Cómo saber si la app y el sitio web de un exchange son reales: herramientas oficiales de verificación, nombre del desarrollador de la app, código antiphishing y lista de control

Las apps falsas de exchanges y los sitios de phishing son una de las vías de entrada más comunes a las estafas con criptomonedas. En este artículo explico cómo saber si la app y el sitio web de un exchange son reales: consultar direcciones y cuentas en la herramienta oficial de verificación del exchange, revisar el nombre del desarrollador de la app antes de descargarla, usar el código antiphishing para distinguir los mensajes reales y reconocer cómo suelen verse las direcciones de phishing. Al final hay una lista de control.

Primero, la conclusión: escribe tú mismo el sitio oficial una vez y guárdalo en marcadores, entra a la app desde la página de descargas del sitio oficial y, si ves una dirección o una cuenta sospechosa, consúltala en la herramienta oficial de verificación del exchange. La herramienta solo puede demostrar que “esta dirección o esta cuenta pertenece al exchange”; no puede demostrar que un correo o una captura de pantalla sean reales. En los correos, busca el código antiphishing, y si alguien que dice hablar en nombre del exchange te pide transferir criptomonedas o darle un código de verificación, trátalo directamente como una estafa.

Este artículo es una recopilación de información y no constituye asesoría de inversión ni legal. Las herramientas de verificación, las direcciones y las fichas de las apps de cada exchange pueden cambiar. Todas las fuentes del artículo indican la fecha en que las revisé (2026-10-16); antes de usarlas, guíate por las páginas oficiales del exchange en ese momento.

Consulta direcciones y cuentas en la herramienta oficial de verificación del exchange

La mayoría de los exchanges grandes tiene una herramienta oficial de verificación para comprobar si una dirección web, un correo, un teléfono o una cuenta en redes sociales es oficial. Armé la tabla de abajo el 16 de octubre de 2026 con las páginas de cada exchange. Las propias herramientas de verificación también se pueden falsificar, así que escribe tú mismo el sitio oficial en el navegador y entra a la herramienta desde el pie de página o el centro de ayuda. No hagas clic en un “enlace de verificación” que te haya enviado otra persona.

KuCoin, Gate, MEXC, BingX y WEEX también tienen herramientas parecidas; sus direcciones están en la tabla comparativa de «Guiones de estafa con criptomonedas en el mundo de habla china».

Señales de un administrador falso según OKX

La página de ayuda de OKX (actualizada el 2026-09-01) señala estas situaciones como posibles indicios de un administrador falso:

• El nombre de usuario no aparece en la verificación de canales oficiales.
• La otra persona te escribe por privado sin que la contactes.
• El nombre de usuario tiene al menos un número.
• Los datos del administrador que te comparte no coinciden con los del grupo oficial.
• Dice tener una prueba de verificación, pero no se encuentran los datos de la cuenta.
• Te cobra cualquier tarifa, por ejemplo una tarifa de listado o un “depósito reembolsable”.

En Telegram, el nombre de usuario de un administrador se revisa en el campo de nombre de usuario. OKX indica que una cuenta sin nombre de usuario, o con el nombre escrito en la biografía, puede ser falsa.

Lo que la herramienta de verificación no puede comprobar

• Si un correo o un SMS es real. Bybit advierte que la dirección del remitente es fácil de falsificar. Aunque el dominio del remitente parezca correcto, por ejemplo los dominios oficiales de envío que lista la página de ayuda de OKX (@okx.com, @mailer1.okx.com, @mailer2.okx.com, @service2.okx.com), igual hay que usar el código antiphishing para juzgarlo (lo explico más abajo).
• Si lo que te piden tiene sentido. La página de Binance Verify aclara que la verificación solo ayuda a confirmar la identidad y no autoriza ninguna acción. Una cuenta oficial de verdad tampoco te pedirá en privado fondos, contraseñas ni códigos de verificación; las páginas oficiales de Binance, OKX y Bybit incluyen un aviso parecido de “nunca haremos esto”.

Antes de descargar la app de un exchange, revisa el nombre del desarrollador

Nombre del desarrollador de cuatro exchanges en las tiendas oficiales

La tabla muestra las fichas que encontré el 16 de octubre de 2026 (en App Store revisé las tiendas de Taiwán, Hong Kong y Singapur; en Google Play, la de Taiwán). El ID numérico de App Store y el nombre del paquete de Google Play son los identificadores fijos que aparecen en la URL de la tienda, y son más confiables que el nombre de la app.

La guía de descarga para iOS de OKX (actualizada el 2026-08-25) indica que el desarrollador de la app oficial para iOS es “OKX Inc.” y que cualquier otro desarrollador es una imitación. Para Binance, Bybit y Bitget no encontré una página oficial que escriba el nombre del desarrollador de la misma forma; la tabla muestra lo que encontré en las tiendas.

De esta tabla se desprenden tres cosas:

• El nombre del desarrollador no siempre es el nombre del exchange. El desarrollador de Bitget es BG LIMITED, y Binance aparece en App Store como Binance Switzerland AG. No basta con fijarse en si “el nombre incluye el del exchange”.
• Un mismo exchange puede tener nombres distintos en las dos tiendas. Binance aparece en Google Play como Binance Inc., y Bybit aparece en Google Play solo como “Bybit”.
• Una misma marca puede tener varias apps, de desarrolladores distintos. En App Store, el desarrollador de OKX Wallet es OKX Technology Inc y el de Bitget Wallet es BitKeep Global Inc.; si buscas Binance en la tienda de Estados Unidos, aparece Binance.US, cuyo desarrollador es BAM Trading Services, Inc.

Por eso, lo más seguro es entrar a la tienda desde la página de descargas del sitio oficial del exchange y volver a revisar el nombre del desarrollador y el ID, en lugar de buscar en la tienda y tocar el primer resultado. El artículo de Binance sobre cómo reconocer apps falsas, del 21 de febrero de 2023, también advierte que de vez en cuando aparecen fichas falsas incluso en las tiendas oficiales.

Otras señales de alerta que se ven en la página de la tienda

El mismo artículo de Binance enumera varios puntos para revisar:

• Información del desarrollador: si indica una empresa, un correo o un sitio web reales; luego confirma en internet que esos datos pertenecen a la empresa oficial.
• Reseñas: desconfía si hay una cantidad anormal de reseñas negativas o positivas. Las apps muy usadas suelen tener muchas descargas y llevar años publicadas; una app recién publicada con muchas reseñas y descargas es una señal de alerta.
• Permisos: las apps falsas suelen pedir permisos innecesarios después de instalarse, así que lee la política de privacidad antes de instalar.
• Haz primero una prueba pequeña: las apps falsas suelen cambiar la dirección de depósito por la del estafador, así que antes de una transferencia grande prueba depósitos y retiros con un monto pequeño.

Android: el APK, solo desde el sitio oficial

Cuando necesitas instalar un APK directamente, el origen del archivo es lo que más fácil sale mal. La guía de descarga para Android de OKX (actualizada el 2026-09-02) dice:

• No instales desde grupos de chat, anuncios de búsqueda, servicios de almacenamiento en la nube, sitios de APK de terceros ni enlaces enviados por desconocidos.
• Obtén el enlace del APK en la página oficial de descargas de okx.com: elige Android y, en las preguntas frecuentes sobre la descarga, usa “copiar el enlace de descarga del APK”; antes de descargar, confirma que el sitio pertenece a okx.com. Si el enlace oficial no está disponible por el momento, puedes escribir a download@okx.com o contactar al soporte oficial.
• Si la página, el archivo de instalación, la información del desarrollador, los permisos que pide o el proceso de inicio de sesión parecen sospechosos, detente. No ingreses contraseñas, códigos de verificación, frases semilla ni claves privadas.

Cómo suelen verse las direcciones de phishing: una palabra de más, un guion, otra terminación de dominio

Una alerta del FBI del 21 de diciembre de 2022 advierte que los dominios falsos a menudo solo tienen una palabra mal escrita o una letra fuera de lugar. La lista de plataformas sospechosas de negociación de activos virtuales de la SFC de Hong Kong (revisada el 2026-10-16) es un buen ejemplo real: dos entradas publicadas el 14 de agosto de 2026 suman decenas de dominios que contienen “hashkey” o una grafía parecida. En ellas se ven varias técnicas comunes:

HashKey Exchange es una de las plataformas de negociación de activos virtuales con licencia de la SFC. La SFC no aclara entrada por entrada si estas direcciones suplantan a HashKey; que sean imitaciones es una inferencia mía. La lista también aclara que no es exhaustiva, así que no aparecer en ella no significa que un sitio sea seguro.

Con Binance, OKX, Bybit y Bitget pasa lo mismo: si una dirección tiene palabras, números o guiones de más antes o después del dominio principal, o termina en algo distinto de lo que usas siempre, no inicies sesión todavía y consúltala en la herramienta de verificación.

Anuncios de búsqueda y enlaces por mensaje privado: las entradas más comunes a los sitios de phishing

Anuncios de búsqueda

La misma alerta del FBI indica que los estafadores compran anuncios en buscadores que suplantan marcas, y que esos anuncios se ven casi igual que los resultados de búsqueda reales. La alerta menciona en particular las plataformas de intercambio de criptomonedas: el sitio falso parece un exchange real y te pide ingresar tus datos de inicio de sesión. El FBI da tres recomendaciones:

1. Antes de hacer clic en un anuncio, mira la dirección; los dominios falsos suelen tener palabras mal escritas.
2. No busques bancos ni exchanges en el buscador. Escribe la dirección directamente en la barra de direcciones.
3. Al buscar, puedes usar una extensión del navegador que bloquee anuncios.

Grupos, mensajes privados y códigos QR

La guía de tácticas de estafa comunes de OKX (actualizada el 2026-09-07) dice que los estafadores suelen crear sitios falsos que suplantan a organizaciones legítimas y que también copian sitios reales. Recomienda buscar tú mismo el sitio o los datos de contacto oficiales en lugar de usar el enlace que te da la otra persona, y no abrir enlaces ni archivos adjuntos desconocidos, no escanear códigos QR que no conozcas y no compartir tu pantalla.

En «Guiones de estafa con criptomonedas en el mundo de habla china» conté que a menudo me agregan a grupos de Telegram que suplantan a Binance y OKX; nunca hago clic en los enlaces que mandan en esos grupos.

Código antiphishing: confirma que un correo o un SMS lo envió el exchange

El código antiphishing es un texto que configuras tú mismo en el exchange; a partir de ahí, todos los mensajes oficiales que te envíe el exchange lo llevan.

• La página de ayuda de Binance (actualizada el 2026-08-28) dice que el código antiphishing aparece en todos los correos y SMS oficiales de Binance; si falta o no es el correcto, el mensaje puede ser phishing y conviene reportarlo.
• La página de ayuda de Bybit dice que un código antiphishing ausente o incorrecto es un fuerte indicio de un correo o SMS fraudulento, y que antes de abrir el mensaje confirmes que coincide con el que configuraste.

El código antiphishing solo sirve para correos y SMS: no te protege de un sitio falso que abras tú mismo ni de una app falsa que instales por error. Cómo configurarlo en cada exchange está en «Configuración de seguridad de la cuenta en exchanges».

Cómo saber si la app y el sitio web de un exchange son reales: lista de control

Antes de usarlo por primera vez

• Escribe tú mismo la dirección del sitio oficial una vez, confírmala, guárdala en marcadores y entra siempre desde ese marcador.
• Entra a App Store o Google Play desde la página de descargas del sitio oficial y revisa el nombre del desarrollador y el ID de la app (nombre del paquete).
• Si en Android necesitas un APK, obtén el enlace solo en la página oficial de descargas.
• Configura un código antiphishing y recuerda cómo es.
• Anota en qué parte del sitio oficial está la herramienta oficial de verificación del exchange.

Cada vez antes de iniciar sesión o hacer clic en un enlace

• El dominio de la barra de direcciones coincide con el del marcador, no tiene palabras, números ni guiones de más antes o después, y la terminación no cambió.
• No llegaste desde un anuncio de búsqueda, un grupo, un mensaje privado, un código QR ni un enlace de un desconocido.
• El correo o SMS lleva el código antiphishing correcto; si te pide iniciar sesión o hacer algo, hazlo siempre desde la app o el marcador, nunca desde el enlace del mensaje.

Cuando alguien te contacta en nombre del exchange

• Consulta su cuenta, el enlace del grupo y la dirección web en la herramienta oficial de verificación.
• Si te escribe sin que lo contactes, te quiere cobrar, te pide contraseñas, códigos de verificación o la frase semilla, o te pide transferir criptomonedas a alguna dirección, corta la conversación.
• Si te manda una captura que dice “verificado”, busca tú mismo ese mismo nombre de usuario.

Si ya ingresaste datos en un sitio sospechoso o instalaste una app de origen desconocido

Estas son mis sugerencias, no un procedimiento oficial de los exchanges:

1. Deja de usar ese sitio o esa app y vuelve a entrar al exchange real desde tu marcador o la tienda oficial.
2. Cambia la contraseña y revisa la configuración de la autenticación en dos pasos. Mira el historial de inicios de sesión, la lista de dispositivos, las claves API y la lista blanca de direcciones de retiro para ver si se agregó algo que no reconoces.
3. Si hay algo raro en la cuenta, repórtalo abriendo el soporte desde la app o el sitio oficial; no acudas a un “soporte” que aparezca por su cuenta en un grupo o por mensaje privado.
4. Si ya se transfirieron activos, sigue los canales de denuncia por región de la última sección de «Guiones de estafa con criptomonedas en el mundo de habla china», y no le pagues a nadie que diga que puede recuperarlos.

La protección de la propia cuenta (passkeys, lista blanca de retiros) está en «Configuración de seguridad de la cuenta en exchanges»; dónde es más seguro guardar lo que tienes a largo plazo, en «Billetera fría, billetera caliente o custodia en un exchange»; y cómo evaluar la seguridad y la transparencia al elegir un exchange, en «Cómo elegir un exchange de criptomonedas».

Preguntas frecuentes

¿Cómo compruebo que el sitio web de un exchange es el oficial?

Pega la dirección en la herramienta oficial de verificación del propio exchange, por ejemplo Binance Verify, la verificación de canales oficiales de OKX, la verificación oficial de Bitget o Authenticity Check en Bybit. Entra a la herramienta desde el sitio oficial que escribiste tú mismo, no desde un enlace que te haya enviado otra persona.

¿Cuál es el nombre del desarrollador de las apps de Binance, OKX, Bybit y Bitget?

El 16 de octubre de 2026, los desarrolladores en App Store eran Binance Switzerland AG, OKX Inc., Bybit Fintech Limited y BG LIMITED; en Google Play aparecían como Binance Inc., OKX INC., Bybit y BG LIMITED. Un mismo exchange no siempre usa el mismo nombre en las dos tiendas, así que lo más seguro es entrar a la tienda desde la página de descargas del sitio oficial.

Si la herramienta de verificación dice que es oficial, ¿significa que el correo es real?

No necesariamente. La página de ayuda de Bybit advierte que la dirección del remitente de correos y SMS es fácil de falsificar, y que el resultado de la verificación no garantiza que el mensaje venga realmente de un buzón oficial de Bybit. En los correos también tienes que ver si aparece el código antiphishing que configuraste.

¿Puedo descargar la app de Android de un exchange desde un sitio de APK?

No es recomendable. La guía de descarga para Android de OKX dice que no instales desde grupos de chat, anuncios de búsqueda, servicios de almacenamiento en la nube, sitios de APK de terceros ni enlaces enviados por desconocidos, y que obtengas el enlace del APK en la página oficial de descargas de okx.com.

¿Es seguro buscar un exchange en Google y hacer clic en el primer resultado?

Cuidado con los anuncios de arriba. Una alerta del FBI de diciembre de 2022 indica que los estafadores compran anuncios de búsqueda que suplantan marcas y copian sitios que parecen exchanges reales para robar datos de inicio de sesión. El FBI recomienda escribir la dirección directamente en la barra de direcciones en lugar de buscarla.

¿El código antiphishing bloquea los sitios falsos?

No. La página de ayuda de Binance dice que el código antiphishing aparece en todos los correos y SMS oficiales de Binance y sirve para distinguir si los envió Binance. Te ayuda a reconocer mensajes falsos; contra los sitios falsos te protegen las herramientas de verificación y escribir la dirección tú mismo.