta. El canal físico parece más oficial, que es precisamente por lo que se usa.
Una sola regla derrota todas las variantes: tus palabras de recuperación no se introducen en ningún sitio salvo directamente en tu propio monedero hardware, durante una recuperación que hayas iniciado tú. Ningún fabricante, tienda o servicio de soporte las necesita nunca. Trata como hostil cualquier hardware no solicitado y deshazte de él en lugar de conectarlo.
Elegir un modelo, una vez que el origen es seguro
Con el origen resuelto, elegir un modelo es una comparación corriente. Lo que importa es cómo lo vas a usar: móvil o escritorio, qué monedas tienes, si la pantalla es lo bastante grande para comprobar una dirección completa y cómo de abierto es el firmware.
Nuestros análisis de monederos hardware se basan en investigación y no en pruebas de laboratorio, y así lo indican en cada uno. A lo largo de unos años, el historial de actualizaciones de firmware de un fabricante importa más que cualquier característica de la caja.
Por último, presupuesta la copia de seguridad como parte de la compra. El dispositivo protege la clave en el día a día; una copia escrita o una copia en metal es lo que sobrevive al dispositivo.
Puntos clave
- Compra al fabricante o a un distribuidor que este liste. La segunda mano y los anuncios de marketplace eliminan la única garantía que importa.
- Un dispositivo que llega inicializado, o con una frase de recuperación incluida, es una estafa siempre. Nunca lo pruebes con fondos.
- Los precintos son una prueba débil. Compara con las indicaciones publicadas por el fabricante y ejecuta la comprobación de autenticidad del propio dispositivo.
- Las filtraciones de datos de clientes en este sector producen phishing dirigido por correo electrónico, teléfono y correo postal, a veces con hardware de reemplazo.
- Tus palabras de recuperación solo se introducen en tu propio dispositivo, durante una recuperación que hayas iniciado tú. Nadie legítimo las pide jamás.
Preguntas frecuentes
¿Es seguro comprar en un gran marketplace online?
Es la más débil de las opciones habituales. Incluso cuando una marca tiene allí una tienda, el inventario suele estar agrupado y los pedidos se sirven desde existencias de terceros, así que no puede establecerse la cadena de custodia entre la fábrica y tu puerta. La tienda del propio fabricante, o un distribuidor que este nombre, cierra ese hueco por una pequeña diferencia de precio.
El precinto parecía intacto. ¿Está bien el dispositivo?
Un precinto intacto tranquiliza un poco, no es concluyente, porque el embalaje puede reproducirse o volver a sellarse. Inclina tu juicio hacia las comprobaciones difíciles de falsificar: que el dispositivo genere una frase completamente nueva delante de ti, y la comprobación de autenticidad del fabricante ejecutada desde software que hayas descargado tú. Si el proceso de configuración difiere de la documentación oficial, párate.
Ya configuré un dispositivo que venía con una frase impresa. ¿Y ahora qué?
Trata ese monedero como comprometido y da por hecho que cualquier cosa enviada a él puede ser sustraída. Configura un monedero en el que confíes, idealmente en un dispositivo obtenido correctamente, genera en él una frase nueva y mueve allí los fondos, comprobando la dirección de recepción en la pantalla del dispositivo de confianza. Nunca reutilices la frase suministrada.
¿Debería registrar el dispositivo con el fabricante?
Los programas de registro y garantía son cómodos, y crean otro registro que vincula tu identidad con la propiedad de cripto. Algunas personas aceptan ese equilibrio a cambio de soporte; otras prefieren minimizar los datos que entregan. En cualquier caso, da por hecho que esos registros pueden filtrarse algún día, y nunca te fíes de un mensaje no solicitado que te repita los datos de tu pedido.
Contenido educativo, no es asesoramiento financiero. Nunca compartas tu frase semilla ni tus claves privadas con nadie — incluido cualquiera que diga ser CoinCrafty.
Última actualización 30 julio 2026
Margaux Nijkerk reports on DeFi for CoinCrafty.
