La seguridad cripto suele centrarse en lo que ocurre dentro de la wallet: frases semilla, claves privadas, aprobaciones sospechosas y enlaces de phishing. FomoPeek recuerda que el riesgo puede comenzar un nivel antes, en el dispositivo que las almacena todas.
Un informe de SlowMist publicado el 20 de septiembre alegó que FomoPeek, una aplicación de monitorización de wallets incluida en la App Store, contenía módulos maliciosos en las versiones 1.1 y 1.2. Según el informe, esos módulos podían utilizar una configuración remota, intentar explotar el sistema y recopilar datos de aplicaciones de wallets y notas seleccionadas como objetivo.
Posteriormente, FomoPeek lanzó la versión 1.3 sin los módulos mencionados. Esto puede eliminar la amenaza descrita de la versión más reciente, pero no puede revertir la información que ya podría haberse expuesto.
Para los traders, esa distinción importa. La inclusión oficial de una aplicación puede hacer que el software parezca fiable, especialmente cuando el producto aparentemente hace algo tan sencillo como monitorizar la actividad pública de una wallet. Pero distribuirse a través de una tienda conocida no elimina lo que una aplicación puede llegar a hacer una vez instalada en el dispositivo.
El riesgo era mayor que la dirección de la wallet
FomoPeek se presentaba como una herramienta para monitorizar la actividad pública de wallets en Solana, Ethereum y TRON. A primera vista, esto parece relativamente inofensivo. Las direcciones públicas ya son visibles en la cadena, y observar una de ellas no requiere controlar la wallet asociada.
La preocupación planteada por SlowMist iba mucho más allá.
Su análisis afirmaba que las versiones afectadas podían identificar las aplicaciones instaladas, recibir instrucciones de recopilación desde un servidor remoto y dirigirse a datos asociados a aplicaciones de wallets y notas. Esto cambia por completo la cuestión de seguridad. La posible vulnerabilidad no era una conexión sospechosa con una wallet ni un formulario evidente que pidiera a los traders introducir una frase semilla. Era información sensible almacenada en otro lugar del mismo dispositivo.
Esto importa porque una frase semilla o una clave privada se encuentra en el centro de la autocustodia. Un teléfono puede estar bloqueado. Una aplicación de wallet puede requerir una contraseña. Las transacciones pueden requerir confirmación. Pero si alguien obtiene el secreto de recuperación subyacente, esas protecciones podrían dejar de ser suficientes.
La wallet puede restaurarse potencialmente en otro lugar, lo que daría al atacante la capacidad de autorizar transacciones sin tocar nunca el dispositivo original. Comprender cómo funciona realmente una wallet de Web3 hace que esta distinción sea especialmente importante: proteger la aplicación de la cartera es solo una parte de proteger la propia cartera.
Por tanto, el informe de FomoPeek señala un problema de seguridad más amplio. Las frases semilla no deberían guardarse en notas, capturas de pantalla, bibliotecas de fotos, registros de chats ni borradores en la nube del mismo dispositivo utilizado para acceder a las criptomonedas.
Eliminar la aplicación no restablece el riesgo
Una vez que la información sensible de la cartera puede haber quedado expuesta, eliminar la aplicación no equivale a eliminar la amenaza.
Los traders que instalaron las versiones 1.1 o 1.2 de FomoPeek mencionadas deberían tratar las frases semilla, claves privadas y credenciales sensibles del dispositivo potencialmente expuestas como información que quizá ya no sea privada. Eliminar la aplicación o cambiar la contraseña local de la cartera no modifica el secreto de recuperación subyacente.
Esa diferencia es importante. Por lo general, una contraseña de cartera protege el acceso en un dispositivo concreto. Una frase semilla controla la propia cartera.
Si hay motivos para creer que esa frase semilla pudo haber sido recopilada, la respuesta más segura es transferir los activos afectados desde un dispositivo cuya seguridad se conozca a una cartera completamente nueva, generada con una frase semilla nueva. Reutilizar la antigua frase de recuperación simplemente traslada la misma posible exposición a una configuración nueva.
La transferencia también debe tener en cuenta algo más que el saldo de tokens más visible. Los traders deberían comprobar los activos en todas las redes, incluidos los tokens, los NFT y las posiciones mantenidas en protocolos, antes de retirar la cartera antigua.
El propio dispositivo también merece atención. Las transacciones sospechosas, las fechas de instalación y las versiones de las aplicaciones deberían documentarse por si un exchange, una plataforma o un equipo de seguridad las necesita más adelante. También deberían revisarse las sesiones de inicio de sesión, especialmente las de las cuentas de exchange y de correo electrónico a las que se haya accedido desde el mismo dispositivo, y restablecer las contraseñas cuando corresponda.
Las cuentas centralizadas introducen otra capa de seguridad. Medidas como la autenticación de dos factores y la protección de la identidad pueden hacer que unas credenciales robadas por sí solas resulten menos útiles para un atacante, especialmente cuando se ha utilizado el mismo dispositivo para acceder tanto a carteras como a cuentas de exchange.
Un solo dispositivo no tiene por qué concentrar todos los riesgos
El caso de FomoPeek también plantea una cuestión práctica que va más allá de una sola aplicación: ¿hasta qué punto deberían los traders confiar un dispositivo a?
Un teléfono utilizado para mantener inversiones a largo plazo, aplicaciones criptográficas experimentales, campañas promocionales, redes sociales, correo electrónico y navegación cotidiana crea varias exposiciones de seguridad diferentes en el mismo lugar. Cada acción individual puede parecer manejable, pero los riesgos comienzan a superponerse.
La separación puede reducir esa superposición.
Se puede reservar un dispositivo limpio o un perfil de navegador exclusivo para las billeteras de mayor valor, mientras que una billetera separada con poco saldo puede utilizarse para probar aplicaciones, campañas o servicios desconocidos. Los sistemas operativos deben mantenerse actualizados y las aplicaciones solo deben instalarse después de comprobar su propósito y desarrollador. Las ofertas de recompensas que generan urgencia en torno a software desconocido o permisos inusuales merecen un escrutinio especial.
La seguridad de las billeteras también tiene varias capas. Mantener una frase semilla sin conexión ayuda a protegerse contra la toma de control de la cuenta, mientras que revisar las autorizaciones de tokens y contratos inteligentes ayuda a limitar otro tipo de exposición. Una medida no sustituye a la otra.
El mismo principio se extiende a los hábitos cotidianos. Mejorar la seguridad cripto puede ser tan sencillo como comprobar un enlace antes de abrirlo, cuestionar las solicitudes inesperadas y negarse a entregar información de recuperación simplemente porque alguien genera una sensación de urgencia.
Una regla sigue siendo especialmente sencilla: ningún equipo de soporte legítimo necesita la frase semilla ni la clave privada de un trader.
Una ficha oficial no es una garantía de seguridad
La parte incómoda del informe de FomoPeek no es simplemente que se acusara a una aplicación relacionada con las criptomonedas de contener funciones maliciosas. Los traders de criptomonedas ya saben que existe software malicioso.
Lo que hace que el caso sea más útil como lección de seguridad es dónde apareció supuestamente ese software y qué parecía hacer el producto.
Una ficha en la App Store crea una sensación de familiaridad. Una herramienta de monitorización de billeteras que funciona con direcciones públicas puede parecer menos sensible que la propia billetera. Si se combinan esas dos suposiciones, los traders pueden bajar la guardia antes de considerar a qué más puede acceder la aplicación en el dispositivo.
Por eso, la disponibilidad en una tienda de aplicaciones, la calidad de la interfaz o un conjunto de funciones aparentemente limitado deben considerarse señales, no garantías. Las preguntas más importantes son qué permisos recibe la aplicación, qué información existe en otras partes del dispositivo y qué ocurriría si esa información quedara expuesta.
Según se informa, la versión 1.3 de FomoPeek eliminó los módulos identificados por SlowMist. Sin embargo, para quienes hayan podido utilizar versiones anteriores, la cuestión de seguridad relevante no es solo si la aplicación actual es más segura. También importa saber si la información expuesta antes de la actualización todavía puede considerarse fiable.
El secreto de recuperación es la verdadera frontera
En última instancia, el incidente de FomoPeek trata menos sobre una aplicación de monitorización de wallets que sobre dónde sitúan los traders el límite de la autocustodia.
Una wallet puede estar bien diseñada y aun así encontrarse en un dispositivo comprometido. Una frase semilla puede introducirse correctamente y, aun así, almacenarse después en un lugar inseguro. Una aplicación puede solicitar únicamente una dirección pública mientras que otra información del mismo teléfono genera una exposición mucho mayor.
Eso hace que la seguridad del dispositivo forme parte de la seguridad de la wallet.
Para los traders que utilizaron las versiones afectadas de FomoPeek, la prioridad es identificar qué información pudo quedar expuesta y responder según la sensibilidad de esos datos. Para los demás, el informe ofrece un motivo para revisar dónde se almacena el material de recuperación, qué aplicaciones comparten el mismo dispositivo y cuánto valor depende de una única frase semilla.
La autocustodia proporciona a los traders control directo sobre sus activos. También convierte el secreto de recuperación en la última línea de control.
Protege esa línea y la wallet seguirá siendo tuya.
