Recuperación tras intercambio de SIM: qué hacer cuando tu teléfono se queda sin señal y tus criptomonedas desaparecen

Cómo funciona esta estafa

Un ataque de intercambio de SIM comienza antes de que la víctima se dé cuenta de que algo va mal. El objetivo del atacante es sencillo: convencer a tu operador móvil de que transfiera tu número de teléfono a una tarjeta SIM que ellos controlan. Una vez conseguido, todos los códigos de verificación por SMS y las solicitudes de autenticación de dos factores basadas en el teléfono se redirigen a ellos, no a ti.

El punto de entrada más común es la ingeniería social a nivel del operador. Los atacantes llaman o visitan una tienda del operador haciéndose pasar por el titular de la cuenta. Llegan equipados con datos personales obtenidos de filtraciones de datos, campañas de phishing o redes sociales: tu nombre completo, dirección, los últimos cuatro dígitos de tu número de seguro social o las respuestas a preguntas de seguridad habituales. Con suficiente información, un representante del operador puede aprobar el cambio de SIM. En campañas más sofisticadas, los atacantes sobornan o coaccionan directamente a empleados del operador, un patrón documentado en la operación SIMCARTEL de Europol, que desmanteló una red responsable de más de 3.200 casos de fraude en Europa y América, utilizando 40.000 tarjetas SIM activas. [ref 9]

Una vez portado el número, la secuencia del ataque es veloz. El atacante utiliza tu número de teléfono para iniciar restablecimientos de contraseña en tu correo electrónico, luego en tus cuentas de exchange y finalmente en tus billeteras de criptomonedas. Los archivos de copia de seguridad de frases semilla almacenados en servicios en la nube, las capturas de pantalla guardadas en Google Photos o iCloud, y las credenciales almacenadas en caché en el navegador quedan al alcance del atacante. El Centro de Denuncias de Delitos en Internet del FBI recibió 1.611 denuncias de intercambio de SIM solo en 2021, con pérdidas que superaron los 68 millones de dólares. [ref 1] Para 2025, los informes del IC3 documentan pérdidas relacionadas con criptomonedas en todo tipo de fraudes que superan los 11.000 millones de dólares anuales. [ref 2]

Escenarios de entrada habituales:

• Un correo de phishing que recopila datos personales usados posteriormente ante el operador
• Una llamada falsa de "verificación de cuenta" de alguien que se hace pasar por tu operador
• Datos comprados en mercados clandestinos tras una filtración previa
• Un empleado de una tienda del operador comprometido que actúa en nombre de una red criminal
• Una solicitud de portabilidad fraudulenta a un operador competidor (variante conocida como estafa de "port-out")

Para quienes tienen criptomonedas, las consecuencias son graves porque las transacciones en blockchain son irreversibles por diseño. Una vez que los fondos salen de tu billetera, no pueden recuperarse mediante una disputa bancaria o una contracargo. Esto hace que los primeros minutos tras detectar un intercambio de SIM sean de vital importancia.

Por qué la gente cae en ella

Los ataques de intercambio de SIM tienen éxito no porque las víctimas sean descuidadas, sino porque explotan vulnerabilidades estructurales en la forma en que se diseñó la verificación de identidad basada en el teléfono. El sistema asume que quien controla un número de teléfono es el titular legítimo de la cuenta. Esa suposición tenía sentido en una época en que robar un número requería la posesión física del teléfono. Ya no es así.

Desde el punto de vista psicológico, varios factores agravan el problema. En primer lugar, la mayoría de las personas confían plenamente en su operador móvil. Cuando un "representante del operador" llama y explica que hay un problema con tu cuenta, el contexto activa la conformidad, no la sospecha. Los atacantes estudian sistemáticamente las técnicas de ingeniería social y utilizan señales de urgencia, autoridad y familiaridad que imitan las interacciones legítimas de soporte al cliente.

En segundo lugar, la información necesaria para superar los controles de seguridad del operador no es, en la práctica, verdaderamente secreta. Las preguntas de seguridad como "apellido de soltera de la madre" o "nombre de la primera mascota" suelen encontrarse en redes sociales, sitios de genealogía o antiguos foros. Los registros de intermediarios de datos contienen domicilios actuales y anteriores, y números de seguro social parciales de la mayoría de los adultos en Estados Unidos y muchos países europeos. Los atacantes no adivinan esta información: la compran.

En tercer lugar, la autenticación de dos factores (2FA) basada en SMS se promocionó ampliamente como una mejora de seguridad frente a las contraseñas, y en muchos casos lo es. El problema es que a la mayoría de los usuarios nunca se les comunicó que la 2FA por SMS tiene una debilidad conocida y específica: es tan segura como lo sea tu número de teléfono. Los titulares de criptomonedas de alto valor que siguieron las "mejores prácticas" activando la 2FA por SMS creyeron estar protegidos. Lo estaban frente a muchos ataques, pero no frente a este.

Por último, el ataque se produce mientras estás desconectado. Tu teléfono simplemente deja de recibir llamadas y mensajes. Ese momento de teléfono muerto puede atribuirse a la batería agotada, mala cobertura, una avería del operador o cualquier otra explicación mundana. Cuando la víctima se da cuenta de que algo va mal y contacta con el operador, es posible que el atacante ya haya terminado. La actualización normativa de la FCC de 2023 (FCC 23-95) obliga a los operadores a notificar a los clientes de inmediato sobre las solicitudes de cambio de SIM y a ofrecer bloqueos de cuenta gratuitos, precisamente porque históricamente la ventana de ataque ha sido invisible para las víctimas. [ref 7] La FTC documentó este patrón en su alerta al consumidor sobre estafas de intercambio de SIM, señalando que la combinación de registros de intermediarios de datos e ingeniería social hace que incluso las preguntas de seguridad "fuertes" sean prácticamente inútiles. [ref 8]

Primeras 24 horas: qué hacer de inmediato

En la recuperación de un intercambio de SIM, la velocidad importa más que en casi cualquier otro tipo de fraude. Los exchanges pueden congelar los retiros. Las empresas de análisis blockchain pueden marcar direcciones. Las fuerzas del orden pueden emitir solicitudes urgentes de conservación a plataformas que de otro modo podrían eliminar registros. Pero todo eso requiere que actúes rápido. Esta es la secuencia a seguir.

1. Paso 1 - Llama a tu operador desde otro teléfono. Usa un teléfono fijo, el móvil de un amigo o un dispositivo secundario. Reporta actividad no autorizada de SIM y exige un bloqueo de SIM o la congelación de la cuenta de inmediato. Pídeles que documenten el número de caso. Escala con un supervisor si el primer representante no te ayuda. Según la normativa FCC 23-95, los operadores están obligados a notificarte sobre cambios de SIM y a ofrecerte herramientas de protección de cuenta gratuitas. [ref 7]
2. Paso 2 - Protege tu correo electrónico desde un dispositivo no vinculado al número comprometido. Inicia sesión desde un dispositivo limpio y cambia tu contraseña de inmediato. Elimina tu número de teléfono como método de recuperación. Cambia la 2FA a una aplicación de autenticación (Google Authenticator, Authy o una llave de hardware como YubiKey). Si usas Gmail, accede a la configuración de seguridad y revisa las sesiones activas: revoca cualquiera que no reconozcas.
3. Paso 3 - Inicia sesión en todos los exchanges de criptomonedas y congela los retiros. La mayoría de los exchanges importantes disponen de una opción de congelación de retiros o de retención por "travel rule". Úsala. Si ya se ha accedido a tu cuenta, contacta de inmediato con el soporte del exchange y reporta el fraude. Los exchanges cuentan con equipos de cumplimiento normativo que pueden marcar direcciones y, en coordinación con empresas de análisis, potencialmente interceptar retiros en curso. Los datos de Chainalysis muestran que se robaron 2.200 millones de dólares en hackeos de criptomonedas en 2024, un aumento del 21% respecto al año anterior. [ref 5] Los exchanges son conscientes de la magnitud del problema y muchos tienen protocolos de respuesta a incidentes.
4. Paso 4 - Documenta todo antes de cambiar cualquier otra cosa. Toma capturas de pantalla del historial de tu cuenta en el exchange, el historial de transacciones de tu billetera, cualquier correo electrónico o mensaje que hayas recibido en torno al momento del ataque y cualquier notificación de inicio de sesión. Esta evidencia es fundamental para las fuerzas del orden y para cualquier investigación blockchain. No borres ni restablezca de fábrica ningún dispositivo involucrado.
5. Paso 5 - Presenta una denuncia policial. Contacta con la policía local para interponer una denuncia. Necesitas un número de caso para el seguimiento con los exchanges y para cualquier acción civil. Sé específico: anota la hora aproximada en que tu teléfono perdió la señal, los exchanges involucrados y las direcciones de billetera a las que se enviaron los fondos.
6. Paso 6 - Presenta una denuncia ante el IC3 del FBI. Accede a ic3.gov y presenta una denuncia. El IC3 coordina con el FBI y puede identificar patrones en múltiples víctimas, que es como se persiguen las redes de intercambio de SIM. El DOJ logró condenar a un hombre de Waxahachie, Texas, a 70 meses de prisión federal y a pagar 1,7 millones de dólares en restituciones por un esquema de fraude de SIM swap de 1,7 millones de dólares. [ref 10]
7. Paso 7 - Notifica a la FTC. Presenta un informe en reportfraud.ftc.gov. La FTC publica alertas sobre intercambios de SIM y coordina acciones de protección al consumidor contra operadores que no siguen los procedimientos de seguridad. [ref 8]
8. Paso 8 - Contacta con una empresa de forense blockchain para un triaje rápido. El rastreo de fondos en tiempo crítico puede identificar a dónde se movieron los activos robados en las primeras horas. Los fondos que llegan a un exchange centralizado antes de que se procese una solicitud de congelación a veces pueden retenerse. Esta ventana se cierra rápido, a menudo en 24-48 horas, conforme los fondos se mezclan o se trasladan a otras cadenas mediante bridges.

Qué NO hacer

• No contactes a nadie que se ponga en contacto contigo primero ofreciendo ayuda. Las estafas de segunda victimización son rampantes en el espacio cripto. Los estafadores monitorean publicaciones en redes sociales, denuncias al IC3 y foros de fraude en busca de víctimas recientes, y se acercan a ellas haciéndose pasar por especialistas en recuperación. Si alguien te contacta, y no al revés, trátalo como una estafa hasta que se demuestre lo contrario.
• No publiques las direcciones de tu billetera ni los detalles de las transacciones. Los atacantes monitorizan la actividad de sus víctimas. Si ven que estás rastreando los fondos robados, pueden moverlos de forma más agresiva. Mantén los detalles fuera de las redes sociales durante una investigación activa.
• No asumas que la 2FA por SMS es segura de nuevo después de que tu operador corrija el problema de SIM. La misma ingeniería social que funcionó una vez puede volver a funcionar. Migra todas las cuentas de alto valor a aplicaciones de autenticación o llaves de hardware de forma permanente.
• No envíes criptomonedas a nadie que afirme poder congelar o revertir la transacción. Las transacciones en blockchain no pueden ser revertidas por terceros. Cualquiera que afirme lo contrario está ejecutando una segunda estafa. Los investigadores legítimos no exigen pagos anticipados en criptomonedas antes de comenzar el trabajo.
• No tardes en presentar denuncias por vergüenza. Las víctimas de intercambio de SIM incluyen inversores sofisticados, profesionales de la seguridad y ejecutivos de criptomonedas. Se trata de un ataque técnico y dirigido. El retraso en las denuncias te hace perder la pequeña ventana en la que es posible la intervención del exchange y debilita la cadena de evidencias para cualquier acción legal. El FBI IC3 señala específicamente que el fraude de intercambio de SIM está subnotificado, lo que dificulta los esfuerzos investigativos. [ref 1]
• No restablezca de fábrica ni borres tu teléfono antes de una revisión forense. Tu dispositivo puede contener registros, datos en caché o evidencia del vector de ataque. Las fuerzas del orden y los investigadores forenses pueden necesitarlo. Manténlo apagado, pero íntegro. La evidencia forense de los dispositivos ha jugado un papel decisivo en varios casos de intercambio de SIM que llegaron a juicio, incluida la acusación de conspiración en Indiana. [ref 3]

Cómo es la recuperación real

La recuperación de criptomonedas tras un intercambio de SIM no es imposible, pero requiere entender con claridad en qué consiste realmente el proceso. No existen herramientas mágicas que reviertan transacciones en blockchain. El trabajo de recuperación legítimo consiste en investigación basada en evidencias, coordinación y, cuando es posible, acción legal.

El rastreo forense en la cadena es el punto de partida. Las empresas de análisis blockchain utilizan herramientas de rastreo de grafos para seguir los fondos robados a través de billeteras, a través de cadenas mediante bridges y hasta llegar a exchanges. Cada transacción en blockchain queda registrada de forma permanente. Eso no significa que el ladrón sea fácil de identificar: los atacantes sofisticados pasan los fondos por mezcladores, monedas de privacidad y bridges entre cadenas precisamente para oscurecer los rastros. Pero sí significa que siempre hay un rastro que seguir. La pregunta es si ese rastro lleva a algún lugar antes de que se cierre la ventana de acción.

La cooperación del exchange es donde el rastreo en la cadena se convierte en una posible recuperación. Si los fondos robados llegan a un exchange centralizado (CEX) antes de ser retirados, el equipo de cumplimiento del exchange puede congelar la cuenta pendiente de investigación. Esto requiere enviar al CEX un informe del incidente debidamente documentado con los hashes de transacción on-chain que demuestren el origen de los fondos. La red TRM Labs Beacon, que cubre más de 70 instituciones y aproximadamente el 75% del volumen global de trading de criptomonedas, permite solicitudes de congelación de fondos en tiempo real entre las plataformas participantes. [ref 6] El tiempo lo es todo: una vez que los fondos se retiran del CEX, esta ventana se cierra.

La coordinación con las fuerzas del orden añade el poder coercitivo que el análisis blockchain por sí solo no puede proporcionar. Las fuerzas del orden pueden ordenar mediante citación los registros KYC del exchange para identificar al atacante detrás de una billetera congelada, emitir solicitudes internacionales de asistencia legal mutua (MLAT) para activos en el extranjero y, en casos con suficiente evidencia, perseguir el decomiso de activos. El DOJ obtuvo el decomiso de más de 5 millones de dólares en Bitcoin robados a través de ataques de SIM swap. [ref 4] En noviembre de 2024, el DOJ acusó a tres residentes de Indiana en una conspiración nacional de SIM swapping. [ref 3]

La litigación civil contra el operador móvil es una vía separada que ha producido acuerdos destacados. Los operadores tienen el deber de proteger las cuentas de los clientes frente a portabilidades no autorizadas. Se han presentado demandas colectivas e individuales contra importantes operadores estadounidenses por fallos en la protección ante SIM swap.

Las tasas de recuperación varían ampliamente según la rapidez con que actúe la víctima, hasta dónde han llegado los fondos y si el atacante utilizó un CEX como vía de salida. No existe una respuesta honesta que garantice la devolución de los fondos. Lo que la investigación puede hacer es construir el expediente de evidencias necesario para la acción legal, determinar si los fondos son todavía recuperables y proporcionar a las fuerzas del orden elementos con los que trabajar.

Cuándo involucrar a un investigador profesional

No todos los casos de intercambio de SIM requieren asistencia profesional remunerada. Para pérdidas menores en las que los fondos ya han desaparecido y no se aprecia ninguna vía de salida por CEX, presentar denuncias al IC3 y a la FTC y mantener registros puede ser la respuesta adecuada. Sin embargo, hay varios umbrales que indican que la investigación profesional aporta un valor real.

Cuantía de la pérdida: Por encima de aproximadamente 10.000 dólares, el coste-beneficio del rastreo forense profesional suele inclinarse a favor del encargo. A partir de 50.000 dólares, la investigación profesional está casi siempre justificada.

Calidad de la evidencia: Si puedes proporcionar las direcciones de billetera a las que se enviaron los fondos, marcas de tiempo aproximadas del ataque e identificadores de transacción del exchange, un equipo forense tiene material con el que trabajar.

Tiempo transcurrido: Las primeras 48-72 horas tras un intercambio de SIM son la ventana de mayor valor para la intervención. La involucuación profesional en ese periodo puede marcar la diferencia entre una solicitud de congelación en vivo y una pista fría.

Cómo es una consulta profesional: Una consulta legítima de forense blockchain comienza con una evaluación del caso sin compromiso. El investigador revisa las evidencias de la transacción, evalúa los posibles caminos del flujo de fondos, identifica si hay vías de recuperación abiertas y proporciona una evaluación honesta de la probabilidad. No garantizan resultados. No exigen pagos anticipados en criptomonedas.

Recoveris trabaja con abogados especializados en recuperación de activos digitales, especialistas en análisis blockchain y enlaces con fuerzas del orden. Si no estás seguro de si vale la pena perseguir tu caso, una revisión del caso no te cuesta nada y te da información real. La operación SIMCARTEL de Europol en 2025 demostró que la coordinación multijurisdiccional entre especialistas forenses y organismos de seguridad es el mecanismo que lleva a los grupos de SIM swap ante la justicia. [ref 9]

Señales de alerta de estafas de recuperación

La segunda victimización no es un riesgo marginal: es un ataque de seguimiento predecible y organizado. Las redes criminales monitorean denuncias al IC3, foros de fraude cripto, publicaciones en redes sociales y servidores de Discord en busca de víctimas recientes de SIM swap. Se acercan con sitios web pulidos, testimonios falsos y afirmaciones técnicas plausibles.

• Te contactaron primero. Ninguna empresa legítima de recuperación contacta en frío a víctimas de SIM swap en Reddit, Telegram, Discord o por correo electrónico. Si alguien se pone en contacto contigo ofreciendo ayuda, eso es la estafa.
• Piden pago anticipado en criptomonedas. Exigir pago en criptomoneda antes de comenzar el trabajo es una señal inequívoca de fraude. Los investigadores legítimos trabajan con contratos escritos y estructuras de honorarios transparentes, a menudo basadas en contingencia o por horas.
• Garantizan la recuperación de los fondos. Nadie puede garantizar la recuperación de fondos en blockchain. Cualquier empresa que lo haga está mintiendo. Los investigadores honestos evalúan la probabilidad y explican qué vías de recuperación existen.
• Afirman tener "contactos gubernamentales" o "herramientas de reversión de blockchain". Las transacciones en blockchain no pueden revertirse. Los contactos gubernamentales no pueden recuperar fondos unilateralmente. Estas afirmaciones son inventadas para generar una falsa confianza.
• Te presionan para que actúes de inmediato. La urgencia es una táctica de manipulación. Los investigadores legítimos se toman el tiempo necesario para explicar lo que pueden y no pueden hacer. Cualquiera que diga que la ventana se cierra en 24 horas a menos que pagues ahora está ejecutando una táctica de presión.
• Sin credenciales verificables ni registro de empresa. Las empresas forenses legítimas tienen entidades legales registradas, direcciones verificables, investigadores identificados con trayectoria profesional y metodología publicada.

Si ya has sido blanco de un estafador de recuperación, repórtalo por separado al IC3 y a la FTC. El Informe Anual 2025 del FBI IC3 identifica el fraude de recuperación como un subconjunto creciente de las pérdidas totales relacionadas con criptomonedas. [ref 2] El Informe 2025 de Criminalidad Cripto de TRM Labs también identifica las redes de estafas de recuperación como una subindustria criminal estructurada. [ref 6]

Preguntas frecuentes