Una alerta de acceso que no reconoces cambia la prioridad: antes de revisar descuentos o mover fondos, protege el correo vinculado y entra al soporte desde una dirección conocida.
¿Por qué empezar por el correo?
El correo puede restablecer contraseñas y recibir alertas. Dale una contraseña propia y un segundo factor. Elimina reenvíos, métodos de recuperación y sesiones desconocidas.
No uses una bandeja compartida. Si el correo cae, varias capas de la cuenta se vuelven más fáciles de atacar.
¿Qué hace útil una contraseña?
Pesan más la longitud y el no repetirla que cualquier sustitución ingeniosa de letras por símbolos. Genérala y guárdala en un gestor de contraseñas conocido, y no la repitas en el correo ni en ningún otro servicio financiero.
Cámbiala si apareció en una filtración o la escribiste en una página sospechosa.
¿Qué métodos de verificación convienen?
Para comparar las opciones, consulta la explicación de Binance Academy: autenticación de dos factores. Un segundo factor protege el acceso, pero conviene preparar también la recuperación.
Comprueba qué métodos admite tu cuenta y cómo recuperarías cada uno. Las claves de acceso o passkeys y las llaves físicas compatibles reducen la exposición al phishing. Un autenticador genera códigos temporales; el SMS depende además de que mantengas el control del número telefónico.
Si el servicio proporciona códigos de recuperación, guárdalos de forma segura y separada del dispositivo principal. Antes de reemplazar un teléfono, verifica que conservas un método de acceso y una ruta de recuperación. No borres el único método funcional para probar otro.
¿Cuándo revisar dispositivos y sesiones?
Hazlo tras un viaje, pérdida de equipo, correo sospechoso o aviso inesperado. Elimina accesos que no reconozcas y revisa extensiones capaces de leer páginas. Cambia credenciales desde un dispositivo confiable.
No accedas desde computadoras públicas o escritorios remotos compartidos.
¿Qué controles reducen el riesgo de retiro?
La guía de Binance Academy: pasos para proteger una cuenta reúne los controles disponibles; revisa en tu cuenta cuáles puedes habilitar.
La lista blanca restringe los destinos de retiro cuando está activada. Verifica red, dirección y etiqueta. Trata cualquier cambio de lista blanca como un evento sensible.
Prueba un destino nuevo con un envío pequeño si el mínimo y la comisión lo permiten, y no retires nunca porque alguien te llame diciendo que hay que «poner los fondos a salvo».
¿Cómo manejar claves API?
Crea una clave solo para una necesidad concreta y otorga permisos mínimos. Desactiva retiros, limita IP cuando corresponda y elimina claves sin uso.
Los secretos API no deben aparecer en sitios, capturas ni código del navegador. Ante una posible filtración, revoca la clave.
¿Qué hacer ante actividad sospechosa?
- Confirma el evento por una ruta propia: abre la aplicación o dirección oficial, sin seguir el enlace de la alerta.
- Si el acceso no era tuyo: protege el correo desde un equipo confiable, revisa sesiones y cambia las credenciales expuestas. Si ya no puedes entrar, usa el procedimiento oficial de recuperación.
- Si detectas movimientos: conserva hora, identificadores y estado; comunícalos al soporte oficial y valora la denuncia ante la autoridad correspondiente.
No transfieras a un destino que te dicte un supuesto agente ni instales software de control remoto. Las pruebas del incidente se guardan para el caso, no para publicarlas en redes.
¿Cómo convertir la seguridad en una revisión periódica?
Separa los controles que previenen accesos de los que limitan sus consecuencias. Una vez al mes, confirma el correo de recuperación, los métodos 2FA, las passkeys, los dispositivos autorizados, la lista blanca de retiros y las claves API. Anota únicamente la fecha y el control revisado; no copies secretos ni códigos de respaldo.
Haz otra revisión después de cambiar teléfono, correo o contraseña. Anota qué cambió y comprueba si hay un aviso temporal de seguridad antes de planear un retiro. El registro útil dice «método revisado, acceso conservado, aviso pendiente»; nunca debe incluir el secreto del autenticador ni códigos vigentes.