Ataques físicos: cómo cuidarte si tenés cripto

En febrero de 2009, el webcómic xkcd dibujó dos versiones de un ataque a una computadora portátil cifrada. En la que imagina su dueño, los atacantes se rinden ante el cifrado. En la que “pasaría de verdad”, le pegan con una llave inglesa de 5 dólares hasta que les dice la contraseña. El nombre quedó: un ataque de llave inglesa, o wrench attack, consigue el secreto por la fuerza en lugar de romper el código.

A ese tipo de ladrón, las cripto le sirven. Se pueden mandar a cualquier parte desde un teléfono en minutos, una transferencia no se puede revertir, y en la mayoría de las billeteras una sola llave mueve todo, así que al ladrón le alcanza con la persona que la tiene.

Con qué frecuencia pasa

Nadie tiene un conteo completo: muchos ataques nunca se denuncian, y cada conteo se hace de otra manera. Todos apuntan para el mismo lado.

• Una lista pública que se lleva en GitHub, armada con casos publicados de ataques físicos a personas y empresas que tienen cripto, registra 69 en 2023, 104 en 2024 y 167 en 2025, y 133 en 2026 hasta el 22 de octubre. Se sigue completando con el tiempo: en enero de 2026 mostraba unos 70 para 2025.
• CertiK, una empresa de seguridad que cuenta solo los ataques que pudo verificar, registró 72 en 2025, un 75% más que en 2024, y más de 40,9 millones de dólares robados, una cifra que, según la propia empresa, se queda corta. Más del 40% fueron en Europa, y Francia tuvo más que cualquier otro país, Estados Unidos incluido.
• La fiscalía francesa contra el crimen organizado contó unos 20 secuestros y privaciones ilegítimas de la libertad ligados a las cripto en Francia en 2024, 67 en 2025 y más de 70 en los primeros ocho meses de 2026. Para Francia en 2025, la lista pública, que depende de lo que llega a la prensa, tiene 25.

Qué pasó en Francia

• Enero de 2025. Un cofundador de una empresa de billeteras de hardware y su pareja fueron secuestrados en su casa, en el centro de Francia. Los secuestradores le cortaron un dedo y le mandaron a otro cofundador un video que lo mostraba, con un pedido de rescate. Unos 230 policías y gendarmes lo liberaron al día siguiente, y a su pareja la encontraron atada en un auto. Parte del rescate se había pagado en cripto; la mayor parte se incautó y se congeló. En pocos días hubo diez detenidos.
• Mayo de 2025. En París, a plena luz del día, cuatro hombres encapuchados metieron en una camioneta de reparto al padre de un hombre que había hecho su fortuna con las cripto. Le cortaron un dedo y le exigieron millones de euros al hijo. La policía lo liberó dos días después, y seis personas fueron imputadas.
• Menos de dos semanas después, unos hombres encapuchados intentaron meter en una camioneta, en una calle de París, a la hija del director de un exchange francés y a su hijo. Ella y su marido se aferraron el uno al otro, y un comerciante armado con un matafuegos ayudó a ahuyentar a los atacantes. Para junio, 25 personas habían sido imputadas por los intentos de esos meses, seis de ellas menores; los sospechosos del intento de París tenían entre 16 y 23 años.

Después, el gobierno les ofreció a los empresarios de cripto y a sus familias sesiones de seguridad a cargo de unidades de élite de la policía, acceso prioritario a los servicios de emergencia y revisiones de la seguridad de sus casas. Los ataques siguieron: el conteo de la fiscalía para los primeros ocho meses de 2026 ya superaba todo 2025, y más de 90 personas habían sido imputadas solo en sus causas.

A quién eligen

No solo a los ricos o a los conocidos. Los atacantes van por quien creen que tiene cripto, y por la gente que lo rodea.

• Familiares. Dos de los tres ataques de arriba fueron contra el padre o la hija de quien tenía la plata.
• Gente que no tiene cripto. En junio y julio de 2026, tres grupos fueron, uno tras otro, por una pareja joven en el departamento de Somme, en el norte de Francia. El primero se volvió por los perros, el segundo ató a uno de los dos y le pegó al otro, y el tercero huyó cuando sonó la alarma que habían instalado mientras tanto. No tenían cripto. Según su abogado, los datos fiscales de los dueños anteriores de la casa, unos jubilados que sí tenían, se habían filtrado en internet junto con la dirección. En agosto, un tribunal de Amiens condenó a dos hombres del tercer grupo, de 20 y 21 años, a tres años y a 18 meses de prisión, la mitad en suspenso en cada caso. La pareja quiere vender la casa.
• Quien figure en el dato que les pasaron. En enero de 2026, en Scottsdale, Arizona, dos estudiantes secundarios de 16 y 17 años, vestidos de repartidores, entraron por la fuerza a una casa, ataron a una pareja con cinta de embalar y les pegaron para que les dieran cripto: 66 millones de dólares, según un fiscal. Personas que conocían solo por sus alias en una app de mensajes les habían pasado la dirección y 1.000 dólares para comprar lo necesario. Cuando una de las víctimas dijo que no tenía cripto, según se informó, la golpiza empeoró; uno de ellos contó después ante el tribunal que había sufrido una conmoción cerebral y una costilla rota. Un hijo adulto, en otra parte de la casa, llamó a la policía, y los dos estudiantes fueron imputados por secuestro y agresión, y van a ser juzgados como adultos.

Los que llegan a la puerta suelen ser jóvenes reclutados por internet por alguien que no da la cara: a uno de los condenados en Somme lo habían reclutado por Telegram para abrir la puerta, y al otro le pagaron 300 euros para manejar.

Cómo encuentran a sus víctimas

Un ataque necesita dos datos: que tenés cripto, y dónde encontrarte. Los dos se filtran de maneras muy comunes.

• Los registros de clientes. Las empresas que te venden un dispositivo o te tienen una cuenta saben tu nombre, y casi siempre tu dirección, y sus registros se filtran. Los fabricantes de billeteras de hardware y las empresas con las que trabajan filtraron una y otra vez nombres y direcciones de sus compradores, como detalla la guía sobre billeteras de hardware, multifirma y custodia compartida; después de una de esas filtraciones, en 2020, un cliente contó que lo llamó alguien que tenía sus datos y lo amenazó con ir a su casa y secuestrarlo. En mayo de 2025, un exchange grande de Estados Unidos informó que unos delincuentes les habían pagado a contratistas y empleados de sus equipos de atención al cliente fuera de Estados Unidos para copiar datos de clientes, con nombres, direcciones, imágenes de documentos y saldos. En enero de 2026, unos hackers se llevaron los emails de clientes de Waltio, un servicio francés para declarar los impuestos de las cripto, con las ganancias y pérdidas de sus declaraciones de 2024: 50.000 clientes, según Le Parisien. Ese mismo mes, las autoridades francesas advirtieron que personas que se hacían pasar por policías, por equipos antifraude de bancos y por empresas de cripto estaban contactando a quienes habían sufrido esas filtraciones para conseguir sus palabras de recuperación y sus dispositivos, y que se seguían denunciando secuestros.
• Su email y su calle. Antes del ataque en Durham que se cuenta más abajo, la banda entró a la cuenta de email de la pareja y vigiló su casa durante varios días.
• Lo que la gente muestra. La policía francesa resume su consejo en una frase: “la discreción es una protección”. Su vocera desaconsejó publicar ganancias en redes sociales, sacar capturas de pantalla de la billetera y mostrar un nivel de vida alto, que atrae la atención de los delincuentes. Un investigador de seguridad entrevistado por The Block atribuyó muchos ataques a la falta de privacidad, como la de quienes alardean de su patrimonio en grupos de chat, y a las filtraciones de datos de las empresas.

Un ladrón en tu puerta quiere rapidez

Alguien en tu puerta quiere que la plata se mueva antes de que nadie se dé cuenta. En abril de 2023, en Durham, Carolina del Norte, dos hombres armados ataron a una pareja con precintos plásticos, los golpearon y obligaron al marido a entrar a su cuenta en un exchange de Estados Unidos, y un cómplice sacó más de 150.000 dólares a distancia. Una cuarta transferencia no pasó: el exchange la rechazó por sospechosa. El líder de la banda fue declarado culpable en junio de 2024 y condenado a 47 años de prisión. Según el Departamento de Justicia de Estados Unidos, él y sus cómplices se llevaron más de 3,5 millones de dólares de víctimas en varios estados, con asaltos en sus casas y SIM swaps.

Esa transferencia rechazada es la clave: la pregunta que conviene hacerle a cada lugar donde tenés plata es qué podría obligarte alguien a mover desde tu casa, en una hora.

Dónde está la plata	Lo que alguien en tu puerta puede obligarte a mover	Lo que lo puede frenar
En una billetera en el teléfono	Todo lo que tiene, en minutos	Nada, una vez desbloqueado el teléfono
En una cuenta en un exchange	Lo que el exchange deja salir de una vez	Los controles del exchange sobre retiros inusuales
En una billetera de hardware, o su frase semilla, en tu casa	Todo	Nada
En una billetera multifirma con todas las llaves en tu casa	Todo: pueden obligarte a usar cada llave	Nada
Con llaves en lugares distintos, o una espera para los montos grandes	Lo que tus límites dejan salir de una vez	El tiempo, y los demás que tienen llaves

Qué ayuda

Hablá menos

Los consejos del Ministerio del Interior de Francia para quienes tienen cripto empiezan por ahí: guardate para vos lo que tenés y las direcciones de tus billeteras, sobre todo en redes sociales; no hables de tus cripto en tu vida personal; antes de compartir fotos o capturas, fijate que no muestren un saldo, un nombre de usuario o un email; y tené en cuenta que los eventos de cripto y los lugares públicos les cuentan cosas de vos a desconocidos. Incluye a la gente cercana, porque ellos también pueden ser blanco.

Que tu dirección no quede en registros de cripto

No podés evitar que cada empresa que te conoce filtre tus datos, pero sí podés darles tu dirección a menos empresas. No pidas que te manden a tu casa una billetera de hardware, ni nada que diga cripto: usá un punto de retiro o una casilla de correo, y un email que no uses para nada más. Tomá como una estafa cualquier llamada, mensaje o visita por tus cripto de alguien que dice ser de la policía, de tu exchange o de un correo, hasta que lo verifiques por un número que hayas buscado vos. Las autoridades francesas recuerdan que la policía nunca llama para pedir información confidencial; la guía sobre estafas cripto muestra cómo funcionan estos contactos.

En el teléfono, solo lo que podrías entregar

Una billetera en el teléfono es para la plata que gastás, lo que llevarías en efectivo, porque es lo que alguien puede obligarte a mandar en minutos. Los consejos de prevención del delito de Suiza dicen lo mismo del efectivo: llevá solo sumas chicas. Los expertos en seguridad que entrevistó The Block dieron la versión cripto: separá las billeteras de todos los días de los ahorros a largo plazo.

Los ahorros, detrás de más de una llave o de una espera

El Ministerio del Interior francés propone dos formas: una espera, para que los fondos se liberen solo después de un tiempo fijado, y una billetera multifirma que varias personas de confianza tienen que desbloquear juntas. La policía francesa también aconseja una espera para las sumas grandes. “No podés tener acceso directo a los fondos de largo plazo”, le dijo a The Block un especialista en seguridad, que propone tres llaves, de las que firman dos cualesquiera, y un bloqueo por tiempo de 72 horas.

En los dos casos, sirve solo si nadie, vos incluido, puede mover la plata de una vez:

• Las llaves juntas en tu casa no ayudan: quien llega hasta vos puede obligarte a usar cada una.
• Las llaves en manos de otras personas también las ponen a ellas en la mira. Las pautas francesas le piden a la familia de alguien secuestrado que le diga a la policía quién más tiene una llave, porque también puede ser blanco.
• La espera tiene que cubrir todas las salidas. Un bloqueo por tiempo en un camino no sirve de nada si tu propia llave todavía puede mover todo sola.

Para los ahorros, una custodia compartida que pase la prueba de la guía sobre billeteras de hardware, multifirma y custodia compartida hace esto sin que tengas que tener todas las llaves.

Acordá un plan

El ministerio francés también aconseja prepararse de antemano para un robo, una extorsión o un secuestro, incluido cómo llegarías a tu plata bajo presión. Acordá con la gente cercana quién llama a quién, y asegurate de que alguien de confianza sepa qué billeteras y cuentas existen, sin los secretos, para que pueda decirle a la policía dónde buscar.

Si te pasa

• Tu seguridad va primero. No te resistas. Valen los consejos de prevención para cualquier robo: mantené la calma, que se te vean las manos, no hagas movimientos bruscos y dejá claro que estás haciendo lo que te piden.
• Llamá a la policía apenas puedas hacerlo sin riesgo, y de inmediato si tienen retenido a alguien cercano para pedir un rescate. Las pautas francesas piden anotar qué billeteras y cuentas están en juego y, si es una billetera multifirma, quién más tiene una llave. A veces los pagos se pueden rastrear: en el secuestro de enero de 2025, la mayor parte del rescate pagado en cripto se incautó y se congeló.
• Después, pasá lo que quede a llaves nuevas: suponé que los atacantes conocen tus palabras y tus direcciones.

Qué hacer

• Hablá menos de lo que tenés, en internet y fuera de internet, y pedile lo mismo a la gente cercana.
• Que tu dirección no quede en registros de cripto: nada que tenga que ver con cripto enviado a tu casa, y desconfianza ante cualquier llamada por tus cripto que no hayas iniciado vos.
• En el teléfono, solo la plata que gastás, lo que podrías entregar.
• Los ahorros, donde nadie pueda moverlos en el momento: detrás de llaves en lugares distintos, o de una espera que cubra todas las salidas.
• Acordá un plan con tu familia antes de necesitarlo.
• Si te pasa, entregá lo que te pidan, y llamá a la policía apenas puedas hacerlo sin riesgo.