Configuración de seguridad de la cuenta en exchanges: passkeys, lista blanca de retiros y código antiphishing, qué admite cada uno y cómo configurarlos después de registrarte

Tengo cuenta en varios exchanges internacionales, entre ellos Bybit, Binance, OKX y Bitget, y cada uno llama de forma un poco distinta a las opciones de su centro de seguridad. En este artículo ordeno la configuración de seguridad de la cuenta en exchanges: qué funciones admite cada uno, contra qué protege cada una y qué configuraciones conviene activar, en orden, después de registrarte.

La respuesta corta: en la configuración de seguridad de la cuenta del exchange, activa al menos tres cosas: reemplaza la verificación por SMS con una passkey, una llave de seguridad física o una app de autenticación; activa la lista blanca de direcciones de retiro, y define un código antiphishing. Otras dos son mecanismos del lado del exchange que puedes revisar al elegir uno: si los retiros se suspenden un tiempo después de cambiar la configuración de seguridad y si hay un programa público de recompensas por errores. Estos cinco puntos son también la base del criterio «Seguridad de la cuenta y ciberseguridad» de mi calificación.

Este artículo es una recopilación de información y no constituye asesoramiento de inversión, fiscal ni legal. Las funciones, la ubicación de los menús y las reglas de los exchanges cambian, y cada explicación del artículo indica la fecha en que se revisó; antes de cambiar la configuración, guíate por las páginas oficiales actuales del exchange.

Qué funciones de seguridad de la cuenta admite cada exchange

Datos verificados: 2026-10-08

Exchange	passkey o llave de seguridad física	lista blanca de retiros	código antiphishing	bloqueo de retiros tras cambios de seguridad	programa de recompensas por errores	Seguridad de la cuenta (0–10)	Fuente
Binance	Sí	Sí	Sí	Sí	Sí	10	2026-10-08
BingX	Sí	Sí	Sí	Sí	Sí	10	2026-10-09
Bybit	Sí	Sí	Sí	Sí	Sí	10	2026-10-08
Gate	Sí	Sí	Sí	Sí	Sí	10	2026-10-08
OKX	Sí	Sí	Sí	Sí	Sí	10	2026-10-08
Bitfinex	Sí	Sí	no figura en la documentación oficial	Sí	Sí	8	2026-10-08
Bitget	Sí	Sí	Sí	Sí	no figura en la documentación oficial	8	2026-10-08
HTX	Sí	Sí	no figura en la documentación oficial	Sí	Sí	8	2026-10-08
KuCoin	Sí	no figura en la documentación oficial	Sí	Sí	Sí	8	2026-10-08
MEXC	Sí	Sí	Sí	Sí	no figura en la documentación oficial	8	2026-10-08
Pionex	Sí	Sí	no figura en la documentación oficial	Sí	Sí	8	2026-10-09
XT.COM	Sí	no figura en la documentación oficial	Sí	Sí	Sí	8	2026-10-08
Ourbit	no figura en la documentación oficial	Sí	Sí	Sí	no figura en la documentación oficial	6	2026-10-09
WEEX	no figura en la documentación oficial	Sí	Sí	Sí	no figura en la documentación oficial	6	2026-10-08

Esta tabla usa los mismos datos que mi «Metodología de calificación de exchanges». Cada punto se basa en las páginas de ayuda oficiales del exchange e indica la fecha de revisión. Cuando la tabla dice «no figura en la documentación oficial», significa que no encontré la función en las páginas de ayuda oficiales, lo que no necesariamente significa que el exchange no la tenga; si después encuentro documentación oficial, la actualizo.

Al leer la tabla, ten en cuenta dos cosas:

Que el exchange tenga la función no significa que tu cuenta ya la tenga activada. Para las tres primeras (passkey o llave de hardware, lista blanca de retiros, código antiphishing), las páginas de ayuda de Binance y de OKX indican que tienes que agregarlas o activarlas tú mismo en la configuración de seguridad.
«Passkey o llave de hardware» va en una sola columna y no distingue entre las dos. Si quieres usar una llave de seguridad física, confirma primero que la página de ayuda de ese exchange la menciona.

Contra qué protege cada una de las cinco funciones de seguridad de la cuenta

Passkeys o llaves de seguridad físicas: contra el acceso indebido a tu cuenta

La verificación en dos pasos (2FA) es un segundo control además de la contraseña. Los métodos más comunes son los códigos por SMS, las apps de autenticación (por ejemplo, Google Authenticator), las passkeys y las llaves de seguridad físicas.

Los códigos por SMS son lo más cómodo, pero te pueden quitar el número de teléfono. Un documento de la Comisión Federal de Comunicaciones de EE. UU. (FCC) del 25 de octubre de 2023 describe el «cambio de SIM» (SIM swapping): los estafadores convencen a la operadora de la víctima de pasar el número y el servicio móvil a un teléfono que ellos controlan, y desde ese momento los códigos de verificación les llegan a ellos.

Las passkeys y las llaves de seguridad físicas usan los estándares FIDO. La FIDO Alliance (revisado el 2026-10-12) explica que una passkey está vinculada al sitio web o la app que la creó y que entre las dos partes no hay ningún secreto compartido; resistir el phishing es su objetivo de diseño central.

Antes de usarlas, piensa en un respaldo:

Dónde se guarda la passkey: la página de ayuda de Binance (revisado el 2026-10-12) dice que una passkey guardada en el llavero de iCloud se sincroniza con todos los dispositivos Apple del mismo Apple ID; si eliges guardarla en tu perfil de Chrome, solo queda en ese dispositivo.
Lleva contigo la llave de seguridad física: la página de ayuda de OKX (revisado el 2026-10-12) advierte que necesitas tener la llave contigo para usarla, y que perder el dispositivo u olvidar el PIN todavía puede causarte problemas.

Lista blanca de direcciones de retiro: contra retiros a direcciones desconocidas

Con la lista blanca activada, tu cuenta solo puede retirar a las direcciones que agregaste antes a la lista. Aunque alguien inicie sesión en tu cuenta, no puede retirar directamente a una dirección que no esté en ella.

Tomemos como ejemplo la guía de configuración de retiros de Binance (revisado el 2026-10-12):

Con la lista blanca activada, solo puedes retirar a las direcciones de la lista; para activarla hay que verificar con una passkey o con 2FA.
La «restricción de retiros de la lista blanca» bloquea los retiros a las direcciones recién agregadas durante el periodo que elijas. Binance recomienda dejarla activada: si te roban la cuenta y el atacante agrega su propia dirección, tienes tiempo de reaccionar.
Desactivar la restricción de retiros de la lista blanca, o modificar la lista, puede suspender los retiros durante 24, 48 o 72 horas.

Por eso, lo mejor es configurar la lista blanca antes de tener prisa por retirar, agregando primero las direcciones de las billeteras que usas siempre.

Código antiphishing: distinguir los correos falsos del exchange

El código antiphishing es un texto que defines tú, y a partir de entonces los correos oficiales del exchange lo incluyen. La página de ayuda de Binance (revisado el 2026-10-12) dice que se agrega a los correos electrónicos y a los SMS oficiales; la guía de seguridad de la cuenta de OKX (revisado el 2026-10-12) dice que a todos los correos electrónicos.

Si un mensaje que recibes no trae el código antiphishing, o trae uno incorrecto, trátalo como phishing: no hagas clic en sus enlaces; abre tú mismo la app del exchange o escribe la dirección a mano para comprobarlo. El código antiphishing no bloquea un sitio falso en sí; lo que hace es permitirte ver de un vistazo si el mensaje lo envió de verdad el exchange.

Suspensión de retiros tras cambiar la seguridad: tiempo para reaccionar ante un acceso indebido

Esta no la activas tú: es una regla del lado del exchange. Si alguien entra a tu cuenta y cambia la contraseña o el 2FA, los retiros quedan bloqueados un tiempo después del cambio, y así tienes tiempo de darte cuenta y congelar la cuenta.

La página de ayuda de Binance (revisado el 2026-10-12) dice que, después de acciones de seguridad como cambiar la contraseña, los retiros se suspenden de 24 a 48 horas, no se pueden desbloquear antes de que pase ese tiempo y luego se reanudan solos. Esta regla también te afecta a ti: si vas a cambiar de teléfono o restablecer el 2FA, evita los días en que necesites retirar.

Programa de recompensas por errores: el exchange pide a investigadores de seguridad que busquen fallas

Un programa de recompensas por errores (bug bounty) es aquel en el que el exchange invita a investigadores de seguridad externos a reportar vulnerabilidades de sus sistemas y les da una recompensa según la gravedad. Tú no tienes que configurar nada; indica que el exchange está dispuesto a dejar que personas de fuera revisen sus sistemas de forma abierta. Tener un programa público no significa que no lo vayan a hackear, y no tenerlo tampoco significa que sea inseguro; en la calificación vale 2 puntos, igual que cada uno de los otros cuatro.

Configuración de seguridad de la cuenta en exchanges: qué activar, en orden, después de registrarte

El orden de abajo es una forma general de hacerlo. Cada exchange nombra sus menús de forma distinta: por ejemplo, Binance lo tiene en «Cuenta → Seguridad» y OKX en «Centro de seguridad». Para los pasos concretos, guíate por las páginas de ayuda de cada uno.

Inicio de sesión y verificación

Define una contraseña que uses solo en este exchange. No la compartas con tu correo ni con otros sitios.
Usa una passkey, una llave de seguridad física o una app de autenticación como 2FA y, si puedes, no dependas solo de los códigos por SMS. En Binance la ruta es Perfil → Cuenta → Seguridad → Passkeys (biometría) → Agregar passkey; en OKX, para agregar una llave física la ruta es Perfil y configuración → Centro de seguridad → Passkeys → Agregar passkey → Usar otro dispositivo o una llave externa (páginas de ayuda de los dos revisadas el 2026-10-12).
Prepara un respaldo: antes de activarlas, piensa en qué cuenta o dispositivo queda guardada la passkey, dónde guardas la llave física y cómo vas a pasar la app de autenticación cuando cambies de teléfono.
Revisa con regularidad los dispositivos con sesión iniciada: la guía de seguridad de la cuenta de OKX recomienda revisar con regularidad los dispositivos vinculados y eliminar los que no sean de confianza, y revocar de inmediato las autorizaciones de apps de terceros si tienes alguna duda sobre ellas.

Protección de retiros

Activa la lista blanca de direcciones de retiro y agrega primero las direcciones de las billeteras que usas siempre; al agregar una dirección, confirma que la moneda y la red sean las correctas.
Mantén el periodo de suspensión de retiros para direcciones nuevas: si el exchange ofrece una opción del tipo «suspender retiros a direcciones nuevas», déjala activada.
Define un código antiphishing, recuerda cómo es y compruébalo en cada mensaje que recibas a partir de entonces.

En el uso diario

Descarga las apps solo de los canales oficiales, y las extensiones del navegador, solo de fuentes oficiales. La guía de seguridad de la cuenta de OKX también advierte que el soporte oficial nunca te escribe por mensaje privado por iniciativa propia.
Si ves una operación que no hiciste tú, cambia la contraseña o congela la cuenta de inmediato. La guía de seguridad de la cuenta de OKX menciona estas dos medidas.
Antes de un retiro grande, haz una prueba con un monto pequeño, confirma que la dirección y la red son correctas y luego retira el resto. Cómo elegir la red está en «Cómo elegir la red para retirar USDT».

Contra qué no protegen estas configuraciones

La configuración de seguridad de la cuenta protege contra «que otra persona opere tu cuenta». Hay tres tipos de riesgo que no cubre:

Problemas del propio exchange: si el exchange está mal administrado, lo hackean o suspende los retiros, da igual lo bien configurada que tengas tu cuenta. Para esto hay que mirar la prueba de reservas del exchange y los incidentes que ha tenido; consulta «¿Cómo revisar la prueba de reservas?».
Que tú mismo envíes el dinero: si te engañan y haces la transferencia tú mismo, cada verificación la pasas tú en persona, y la lista blanca no puede bloquear una dirección que agregaste con tus propias manos.
Que manipulen la billetera que custodias tú: una vez que retiras las monedas a una billetera fría, la seguridad pasa a depender de la billetera en sí. Qué revisar después de comprar una billetera fría está en la lista de verificación de «Robo de Ledger».

Por eso, además de la configuración, deja en el exchange solo el monto que vas a operar, y lo que mantengas a largo plazo guárdalo en una billetera donde tú controles las claves privadas, que es también lo que propongo en «Cómo elegir un exchange de criptomonedas».

Cómo cuenta la seguridad de la cuenta en la calificación de los exchanges

En mi «Metodología de calificación de exchanges», «Seguridad de la cuenta y ciberseguridad» pesa un 5% del total: cada uno de los cinco puntos de arriba vale 2 puntos, hasta un máximo de 10, siempre según las páginas de ayuda oficiales. Los criterios con más peso son la prueba de reservas (20%), el volumen y la profundidad (20%), los incidentes pasados (15%) y las licencias (15%); tener todas las funciones de seguridad de la cuenta no significa que el exchange sea más seguro en general.

Para ver todas las funciones de seguridad y los demás criterios de un exchange en particular, consulta su reseña, por ejemplo la «reseña de OKX», la «reseña de Bybit», la «reseña de Binance» y la «reseña de Bitget»; las reseñas de los demás exchanges están en la página temática de criptomonedas.

Preguntas frecuentes

¿Qué configuraciones de seguridad de la cuenta del exchange conviene activar primero?

Primero reemplaza la verificación por SMS con una passkey, una llave de seguridad física o una app de autenticación como verificación en dos pasos, y luego activa la lista blanca de direcciones de retiro y el código antiphishing. Estas tres frenan, respectivamente, que alguien inicie sesión en tu cuenta, que retiren tu dinero a una dirección desconocida y los correos de phishing que se hacen pasar por el exchange.

¿Por qué una passkey es más segura que un código por SMS?

La FIDO Alliance explica que una passkey está vinculada al sitio web que la creó y que entre las dos partes no hay ningún secreto compartido; está diseñada para resistir el phishing. Los códigos por SMS, en cambio, pueden interceptarse mediante el cambio de SIM: la FCC de EE. UU. explica que los estafadores pueden convencer a la operadora de pasar el número de la víctima a un teléfono que ellos controlan.

¿Qué es el código antiphishing?

El código antiphishing es un texto que defines tú, y a partir de entonces los mensajes oficiales del exchange lo incluyen. La página de ayuda de Binance dice que se agrega a los correos electrónicos y a los SMS oficiales; si un mensaje que recibes no trae ese texto o trae uno distinto, puede ser phishing.

Activé la lista blanca de retiros, ¿por qué no puedo retirar justo después de agregar una dirección?

Es una protección intencional. En Binance, por ejemplo, con la restricción de retiros de la lista blanca activada, las direcciones recién agregadas no pueden recibir retiros durante el periodo que elijas, para que tengas tiempo de reaccionar si te roban la cuenta; desactivar o modificar la lista blanca también puede suspender los retiros durante 24, 48 o 72 horas.

Después de cambiar la contraseña no puedo retirar, ¿soporte puede levantar la suspensión antes?

La página de ayuda de Binance dice que, después de acciones de seguridad como cambiar la contraseña, los retiros se suspenden de 24 a 48 horas, no se pueden desbloquear antes de que pase ese tiempo y luego se reanudan solos. En otros exchanges los plazos y las condiciones son distintos; guíate por la página de ayuda de cada uno.

Si activo todas las configuraciones de seguridad, ¿mi dinero está seguro en el exchange?

No necesariamente. Estas configuraciones evitan que otra persona opere tu cuenta, pero no evitan que el propio exchange tenga problemas, sufra un hackeo o suspenda los retiros, ni que tú mismo le envíes dinero a un estafador. Lo que mantengas a largo plazo conviene guardarlo en una billetera fría donde tú controles las claves privadas.