KTX × LUKKEY AMA: Dos líneas de defensa para proteger tus criptoactivos
Resumen: En el mercado de las criptomonedas, los riesgos para los activos no provienen únicamente de los hackers. Un enlace aparentemente común, una firma que no comprendes completamente o una autorización maliciosa pueden hacer que los usuarios cedan sin saberlo el control de sus activos. Una vez que entran en el mercado de trading, el apalancamiento excesivo, los tamaños de posición descontrolados y los intentos impulsivos de recuperar pérdidas también pueden amplificar rápidamente el riesgo.
En el último KTX Space (20 de octubre), Mia, del equipo de Marketing de KTX, invitó a Jaime, CEO de LUKKEY, a una conversación de aproximadamente 40 minutos sobre seguridad de las wallets, claves privadas y autorizaciones, enlaces de phishing, firmas maliciosas, riesgos de las DApps, apalancamiento, gestión de posiciones, liquidaciones y la psicología del trading después de sufrir pérdidas.
En última instancia, el AMA se redujo a dos preguntas sencillas:
¿Qué permiso estoy otorgando y a quién?
Si las cosas no salen según lo previsto, ¿cuánta pérdida estoy dispuesto a asumir?
Para consultar más actualizaciones del mercado de KTX, productos de trading y contenido de transmisiones en directo, visita el sitio web oficial de KTX.
1. La seguridad de la wallet es más que “no revelar tu clave privada”
Para muchos usuarios de criptomonedas, el primer paso hacia una mayor conciencia de seguridad es sencillo: proteger la clave privada y la frase semilla.
Esto es sin duda importante. Pero, según Jaime, CEO de LUKKEY, una seguridad adecuada de la wallet debería responder al menos a tres preguntas:
¿Quién controla la clave privada?
¿Qué estoy aprobando exactamente?
Si pierdo mi dispositivo, ¿puedo recuperar mis activos?
Durante el AMA, Jaime explicó que la autocustodia brinda a los usuarios un mayor control sobre sus activos, pero también significa que deben asumir la responsabilidad de las copias de seguridad y del uso. Una función importante de una hardware wallet es proteger las claves privadas y realizar la firma dentro de un entorno de hardware dedicado.
LUKKEY Air, por ejemplo, es una hardware wallet con forma de tarjeta que funciona con una aplicación para smartphones mediante NFC. Utiliza un chip de seguridad EAL6+ para proteger las claves privadas, mientras que los cálculos de firma se completan dentro de la tarjeta. Los usuarios pueden consultar sus activos y las solicitudes de transacción en sus teléfonos y, después, acercar la tarjeta para completar la operación.
Sin embargo, Jaime también hizo hincapié en que una hardware wallet no significa que los usuarios puedan dejar de revisar sus transacciones.
Una wallet puede proteger la clave privada y el proceso de firma, pero no puede determinar en nombre del usuario qué significa realmente una firma concreta.
Si un usuario aprueba una autorización maliciosa, sus activos pueden seguir estando en riesgo aunque la clave privada nunca haya quedado expuesta.
Por lo tanto, la seguridad de la wallet tiene dos capas:
Primera capa: proteger la clave privada.
Segunda capa: comprender qué estás aprobando.
2. ¿Por qué pueden robarte los activos aunque nunca hayas revelado tu clave privada?
Este fue uno de los puntos más importantes para los usuarios comunes que se trataron durante el AMA.
Muchas personas suponen que, mientras nunca entreguen su frase semilla o clave privada a nadie, su wallet seguirá estando segura.
En realidad, un atacante no necesariamente necesita obtener primero la clave privada.
Jaime utilizó una analogía sencilla: puedes guardar tu llave de forma segura, pero si firmas un documento que permite a otra persona llevarse determinados objetos, esa persona quizá no necesite robarte la llave.
Las autorizaciones de tokens on-chain pueden funcionar de forma similar.
Un usuario puede pensar que simplemente está participando en una campaña, reclamando un airdrop o conectándose a una DApp. Sin embargo, la operación puede en realidad otorgar a un contrato inteligente permiso para utilizar sus tokens.
Si el contrato autorizado es malicioso o si el alcance de la autorización es considerablemente más amplio de lo que requiere la operación prevista, los activos del usuario pueden quedar expuestos a riesgos.
Otra área que merece atención son las firmas de tipo Permit.
Es posible que estas firmas no activen inmediatamente una transferencia ni requieran que el usuario pague gas, lo que puede generar fácilmente la impresión de que “no se ha transferido nada, así que no hay riesgo”.
Pero la ausencia de una transferencia inmediata no significa automáticamente que la firma sea inofensiva.
Los usuarios deberían preguntarse:
¿Quién inició esta solicitud?
¿Por qué me piden que la firme?
¿Qué puede permitir esta firma más adelante?
¿Qué activos y permisos están involucrados?
Este fue uno de los mensajes centrales que se repitió a lo largo del AMA: no preguntes únicamente si has introducido tu clave privada; pregunta si has otorgado voluntariamente a alguien un permiso específico.
3. Ves “Conecta tu wallet para reclamar 500 USDT”. ¿Qué deberías hacer primero?
Imagina que ves una campaña en X:
“Conecta tu wallet y reclama 500 USDT”.
El sitio web parece profesional. Tiene un sitio web oficial, cuentas en redes sociales y información detallada del proyecto.
El error más fácil en este punto es conectar inmediatamente tu wallet.
La primera recomendación de Jaime fue exactamente la contraria:
No la conectes todavía.
Primero, accede a la campaña a través de un punto de entrada oficial que ya conozcas y hayas verificado de forma independiente. Confirma que la campaña existe realmente.
Después, compara la descripción de la campaña, los requisitos de participación, el origen de las recompensas y las reglas para reclamarlas.
Y, lo que es más importante, comprueba si:
El propósito descrito en la promoción coincide con las acciones que solicita el sitio web.
Si una campaña afirma que solo necesita verificar la elegibilidad, pero pide a los usuarios que introduzcan una frase semilla o que otorguen a un contrato desconocido un permiso amplio para utilizar sus activos, los usuarios deben detenerse inmediatamente.
También existe otro error común:
“¿Y si utilizo una wallet pequeña para probarlo?”
Separar las inversiones a largo plazo de los fondos utilizados para explorar nuevas aplicaciones puede ayudar a limitar la exposición al riesgo.
Pero utilizar una wallet pequeña no demuestra que un proyecto sea seguro.
La pregunta más importante es:
¿A qué estoy renunciando exactamente a cambio de esta recompensa?
4. Tampoco deberías confiar automáticamente en un enlace publicado por una cuenta oficial de X
Otro escenario común ocurre con los mensajes de Telegram.
Alguien se pone en contacto contigo de repente, afirma ser del servicio de atención al cliente oficial e incluso conoce la dirección de tu wallet y tus transacciones on-chain recientes.
Muchos usuarios pueden pensar:
“Conocen mi historial de transacciones, así que deben ser realmente oficiales”.
No necesariamente.
Las direcciones públicas de las wallets y los registros de transacciones on-chain suelen poder ser consultados por cualquiera.
Conocer esta información no demuestra que alguien tenga una identidad oficial.
Si te encuentras en esta situación, un enfoque más seguro es dejar de interactuar mediante mensajes privados y verificar el problema a través de un canal de soporte oficial que hayas encontrado de forma independiente.
No utilices un “enlace de verificación” enviado por esa persona y nunca proporciones tu frase semilla o clave privada porque te lo solicite.
Si alguien afirma que tu wallet tiene un problema de seguridad y te pide transferir tus activos a una supuesta “cuenta segura”, detente inmediatamente.
Los procesos de soporte legítimos no requieren tu frase semilla para investigar un problema de la wallet.
Además, cuanto más urgentemente te presione alguien, más importante es que reduzcas el ritmo.
El objetivo no es resolver el problema de inmediato.
El primer paso es verificar con quién estás tratando realmente.
5. “Solo es una firma de mensaje”. ¿De verdad no implica ningún riesgo?
Otra situación que puede hacer que los usuarios bajen la guardia fácilmente es:
“Firma este mensaje para verificar que eres el propietario de esta wallet”.
No hay ninguna solicitud de transferencia de fondos ni de introducción de una clave privada.
Entonces, ¿es seguro firmar?
La recomendación de Jaime fue clara:
Si no lo entiendes, recházalo primero y verifícalo.
Es cierto que los procesos normales de inicio de sesión de una wallet pueden implicar firmas, por lo que sería incorrecto afirmar que todas las firmas de mensajes son maliciosas.
Pero los usuarios tampoco deberían asumir que una firma es inofensiva simplemente porque la ventana emergente dice “Mensaje” o porque no se descuentan fondos inmediatamente.
Algunas firmas pueden tener efectos de autorización posteriores.
Antes de firmar, los usuarios deberían confirmar al menos:
- ¿Qué sitio web inició la firma?
- ¿Por qué se requiere la firma?
- ¿Coincide el contenido de la firma con la operación que se está realizando?
- ¿Implica permiso para utilizar activos?
Si la wallet muestra una advertencia de seguridad, léela detenidamente. Incluso si no aparece ninguna advertencia, eso no significa que debas omitir la revisión de la solicitud.
También hay otro punto que se pasa por alto con facilidad:
Desconectar un sitio web no es lo mismo que revocar una autorización de tokens on-chain.
Si ya se ha concedido una autorización on-chain, simplemente salir del sitio web o desconectar la wallet no elimina necesariamente dicha autorización.
6. De “prevenir hackeos” a “prevenir liquidaciones”: ¿por qué los usuarios cautelosos pueden volverse agresivos de repente?
Si la seguridad de la wallet aborda la cuestión de si otra persona puede acceder a tus activos, la gestión del riesgo de trading aborda otra pregunta:
¿Puedes amplificar tu propio riesgo más allá de lo que puedes permitirte asumir?
Durante el AMA, Mia planteó una pregunta muy práctica:
¿Por qué algunos usuarios son extremadamente cautelosos con la seguridad de la wallet, pero están dispuestos a utilizar un apalancamiento muy elevado una vez que entran en el mercado de trading?
Jaime explicó que las personas suelen percibir de forma diferente las distintas fuentes de riesgo.
Cuando un desconocido nos envía un enlace sospechoso, nos volvemos cautelosos de forma natural.
Pero cuando se trata de una operación que hemos investigado, analizado y decidido realizar nosotros mismos, es mucho más fácil confiar en nuestro propio criterio.
Después de varias operaciones exitosas, las personas pueden pasar gradualmente de:
“Acerté con estas operaciones”.
a:
“Puedo controlar lo que ocurra después”.
Y ahí es donde comienza el problema.
Antes de entrar en una operación, los usuarios deberían separar dos preguntas:
Primero, ¿por qué creo que el mercado se moverá de esta manera?
Segundo, ¿qué haré si me equivoco?
La primera pregunta determina si existe una razón para entrar en la operación.
La segunda determina si la operación supera tu tolerancia real al riesgo.
Muchos traders se concentran mucho en la primera pregunta, pero no planifican la segunda.
Solo empiezan a pensar qué hacer después de que el mercado ya se haya movido en su contra.
7. ¿Qué significa realmente un apalancamiento de 100x?
Durante el AMA, Jaime utilizó un ejemplo sencillo para explicar el riesgo del apalancamiento elevado.
Supongamos que un usuario tiene 1.000 USDT, utiliza la totalidad de esa cantidad como margen inicial para una posición de futuros lineales y aplica un apalancamiento de 100x.
El valor nocional de la posición sería aproximadamente:
100.000 USDT.
Sin tener en cuenta las comisiones y otros factores, si el mercado se mueve un 0,5 % en contra de la posición, la pérdida sería aproximadamente de:
500 USDT.
Esto equivale a la mitad del margen inicial.
Por supuesto, esto no significa que un movimiento adverso del 0,5 % vaya a activar automáticamente la liquidación.
El nivel de liquidación real también depende de factores como el margen de mantenimiento, el precio de referencia, el modo de margen y las reglas específicas de la plataforma.
El punto clave es:
El apalancamiento aumenta el tamaño de la posición y, por tanto, amplifica el impacto de los movimientos de precio a corto plazo sobre el margen.
Lo que es más importante, incluso si la dirección final del mercado es correcta, la operación puede fracasar.
Si el mercado se mueve primero en tu contra y la posición se liquida, un movimiento posterior en la dirección que habías previsto no puede revertir una operación que ya se ha cerrado.
Los usuarios pueden consultar el sitio de trading de contratos perpetuos con margen en USDT de KTX y deberían comprender el margen, el apalancamiento y los mecanismos de liquidación antes de operar. KTX también ofrece una guía en inglés sobre los contratos perpetuos con margen en USDT.
8. La verdadera pregunta no es “¿perderé?”, sino “¿cuánto puedo permitirme perder?”
Entonces, ¿qué deberían controlar primero los traders comunes?
¿El apalancamiento?
¿El tamaño de la posición?
¿O las emociones?
La respuesta de Jaime no fue centrarse en una sola variable, sino comenzar con una pregunta más fundamental:
¿Cuánto estoy dispuesto a perder si esta operación fracasa?
Establece primero ese límite.
Después, determina el tamaño de la posición, las condiciones de salida y si el apalancamiento es adecuado.
No abras primero una posición para decidir cuánto puedes tolerar solo después de que la posición empiece a perder dinero.
En su lugar, define las reglas de antemano:
¿En qué condiciones saldré?
¿Cuándo pausaré el trading?
¿Debería detenerme después de cierto número de pérdidas consecutivas?
¿Se me permite añadir temporalmente más fondos?
El valor de estas reglas es que tomas decisiones para tu yo futuro mientras todavía te encuentras en un estado racional.
Las órdenes stop-loss pueden ser herramientas útiles de gestión del riesgo, pero durante una volatilidad extrema o cuando la liquidez es insuficiente, los precios reales de ejecución pueden diferir de lo esperado.
Por lo tanto, un precio de stop-loss no debe considerarse una garantía de que las pérdidas se limitarán exactamente a ese nivel.
9. El pensamiento más peligroso después de una pérdida: “Tengo que recuperarlo”
Después de perder dinero, muchos traders sienten un fuerte impulso:
“Tengo que recuperarlo en la próxima operación”.
El problema es que, cuando la siguiente operación lleva la misión adicional de recuperar la pérdida anterior, deja de ser simplemente otra operación.
Puede convertirse en:
“Tengo que demostrar que la última operación solo fue mala suerte”.
“Tengo que recuperar mi cuenta”.
“No puedo terminar el día con esta pérdida”.
Pero el mercado no funciona según tu necesidad de ahorrar dinero.
Jaime sugirió una sencilla autoevaluación:
Si la pérdida anterior nunca hubiera ocurrido, ¿seguiría realizando esta operación?
¿Seguiría utilizando este tamaño de posición?
Si la respuesta es no, quizá sea el momento de detenerse.
Durante la pausa, los traders pueden revisar la operación anterior:
¿Fue incorrecta la evaluación del mercado?
¿Era demasiado grande la posición?
¿No se siguió la regla de salida?
¿O no había un plan claro desde el principio?
También hay una distinción importante:
El aumento planificado del tamaño de una posición no es lo mismo que incrementar repetidamente el riesgo después de una pérdida.
Las preguntas clave son:
¿Había una razón clara para añadir?
¿Existía un límite máximo de riesgo predefinido?
¿Sigue siendo válida la tesis original de trading?
Si estas preguntas no pueden responderse con claridad, preservar el capital puede ser más valioso que apresurarse a recuperar la pérdida.
10. Cinco reglas para combinar la seguridad de la wallet y la gestión del riesgo de trading
Si todo el AMA se resumiera en cinco recomendaciones, las respuestas de Jaime serían muy claras.
Comprende y protege tu método de recuperación
Comprende qué modelo de wallet utilizas y qué materiales de recuperación necesitas mantener a salvo.
Nunca entregues tu frase semilla o clave privada al servicio de atención al cliente, a sitios web ni a organizadores de campañas.
Antes de cada confirmación, comprende qué estás haciendo realmente
Conectarse, iniciar sesión, autorizar y transferir son acciones diferentes.
Cuando una operación implique permisos sobre activos, revisa cuidadosamente el destinatario y el alcance.
Establece límites claros para los distintos tipos de fondos
Las inversiones a largo plazo, los fondos de uso diario y los fondos utilizados para explorar nuevas aplicaciones pueden gestionarse por separado según tu situación.
Antes de probar una nueva aplicación, decide cuánto estás dispuesto a arriesgar.
Determina la pérdida que puedes aceptar antes de decidir el tamaño de la operación
No omitas la planificación del riesgo simplemente porque quieras obtener mayores rendimientos o creas que tu capital es demasiado pequeño.
En el caso de los derivados, comprende los modos de margen y las reglas de liquidación antes de operar.
Date tiempo para verificar y hacer una pausa
Si no entiendes una firma, simplemente puedes decidir no firmarla.
Si te das cuenta de que solo estás pensando en recuperar las pérdidas, puedes decidir no operar.
La lógica detrás de estas cinco recomendaciones es coherente:
No permitas que otra persona te apresure a ceder permisos de tu wallet, ni permitas que tus propias emociones te empujen a asumir un riesgo de trading excesivo.
11. Seis preguntas de verdadero o falso: ¿comprendes realmente los riesgos de las wallets y del trading?
Durante el segmento final de preguntas rápidas, Mia y Jaime resumieron toda la conversación mediante seis afirmaciones.
“Mientras no haya revelado mi clave privada, mi wallet está segura”.
Falso.
Las autorizaciones maliciosas y las firmas con efectos de autorización también pueden poner en riesgo los activos.
“Un enlace publicado por una cuenta oficial de X siempre es seguro”.
Falso.
Las cuentas oficiales también pueden verse comprometidas. Los usuarios deben verificar el enlace y la acción solicitada.
“Conectar una wallet es solo iniciar sesión, así que no hay ningún riesgo”.
No necesariamente.
Conectar una wallet por sí solo normalmente no concede permiso para transferir tokens, pero las firmas de inicio de sesión, las autorizaciones y las transacciones posteriores deben revisarse por separado.
“Una cold wallet ofrece una seguridad del 100 %”.
Falso.
Una hardware wallet puede reforzar la protección de la clave privada, pero los usuarios deben hacer copias de seguridad de su información de recuperación y revisar cuidadosamente las autorizaciones y transacciones.
“Si mi previsión sobre la dirección del mercado es correcta, un apalancamiento de 100x está bien”.
Falso.
El mercado puede moverse primero en contra de la posición y activar la liquidación antes de que finalmente se cumpla la dirección prevista.
“Añadir más a una posición perdedora siempre es razonable porque reduce el coste medio”.
Falso.
Las preguntas clave son si existía un plan predefinido, un límite máximo de riesgo y una tesis de trading que siga siendo válida.
12. Conclusión: la verdadera seguridad significa mantener el control en tus propias manos
El AMA de KTX × LUKKEY pasó de la seguridad de las wallets a la gestión del riesgo de trading. Aunque al principio puedan parecer dos temas diferentes, en última instancia apuntan al mismo principio:
Debes mantener el control de tus activos en tus propias manos.
La seguridad de la wallet plantea:
¿Qué permiso estoy otorgando y a quién?
La gestión del riesgo de trading plantea:
Si las cosas no salen según lo previsto, ¿cuánta pérdida estoy dispuesto a asumir?
Un usuario puede tener una hardware wallet muy segura y aun así enfrentarse a riesgos debido a una autorización maliciosa.
Del mismo modo, un usuario puede no encontrarse nunca con un hacker y aun así perder una cantidad significativa de capital debido a un apalancamiento excesivo y tamaños de posición descontrolados.
Por lo tanto, la verdadera seguridad de los criptoactivos no consiste simplemente en comprar una hardware wallet o establecer un stop-loss.
Es un conjunto de hábitos cotidianos:
Si no entiendes el enlace, no te apresures a hacer clic en él.
Si no entiendes la firma, no te apresures a firmarla.
Si no entiendes la autorización, no te apresures a aprobarla.
Si no has pensado bien la operación, no te apresures a abrir la posición.
Después de una pérdida, no te apresures a recuperarla.
Al final del AMA, Jaime resumió la conversación con un mensaje sencillo:
Revisa la autorización antes de cada confirmación, piensa en tu salida antes de cada operación y mantén el control de tus activos en tus propias manos.
Los usuarios pueden visitar el sitio web oficial de KTX para explorar el trading spot, los futuros y otros productos de trading. La página de trading spot BTC/USDT de KTX ofrece acceso al mercado spot, mientras que la página de mercado de KTX proporciona datos de mercado e información de trading.
Para consultar más contenido educativo, análisis de mercado, guías de trading y resúmenes de KTX Live, visita KTX Crypto Learn.
Para desarrolladores y traders cuantitativos, la documentación de la API de KTX ofrece documentación en inglés sobre datos de mercado, datos de usuario, streams de WebSocket, datos del libro de órdenes y API relacionadas con el trading.
Para consultar las comisiones de trading actuales, los usuarios también pueden visitar la página de tarifas de KTX.
Este artículo se basa en el guion de la entrevista del AMA de Twitter Space de KTX × LUKKEY “Dos líneas de defensa para proteger tus activos: seguridad de las wallets y gestión del riesgo de trading”. Las opiniones expresadas en la conversación se basan en la experiencia y las opiniones personales del invitado y no constituyen asesoramiento ni garantías de inversión, trading o seguridad. Los criptoactivos y los derivados implican un riesgo significativo. Toma decisiones basadas en tus propias circunstancias y tolerancia al riesgo.