El ataque de la llave inglesa: la seguridad de tu cripto se decide en la puerta de tu casa

Imagina que te has gastado una fortuna en blindar tu casa. Puerta de acero, cámaras de visión nocturna, una alarma que avisa hasta a los bomberos si una mosca cruza el salón. Pero un martes cualquiera llaman al timbre. Es un tipo con uniforme de repartidor y un paquete en la mano. Abres. Y en ese segundo, todo tu despliegue tecnológico de miles de euros deja de servir para nada, porque lo que tienes delante no es un problema digital. Es un problema físico, y de esos la cerradura más cara del mundo no te protege.

En el mundo de las criptomonedas nos ha pasado exactamente eso. Llevamos años discutiendo si este contrato inteligente es seguro o si aquel monedero frío es inexpugnable. Y mientras mirábamos la pantalla, el peligro saltó al mundo real. Lo llaman ataque de llave inglesa. El nombre viene de un chiste viejo de informática: para qué vas a romper una contraseña de cientos de bits con un superordenador si por cinco euros te compras una llave inglesa y le das al dueño hasta que la escriba él solito. En 2026 ese chiste ha dejado de tener gracia. Por muy buena que sea tu clave, si alguien te pone una herramienta de ferretería delante de la cara, vas a abrir el monedero. No hay criptografía que aguante eso.

Los datos de la primera mitad de 2026 no son una señal de aviso. Son la prueba de que el sistema se rompió por el eslabón más débil, que somos nosotros.

El fin de la seguridad por pantalla

Hemos construido una fortaleza digital encima de unos cimientos de barro. La seguridad de los protocolos y de los monederos ha mejorado tanto que a los criminales ya no les compensa intentar reventar el software. Es más barato y más rápido reventar al dueño. Cuando la caja fuerte es demasiado buena, el ladrón deja de estudiar la caja y empieza a estudiar a quien tiene la combinación.

En los primeros seis meses de 2026 se verificaron 52 ataques físicos contra poseedores de criptomonedas en todo el mundo, según el informe de la empresa de seguridad CertiK. Puede parecer poco al lado de los millones de usuarios que hay. Pero hay que mirar lo que hay dentro de la caja, no la etiqueta. Esos 52 ataques pusieron en juego 124,1 millones de dólares. Para que te hagas una idea: en el mismo periodo del año anterior la cifra era de 10,5 millones. El botín se ha multiplicado casi por doce, mientras que el número de ataques solo subió un 33%, de 39 a 52.

Esa diferencia entre las dos cifras es la parte importante, y conviene pararse en ella. Si los ataques suben un tercio pero el dinero robado se multiplica por doce, significa que cada golpe es mucho más gordo. El botín medio por incidente pasó de unos 270.000 dólares a 2,39 millones. Los atacantes ya no van a ciegas. No están robando a cualquiera que lleve una camiseta de Bitcoin por la calle. Están eligiendo a quién visitar con la frialdad de quien mira un catálogo. Y para elegir así, hace falta información. Ahí es donde empieza la parte fea de esta historia.

Te encuentran porque alguien les vende el mapa

Mucha gente cree que estos ataques ocurren porque el afectado presumía de dinero en redes sociales. El postureo ayuda, no lo voy a negar. Pero el motor real de esta ola no es la vanidad. Es el tráfico de datos. Alguien sabe quién tiene, cuánto tiene y dónde vive, y esa lista se paga.

El caso de Francia es el mejor sitio para ver la maquinaria por dentro. De los 52 ataques de todo el mundo, 33 ocurrieron en suelo francés. Eso es más del 60% del total global concentrado en un solo país. Europa entera reunió tres de cada cuatro incidentes. La pregunta salta sola: ¿por qué allí? No es que los franceses tengan más cripto que los estadounidenses o los chinos. Es que sus datos personales acabaron en el vertedero.

Hubo fugas masivas en organismos oficiales. France Travail, que es el servicio público de empleo, y el portal ANTS, que gestiona documentos de identidad y matriculaciones, sufrieron filtraciones que expusieron datos de millones de personas. Pero lo más grave no vino de fuera. Vino de dentro de las oficinas. En enero de 2026 saltó el caso de Ghalia C., una agente de la administración tributaria francesa que, según la investigación, usaba el propio software de Hacienda para buscar perfiles de inversores en cripto y luego vendía esas listas, con nombres y direcciones, a redes criminales. Ni un hackeo sofisticado ni una brecha en la nube. Una funcionaria con acceso legítimo y un precio.

Es como si el vigilante de tu urbanización, ese que tiene la copia de todas las llaves y sabe a qué hora sales a trabajar, le pasara el juego completo a una banda de ladrones. Cuando tienen tu nombre, tu dirección y saben cuánto declaraste el año pasado, se acabó la vigilancia de semanas escondidos en un coche. Ya no hace falta. Solo tienen que llamar a tu puerta un martes por la mañana.

Y aquí conviene entender un detalle que casi nadie explica. En cripto, la dirección de un monedero es pública. Cualquiera puede ver cuánto hay dentro; lo que no puede es saber de quién es. Toda la seguridad de ese anonimato depende de que nadie una tu nombre con tu dirección de cadena. El día que alguien hace esa unión, con una filtración o con una funcionaria corrupta, tu saldo deja de ser un número anónimo en una pantalla y se convierte en una cantidad concreta de dinero que está en tu casa. De esa costura entre el mundo real y el mundo digital ya hemos hablado antes en la Brújula, en el post sobre Web3, cuentas programables y trazabilidad fiscal. El problema es el mismo de siempre: tu seguridad entera se apoya en que nadie sepa que esa dirección es tuya, y eso es justo lo que se ha roto.

Cuando el salón de tu casa es el escenario del robo

El cambio más brutal de este año es que el peligro se metió dentro de casa. Antes los robos solían ocurrir en la calle o mediante citas trampa, ese clásico de quedar para comprar algo y encontrarte con tres tipos. Ahora el vector principal es la invasión doméstica. Los asaltos en viviendas pasaron de ser algo casi anecdótico, un solo caso público en la primera mitad de 2025, a sumar 20 incidentes en el mismo periodo de 2026. De uno a veinte. Y con ellos subieron también los secuestros, de 12 a 16, y se contabilizaron cuatro casos de tortura y un asesinato.

Mira lo que le pasó a Sillytuna, un desarrollador de videojuegos conocido en el sector de los coleccionables digitales. En marzo de 2026 denunció que le habían arrancado unos 24 millones de dólares en activos digitales. Él mismo describió el episodio hablando de violencia, armas y amenazas de secuestro. Conviene ser honesto con este caso, porque no está todo cerrado: parte del sector discute si fue un asalto físico puro o si hubo también un componente de envenenamiento de dirección, una técnica en la que te cuelan una dirección falsa parecida a la buena para que mandes el dinero al sitio equivocado. CertiK lo cuenta como ataque físico porque la víctima declaró coacción. Lo que sí está probado y da escalofríos es el final: el atacante movió el botín a Monero, una moneda diseñada para que no se pueda rastrear. Traducido, el dinero se esfumó por una alcantarilla que no tiene tapa por la que asomarse. El software no falló. El monedero no tenía un agujero. El agujero estaba en la vida privada del dueño.

Y no siempre van a por el dueño directamente. Los criminales aprendieron que es mucho más fácil doblegar a una persona si amenazas a su familia. Es lo que CertiK llama ataques por proximidad. Según su informe, más de la mitad de los incidentes en Francia este año involucraron a un familiar del objetivo: la pareja, un hijo, un padre anciano, ya sea como víctima directa o como palanca de presión. No buscan que tú seas valiente. Buscan que no puedas soportar que otro sufra por tu dinero, que es una cosa muy distinta y mucho más difícil de resistir.

Los casos concretos ponen cara a la estadística. En febrero secuestraron a una magistrada y a su madre para intentar cobrar un rescate en cripto; las liberó la policía tras varias detenciones. En marzo, en la zona de Le Chesnay, obligaron a una pareja a transferir alrededor de 900.000 euros en bitcoin. En abril, en Malasia, un ciudadano surcoreano fue secuestrado por atacantes que exigían diez millones en la stablecoin USDT y se llevaron tres. En mayo, un hombre se presentó disfrazado de repartidor con una caja de cartón en la puerta de la casa de Sébastien Borget, cofundador de The Sandbox, y cuando su mujer abrió la verja varios cómplices intentaron meterla a la fuerza en un coche. Lo evitaron los vecinos. La policía encontró a dos adolescentes con una pistola falsa, bridas y pasamontañas. El repartidor amable del principio de este texto, el del timbre un martes cualquiera, resultó no ser una metáfora.

El miedo cambia el juego

Todo esto está provocando un efecto dominó en cómo se comporta la gente. Los que antes daban la cara en conferencias o escribían con su nombre en los foros se están borrando del mapa. La identidad pública, que durante años fue una señal de confianza para hacer negocios, se ha convertido en una diana pintada en la espalda. Presumir de haber acertado con una inversión pasó de dar prestigio a dar direcciones a quien no debe.

Pero el golpe más profundo va a la propia filosofía de esta tecnología, esa idea de ser tu propio banco. Suena muy bien hasta que la miras de cerca. Si guardas todo tu dinero bajo una sola llave que tienes en casa, eres lo que en ingeniería se llama un punto único de fallo: si esa pieza cae, cae todo. Un banco de verdad no funciona así. Tiene cajas fuertes con apertura retardada, vigilantes, cámaras y protocolos que impiden que un solo empleado, por mucho que le apunten, entregue todo el efectivo de la sucursal. Está diseñado para que la coacción no sirva de nada, porque ni la persona que tienes delante puede darte lo que pides aunque quiera.

La mayoría de los usuarios de cripto no tienen nada de eso. Si un tipo te apunta en tu propia cocina, tú puedes vaciar tu patrimonio en tres minutos desde el móvil, sin llamar a nadie, sin esperar a nadie, sin que salte ninguna traba. Esa velocidad, que durante años vendimos como la gran ventaja, ahora es la gran debilidad. La misma característica que te permite mandar dinero al otro lado del mundo en segundos permite que te lo quiten en segundos. La libertad de mover fondos al instante y el peligro de que te obliguen a moverlos al instante son la misma moneda, y no hay manera de quedarse solo con la cara buena.

Los límites de lo que sabemos

Toca ser claro con las cifras, porque aquí es donde muchos artículos hacen trampa. Los 124 millones de dólares de los que hablamos son solo la parte que sale a la luz. Vienen de incidentes verificados y públicos, y por debajo de esa cifra hay muchos más ataques que nunca llegan a denunciarse.

¿Por qué alguien no denunciaría que le han robado un millón de euros a punta de pistola en su casa? Por miedo a que los ladrones vuelvan si habla con la policía, porque saben dónde vive. Por miedo a tener un problema con Hacienda si esos fondos no estaban del todo declarados. O simplemente por vergüenza de haber caído. A eso se suma un problema de recuento: la propia policía a veces clasifica estos casos como robos comunes o asaltos a domicilio, sin anotar que el objetivo eran las criptomonedas, y entonces el ataque desaparece de las estadísticas específicas aunque haya ocurrido.

Se ve muy bien con una discrepancia de números. Mientras el informe de CertiK cuenta 33 casos en Francia, el propio Ministerio del Interior francés ha llegado a reconocer hasta 77 incidentes físicos relacionados con cripto en el mismo periodo. La diferencia no es que uno mienta y otro diga la verdad; es la metodología, qué cuenta cada uno como caso verificado. Pero el mensaje que sale de esa horquilla es el mismo por los dos lados: el problema es bastante más grande de lo que aparece en las noticias. Cuando alguien te presente estas cifras como si fueran el total exacto, desconfía, porque marcan el mínimo que se ha podido documentar y no el tamaño real del problema.

Cómo dejar de ser un objetivo

Después de ver cómo se movieron las bandas este año, la conclusión no admite adornos: no puedes confiar tu seguridad a un aparato electrónico. Tienes que rediseñar tu forma de vivir con esto para que la coacción no le sirva de nada al que te apunte. Van cuatro ideas ordenadas de más fácil a más técnica.

1. Cierra el grifo de información

Los datos que ya andan por ahí filtrados no los vas a borrar, olvídate. Pero puedes dejar de generar nuevos. No hables de lo que tienes, no enseñes capturas de tu saldo, no lleves el monedero principal en el mismo teléfono que sacas en el metro. Y ten mucho cuidado con el primer paso de casi todos los robos, que no es la llave inglesa sino el clic: la mayoría de los saqueos empiezan en una web falsa que imita a una de verdad para que conectes tu monedero y firmes tu propia ruina. Antes de conectar a cualquier sitio, verifica que el dominio es el auténtico. Para eso existe Brújula Security, una extensión gratuita de Chrome que analiza cada web antes de que conectes el monedero, detecta dominios clonados y bloquea los intentos de robo de la frase semilla, y lo hace todo dentro de tu navegador sin que ningún dato salga de tu equipo. Reducir tu rastro digital y verificar dónde firmas es la parte barata de la seguridad, y es la que casi nadie hace. Si quieres el detalle completo, lo desarrollamos en la guía para blindar tus criptomonedas de estafas.

2. Mete fricción

Este es el punto que de verdad cambia el cálculo del atacante. Si alguien entra en tu casa y tú puedes transferir todos tus fondos en cinco minutos, estás vendido. La solución es usar sistemas donde eso sea imposible aunque quieras. Un monedero multifirma reparte el control en varias llaves guardadas en sitios distintos, de forma que hace falta más de una para mover el dinero; si el ladrón te tiene a ti, le falta el resto. Un bloqueo por tiempo, o timelock, impide sacar los fondos hasta que pasa un plazo, y no hay forma humana de saltárselo. Cuando el que te asalta comprueba que no puede llevarse el botín ahora mismo, el riesgo de quedarse en tu casa esperando aumenta y su interés en ti se desploma. Le has convertido en un mal negocio, que es exactamente lo que quieres ser.

3. Prepara a los tuyos

Porque ya has visto que van a por ellos. Acuerda con tu familia una palabra clave de emergencia, una que signifique estoy en peligro sin que el que está delante lo note. Deja claro un protocolo para cuando alguien desconocido llame a la puerta, sobre todo si aparece con la excusa perfecta del repartidor. Y ten pensado de antemano qué se hace si esto pasa, porque en el momento del miedo nadie improvisa bien. Estos protocolos familiares conviene pensarlos junto con el plan de qué ocurre con tus fondos si tú faltas, un tema que tratamos en el post sobre herencia y sucesión de activos digitales.

4. Ten un monedero señuelo

Una cuenta con una cantidad pequeña pero creíble, la que le entregas al que te apunta para que se marche pensando que se lo ha llevado todo. Es el equivalente a la cartera vieja con veinte euros que algunos llevan para dar al carterista. Es una idea incómoda, pero funciona, y en una situación de coacción puede marcar la diferencia entre perder una parte y perderlo todo. Si vienes del mundo DeFi y quieres afinar la separación de fondos y permisos, en la guía de seguridad DeFi está la parte técnica.

La lección de este 2026 es cruda y no la voy a suavizar. La tecnología nos dio libertad financiera, pero nos quitó de encima la protección del anonimato y de las estructuras que amortiguan los golpes en el mundo tradicional. Un banco te cobra comisiones y te controla, sí, pero también pone entre tu dinero y un asaltante una pared de retardos, empleados y protocolos que tú, solo en tu cocina, no tienes. Si quieres conservar la libertad, tienes que levantar esa pared por tu cuenta. La seguridad dejó de vivir solo dentro del ordenador. Ahora empieza en el felpudo, en saber quién llama antes de abrir la puerta.

Fuentes

• CertiK, informe Intel3D sobre wrench attacks (H1 2026): https://www.certik.com/certik-report/intel3d/intel3d-wrench-h1-2026https://www.certik.com/certik-report/intel3d/intel3d-wrench-h1-2026
• CertiK, panorámica de wrench attacks 2026: https://www.certik.com/blog/2026-wrench-attacks-overviewhttps://www.certik.com/blog/2026-wrench-attacks-overview
• Decrypt, «Crypto ‘Wrench Attacks’ Cost Victims $124M in Six Months, Up 12x: CertiK»: https://decrypt.co/374136/crypto-wrench-attacks-cost-victims-124m-in-six-months-up-12x-certikhttps://decrypt.co/374136/crypto-wrench-attacks-cost-victims-124m-in-six-months-up-12x-certik
• FinanceFeeds, «Crypto wrench attacks $124M France H1 2026»: https://financefeeds.com/crypto-wrench-attacks-124m-france-h1-2026/https://financefeeds.com/crypto-wrench-attacks-124m-france-h1-2026/
• Cryptopolitan, sobre los wrench attacks en Francia 2026: https://www.cryptopolitan.com/certik-crypto-wrench-attacks-2026-france/https://www.cryptopolitan.com/certik-crypto-wrench-attacks-2026-france/
• Decrypt, intento de secuestro de la mujer de Sébastien Borget (The Sandbox): https://decrypt.co/368631/the-sandbox-co-founders-wife-targeted-in-crypto-kidnapping-attempt-reporthttps://decrypt.co/368631/the-sandbox-co-founders-wife-targeted-in-crypto-kidnapping-attempt-report
• CNN, secuestro de una magistrada y su madre en Francia: https://www.cnn.com/2026/02/10/europe/crypto-linked-kidnapping-france-intlhttps://www.cnn.com/2026/02/10/europe/crypto-linked-kidnapping-france-intl
• Protos, caso Sillytuna (24 millones): https://protos.com/game-developer-sillytuna-reports-losing-24m-of-crypto-in-uk-wrench-attack/https://protos.com/game-developer-sillytuna-reports-losing-24m-of-crypto-in-uk-wrench-attack/