Entre los primeros 10 resultados al buscar "Binance", es posible encontrar entre 3 y 4 sitios web de phishing. Estas páginas fraudulentas poseen una interfaz casi idéntica a la oficial, y su propósito es interceptar las credenciales una vez introducidas. Este artículo expone 5 métodos técnicos para determinar la autenticidad de un sitio web de Binance, permitiendo evaluar cualquier enlace en menos de 30 segundos. Para descargar el cliente oficial, acceda directamente al sitio web oficial de Binance, para dispositivos móviles utilice la aplicación oficial de Binance; los usuarios de iPhone pueden consultar el tutorial de instalación para iOS.
Dominios oficiales de Binance
Es fundamental reconocer la siguiente lista de dominios legítimos:
| Propósito | Dominio oficial |
|---|---|
| Sitio principal global | binance.com |
| Sitio para Estados Unidos | binance.us |
| Sitio para Japón | binance.co.jp |
| Sitio para Singapur | binance.sg (anteriormente usado, ya migrado) |
| Comunidad de contenido | academy.binance.com |
| Blog oficial | blog.binance.com |
| Explorador de Binance Smart Chain | bscscan.com |
| Dominios de correo oficial | @binance.com / @post.binance.com |
Cualquier otro dominio que incluya la palabra "binance" y no figure en esta lista debe considerarse una falsificación, incluyendo, entre otros:
- binance-cn.com
- binancee.com
- binance-login.com
- binance-app.net
- binance.vip
- binance.io
- web-binance.com
- my-binance.com
- binance-pro.com
5 tácticas comunes de los sitios web de phishing
Táctica 1: Sustitución de caracteres
Consiste en reemplazar letras en la palabra binance con caracteres visualmente similares:
- binance.com (la "i" se reemplaza por la "ı" turca sin punto)
- blnance.com (la "i" se reemplaza por la "l")
- binance.co (".co" en lugar de ".com")
- binance.com (la "n" se reemplaza por "ŋ" o un carácter griego)
Este tipo de ataque se conoce como "ataque homográfico IDN" y la diferencia visual en la barra de direcciones del navegador es imperceptible.
Táctica 2: Ofuscación de subdominios
- binance.com.fakesite.com
- login.binance.scamdomain.net
- secure-binance.phishing.xyz
El dominio principal siempre corresponde a las dos últimas secciones a la derecha. Por ejemplo, en "xxx.binance.com", el dominio principal es binance.com; mientras que en "binance.xxx.com", el dominio principal es xxx.com, lo que indica que es falso.
Táctica 3: Secuestro de espacios publicitarios
Los atacantes invierten en anuncios para la palabra clave "Binance" en los motores de búsqueda, logrando posicionarse por encima del sitio oficial. Al hacer clic, se muestra una interfaz replicada, pero la URL en la barra de direcciones es fraudulenta.
A menudo, el primer resultado en Google o Bing puede ser un anuncio de phishing.
Táctica 4: Sustitución de códigos QR
Se distribuyen códigos QR para "descargar Binance" en grupos de WeChat o Telegram que redirigen a sitios de phishing o archivos APK maliciosos.
Táctica 5: Phishing mediante enlaces en correos electrónicos
Se envían correos suplantando a Binance con asuntos como "Actividad inusual en su cuenta", "KYC pendiente de revisión" o "Retiro rechazado", donde los enlaces contenidos dirigen a sitios fraudulentos.
5 métodos para verificar rápidamente la autenticidad
Método 1: Escribir el dominio directamente en lugar de hacer clic en enlaces
Desarrolle el hábito de escribir siempre manualmente binance.com en la barra de direcciones del navegador, evitando acceder a través de motores de búsqueda, correos, chats o códigos QR.
Método 2: Guardar el sitio oficial en marcadores
Una vez confirmada la autenticidad del sitio oficial por primera vez, añádalo inmediatamente a sus marcadores. Posteriormente, acceda siempre desde el marcador, omitiendo los motores de búsqueda.
Método 3: Inspeccionar el certificado SSL
Haga clic en el icono del candado a la izquierda de la barra de direcciones y revise a quién se ha emitido el certificado:
- El sitio oficial genuino tiene un certificado emitido para
Binance Holdings Limitedo*.binance.com, firmado por una Autoridad de Certificación (CA) reconocida como DigiCert o GlobalSign. - La mayoría de los sitios falsos utilizan certificados gratuitos de Let's Encrypt, donde la entidad emisora es simplemente una cadena de dominio.
Un certificado gratuito no implica necesariamente un sitio falso, pero el verdadero Binance siempre utilizará certificados EV u OV de pago.
Método 4: Verificar el código antiphishing (Anti-Phishing Code)
Este es el método más riguroso. Si ha activado el código antiphishing en Binance, todos los correos electrónicos legítimos de la plataforma incluirán automáticamente este código.
- Correo sin código antiphishing → Phishing
- Código antiphishing incorrecto → Phishing
- Código antiphishing correcto → Auténtico
Si no tiene activado el código antiphishing, habilítelo de inmediato (en la sección Centro de Seguridad → Código Antiphishing).
Método 5: Verificación inversa de códigos QR
La página oficial de descargas de la aplicación de Binance utiliza un código QR dinámico que cambia con cada actualización de la página. Si observa un código QR estático que circula repetidamente en diversos grupos, es phishing con un 100% de probabilidad.
Cómo identificar aplicaciones móviles falsas
Las aplicaciones falsas de Binance se propagan generalmente por estos canales:
- Enlaces de instalación con la "última versión de Binance" en grupos de chat.
- Archivos APK cuya descarga es promovida por sitios web falsificados.
- Aplicaciones piratas en tiendas de aplicaciones de terceros.
- Múltiples versiones nombradas como "Binance Pro" o "Binance Plus".
Canales de descarga correctos
- iOS: Busque "Binance" en la App Store de regiones como EE. UU., Japón o Hong Kong (no disponible en la región de China continental).
- Android: Busque "Binance" en Google Play o descargue el archivo APK desde el sitio oficial.
- APK oficial: Descargue exclusivamente desde binance.com/download.
Verificación de la autenticidad del archivo APK
Tras descargar el archivo APK, utilice los siguientes métodos para su validación:
- Compruebe si el tamaño del archivo coincide con el indicado en el sitio web oficial.
- Compare el valor hash SHA-256.
- Revise la huella digital del certificado de firma del APK.
La información del certificado de firma del APK oficial es invariable; cualquier modificación por parte de terceros alterará la firma del APK.
Qué hacer en caso de acceder a un sitio de phishing
Si solo visualizó la página
Simplemente cierre la pestaña; no habrá consecuencias.
Si introdujo su cuenta y contraseña
Ejecute las siguientes acciones inmediatamente:
- Acceda al verdadero binance.com y cambie su contraseña de inicio de sesión.
- Fuerce el cierre de sesión en todos los dispositivos (Centro de Seguridad → Gestión de dispositivos).
- Revise el historial de inicio de sesión en busca de anomalías.
- Vuelva a vincular la autenticación de dos factores (2FA).
- Habilite la lista blanca de retiros.
- Si detecta un robo en un corto periodo de tiempo, congele la cuenta de inmediato.
Si también descargó una aplicación falsa
- Desinstale la aplicación falsa.
- Escanee el dispositivo en busca de malware.
- Restablezca el dispositivo a la configuración de fábrica (si no puede confirmar que el dispositivo está limpio).
- Inicie sesión en Binance desde un dispositivo seguro y verifique sus activos.
Preguntas Frecuentes
P: ¿El primer resultado en Google, Bing o Baidu al buscar "Binance" es siempre phishing?
R: No necesariamente, pero ocurre con frecuencia. Los espacios publicitarios en las búsquedas a menudo son adquiridos por sitios de phishing. La práctica más segura es escribir binance.com directamente.
P: ¿Es realmente efectivo el código antiphishing?
R: Es sumamente efectivo. Es una función diseñada específicamente por Binance para combatir el phishing. Cada correo electrónico auténtico incluirá este código, y los atacantes no pueden falsificarlo porque desconocen cuál es su código.
P: ¿Puede una aplicación falsa robar mi 2FA?
R: Sí. Muchas aplicaciones falsas interceptan los códigos 2FA de forma sincronizada al momento de iniciar sesión, e incluso pueden extraer frases semilla del portapapeles. Asegúrese de realizar descargas únicamente desde canales oficiales.
P: ¿Debo preocuparme si hice clic en un enlace de phishing pero no introduje mis credenciales?
R: En principio, no. Siempre y cuando no haya introducido contraseñas, códigos 2FA, ni descargado o ejecutado archivos, el mero acceso a la página no compromete la cuenta. No obstante, se recomienda borrar las cookies y el caché del navegador como medida preventiva.