Estafas con Trust Wallet: falso soporte, drainers de aprobaciones y el incidente de la extensión de diciembre de 2025, según las propias páginas de Trust Wallet
¿Cómo funcionan las estafas con Trust Wallet?
Casi siempre consiguen que el usuario entregue la frase de recuperación o firme una transacción, sin romper la wallet. Las páginas de Trust Wallet, leídas el 14 de octubre de 2026, describen cinco: apps falsas, falso soporte, airdrops fraudulentos, tokens imitados y drainers. La excepción fue la extensión v2.68, que vació 2520 direcciones en diciembre de 2025.
Documentos revisados por última vez Revisado por Equipo del registro CryptoGuardz
Una estafa con Trust Wallet casi siempre funciona consiguiendo que el usuario entregue su frase de recuperación o firme una transacción, no rompiendo la wallet. Las páginas de seguridad de Trust Wallet, leídas el 14 de octubre de 2026, describen cinco patrones: apps falsas, falsos agentes de soporte, airdrops fraudulentos, tokens imitados y drainers de aprobaciones. La excepción fue la extensión de navegador v2.68, que vació 2520 direcciones en diciembre de 2025.
La página de seguridad de Trust Wallet de agosto de 2026 resume lo primero en una línea: Phishing sites, fake "support" agents, and crypto drainers work by convincing you to hand over the phrase or sign a bad transaction.
Las webs de phishing, los falsos agentes de "soporte" y los drainers funcionan convenciendo al usuario de que entregue la frase o firme una transacción dañina. La ficha de la wallet, sus cláusulas de custodia y su historial de incidentes están en la página de seguridad de Trust Wallet (en inglés).
¿Qué estafas con Trust Wallet describe la propia Trust Wallet?
| Estafa | Cómo funciona, según Trust Wallet | Comprobación que indica Trust Wallet |
|---|---|---|
| App falsa | Apps y webs copiadas que aim to steal your secret phrase, buscan robar la frase | Desarrollador mostrado como "Trust Wallet" en la tienda de apps |
| Falso soporte | Contacto por correo, redes sociales o chat claiming to be from Trust Wallet support | Trust Wallet will never ask for your seed phrase |
| Airdrop fraudulento | Webs falsas piden conectar o aprobar; These transactions can instantly drain your wallet | Un token o NFT no solicitado is usually a scam |
| Token imitado | Mismo nombre, otra dirección de contrato | Comprobar la dirección de contrato |
| Drainer de aprobaciones | Una aprobación firmada permite a un contrato mover tokens | Revocar aprobaciones y limitar importes |
¿Cómo funciona la estafa del falso soporte de Trust Wallet?
Primero llega un mensaje, antes que cualquier respuesta real de soporte. La guía de Trust Wallet sobre apps falsas, actualizada el 19 de agosto de 2026, describe a estafadores que contact you through email, social media, or chat applications, claiming to be from Trust Wallet support.
: escriben por correo, redes sociales o chat haciéndose pasar por el soporte de Trust Wallet. Su guía de estafas añade dónde: se hacen pasar por customer support representatives or community members on platforms like Discord and Telegram
, agentes de soporte o miembros de la comunidad en Discord y Telegram, y direct you to malicious websites under the guise of helping you resolve an issue.
: llevan a webs maliciosas con la excusa de resolver un problema.
El objetivo final es la frase. La frase de Trust Wallet:
Remember: Trust Wallet will never ask for your seed phrase through an app or email. If you encounter such a request, it's a scam.
Trust Wallet nunca pide la frase semilla por una app ni por correo; si alguien la pide, es una estafa. Las condiciones, tal como constan en el registro, lo confirman: Trust Wallet not gain or retain your wallet password, encrypted private key, unencrypted private key, or secret phrase
, no obtiene ni guarda la contraseña, las claves privadas ni la frase secreta. Así que ningún agente de soporte auténtico tiene nada que restaurar, y quien se ofrece a hacerlo es la estafa. Cómo funciona la frase está en qué es una frase semilla.
¿Cómo vacían una Trust Wallet los drainers de aprobaciones?
Mediante un permiso que firmó el propio usuario. La guía de Trust Wallet sobre drainers dice Approvals can be limited to a specific amount of tokens or set as "unlimited"
, las aprobaciones pueden limitarse a una cantidad o ser ilimitadas, y que las ilimitadas remain active indefinitely unless revoked, even if you stop using the dApp.
: siguen activas indefinidamente salvo que se revoquen, aunque se deje de usar la dApp. Desconectarse no sirve: Even after disconnecting from a dApp, token approvals remain active on the blockchain.
Las aprobaciones siguen activas en la blockchain.
La guía dice que los drainers llegan through phishing attacks or fraudulent dApps
, por phishing o dApps fraudulentas, disfrazados de investment opportunities, NFT minting sites, or token airdrops
, oportunidades de inversión, webs de acuñación de NFT o airdrops, y que pueden usar off-chain signatures (like EIP-2612)
, firmas fuera de la cadena que no necesitan ninguna transacción de aprobación. Sus contramedidas: aprobar solo el importe necesario, revocar las aprobaciones que no se usan con herramientas como Revoke.cash o el Token Approval Checker de Etherscan a través de WalletConnect, y leer el aviso del Security Scanner. La propia Trust Wallet describe ese escáner como a prompt to look closer, not a guarantee.
, una invitación a mirar mejor, no una garantía.
¿Qué pasó con la extensión de Trust Wallet en diciembre de 2025?
Una versión maliciosa, no un mensaje de estafa. El comunicado de Trust Wallet sobre el incidente, publicado el 30 de diciembre de 2025 y actualizado el 17 de julio de 2026:
On December 24, 2025, an unauthorized and malicious version of the Trust Wallet Browser Extension (version 2.68) was published to the Chrome Web Store outside of our standard release process (without mandatory review).
El 24 de diciembre de 2025 se publicó en la Chrome Web Store una versión maliciosa y no autorizada de la extensión (2.68), fuera del proceso normal y sin la revisión obligatoria. Trust Wallet la vincula, con high confidence
, alta confianza, al incidente de cadena de suministro Sha1-Hulud en npm de noviembre de 2025, que expuso secretos de GitHub de desarrolladores, entre ellos the Chrome Web Store (CWS) API key
, la clave de API de la Chrome Web Store. El periodo afectado fue del 24 al 26 de diciembre de 2025, para usuarios de la v2.68 que abrieron la extensión e iniciaron sesión. La app móvil no se vio afectada. Trust Wallet identified 2,520 wallet addresses that were affected by this incident and drained by the attackers, with approximately $8.5 million in assets impacted
: identificó 2520 direcciones afectadas y vaciadas, con unos 8,5 millones de dólares en activos, ligadas a 17 direcciones de los atacantes que, según Trust Wallet, también vaciaron wallets sin relación con el incidente. La solución fue volver atrás: verified clean version 2.67, released as 2.69.
, la versión 2.67 limpia, publicada como 2.69. Trust Wallet decided to voluntarily reimburse the affected users.
, decidió reembolsar de forma voluntaria a los afectados.
No es el primer incidente de la extensión. La CVE-2023-31290, recogida en el registro, afecta a versiones de la extensión cuya generación de semillas usaba solo 32 bits de entropía, as exploited in the wild in December 2022 and March 2023.
, un fallo explotado en diciembre de 2022 y marzo de 2023.
¿Quién intentó aprovecharse del reembolso de la v2.68?
Reclamantes que no eran víctimas. La actualización de Trust Wallet dice que ha received over 5,000 claims, indicating a significant number of duplicate or false submissions likely attempting to take victims’ reimbursements
: más de 5000 reclamaciones, muchas duplicadas o falsas, que probablemente intentaban quedarse con los reembolsos de las víctimas, frente a 2520 direcciones verificadas. Su indicación a las víctimas reales: reclamar solo por el formulario oficial de be-support.trustwallet.com, Please be cautious of impersonators
, cuidado con los suplantadores, y Trust Wallet will never ask for your private keys, seed phrases, or passwords.
Trust Wallet nunca pedirá claves privadas, frases semilla ni contraseñas.
Es el patrón que sigue a cualquier vaciado público: portales de reclamación falsos y falsos "agentes de recuperación". La FTC, la autoridad de consumo de EE. UU., recuerda que los pagos en cripto typically are not reversible
, normalmente no se pueden revertir, y las ofertas de recuperación de pago se explican, junto a las vías oficiales, en la página de ayuda tras una estafa (en inglés).
Respuestas rápidas
¿El chat de soporte de Trust Wallet es una estafa?
Un agente de soporte que escribe primero, o que pide la frase de recuperación, es una estafa según la propia definición de Trust Wallet, que will never ask for your seed phrase through an app or email.
Página de seguridad de Trust Wallet (en inglés).
¿Hackearon Trust Wallet?
Hackearon la extensión de navegador v2.68. Una versión maliciosa publicada el 24 de diciembre de 2025 vació 2520 direcciones, con unos 8,5 millones de dólares en activos afectados y 17 direcciones de atacantes; la app móvil no se vio afectada, y Trust Wallet dice que está reembolsando a las víctimas.
¿Cómo se frena un drainer?
Revocando las aprobaciones de tokens que no se usan, aprobando importes limitados y no firmando nunca en una web a la que se llega por un enlace no solicitado. La guía de Trust Wallet recuerda que las aprobaciones siguen activas even if you stop using the dApp.
Lista de seguridad para la autocustodia (en inglés).
¿Trust Wallet puede revertir una transacción de una estafa?
No. No tiene las claves, y la FTC recuerda que los pagos en cripto typically are not reversible.
Véase la página de ayuda tras una estafa (en inglés).
Fuentes
- Trust Wallet blog, Browser Extension v2.68 Incident, An Update to Our Community, published 30 December 2025, updated 17 July 2026, retrieved 14 October 2026
- Trust Wallet support, Security Notice, Browser Extension Version 2.68 Vulnerability, last updated 29 December 2025, retrieved 14 October 2026
- Trust Wallet blog, How to Avoid Fake Trust Wallet Apps, updated 19 August 2026, retrieved 14 October 2026
- Trust Wallet blog, How to Spot and Avoid Crypto Wallet Scams in 2025, updated 19 August 2026, retrieved 14 October 2026
- Trust Wallet blog, Token Approvals and Wallet Drainers, updated 9 June 2025, retrieved 14 October 2026
- Trust Wallet blog, Is Trust Wallet Safe, 13 August 2026, retrieved 14 October 2026
- GitHub Advisory Database, CVE-2023-31290, as recorded on the wallet register 2026-09-22
- Trust Wallet terms of service, as recorded on the wallet register 2026-09-22
- FTC, What To Know About Cryptocurrency and Scams, retrieved 14 October 2026
- CryptoGuardz Trust Wallet safety page
- CryptoGuardz crypto scam recovery page
Sobre este análisis
Elaborado por el equipo del registro CryptoGuardz a partir de las fuentes citadas arriba. La investigación y la redacción cuentan con asistencia de IA y las revisa un editor con nombre antes de publicarse. Nada de esto es una recomendación para jugar. Si una cifra o una lectura es errónea, avísenos (en inglés) y la corrección quedará registrada en público.