Cambias de operadora, dejas vencer la línea antigua y, meses después, una pantalla de inicio de sesión te pide un código que se envía a un número que ya no es tuyo. La cuenta no está perdida, y la blockchain no tiene nada que ver con el problema. Lo que decide cuán difícil será la próxima hora es cuál de tres tareas distintas cumplía ese número para la cuenta.
Un número de teléfono cumple hasta tres tareas a la vez
Una cuenta puede enganchar tu número en tres sitios distintos. Puede ser el identificador de acceso, lo que escribes donde otra persona escribe una dirección de correo. Puede ser el canal de entrega de un código de un solo uso, que es exactamente lo que es la autenticación de dos factores por SMS. Y puede ser un dato de contacto dentro del registro de identidad, junto a tu nombre legal y el número de tu documento.
Nada en la pantalla de acceso te dice cuál de las tres tienes, y las tres fallan en momentos distintos. Un dato de contacto falla en silencio: los avisos dejan de llegar y no te enteras hasta que vas a buscarlos. Un canal de entrega falla en el siguiente acceso que pida un código. Un identificador falla en la primera tecla, porque ya no queda nada que escribir.
Ese número también decide cuánto trabajo queda después de arreglar la parte evidente. Sacar el segundo factor del SMS cierra la segunda tarea y deja las otras dos exactamente donde estaban, y así es como una cuenta sigue atada a un número muerto mucho después de que dieras el asunto por resuelto.
| Qué hacía el número | Cómo se manifiesta la pérdida | Qué tiene que sustituirlo |
|---|---|---|
| Identificador de acceso | El acceso no se puede ni empezar | Otro identificador ya registrado, o recuperación con el proveedor |
| Canal de entrega del código | La contraseña funciona, el código nunca llega | Otro segundo factor, o recuperación con el proveedor |
| Dato de contacto del registro de identidad | No llega nada y nada lo anuncia | Un registro actualizado, cambiado desde dentro de la cuenta |
El número deja de ser tuyo de más de una manera
Un número vencido no es una línea muerta. Al anunciar su base de datos de números reasignados, la Comisión Federal de Comunicaciones de Estados Unidos escribió que millones de números de teléfono se reasignan cada año y que quienes llaman usando la base de datos podrían averiguar qué números habían sido desconectados de forma permanente y quedaban disponibles para reasignación. Un código enviado a un número liberado puede entregarse, por tanto, con toda normalidad, a quien lo tenga ahora.
La otra vía es que te quiten el número mientras todavía es tuyo. En un SIM swap el atacante convence a tu operadora de trasladar tu servicio a un teléfono que él tiene; en el fraude de portabilidad se hace pasar por ti, abre una cuenta con otra operadora y consigue que el número se traslade allí. En noviembre de 2023 la Comisión adoptó normas que obligan a las operadoras móviles a usar métodos seguros para autenticar a un cliente antes de redirigir su número a un dispositivo o un proveedor nuevos, y a avisar al cliente de inmediato cada vez que se solicite un cambio de SIM o una portabilidad en su cuenta.
Para quien diseña el flujo de recuperación, ambas vías apuntan en la misma dirección. Las guías de identidad digital publicadas por el Instituto Nacional de Estándares y Tecnología de Estados Unidos marcan como restringido el uso de la red telefónica pública conmutada para la verificación fuera de banda, y piden a los verificadores que sopesen indicadores de riesgo como el cambio de dispositivo, el cambio de SIM y la portabilidad del número antes de enviar un secreto por esa vía. Un número de teléfono no puede ser lo que demuestra que eres tú, precisamente porque el número es la parte que puede haber sido trasladada.
Una cuenta custodial tiene un administrador
Una cuenta de exchange se puede reabrir solo porque las claves las tiene otro. En un esquema custodial el proveedor controla las claves privadas y opera encima una capa de cuentas, de modo que existe una parte con autoridad para cambiar lo que esa cuenta acepta como prueba de que eres tú.
La autocustodia no tiene ese cargo. Nadie puede emitirte un secreto de repuesto, y por eso una frase semilla perdida y un número de teléfono perdido son categorías distintas de problema, aunque las dos se sientan como una puerta cerrada. La recuperación en una cuenta custodial no recupera nada. Es el proveedor desvinculando un autenticador y vinculando otro al mismo titular, y la primera pregunta que tiene que resolver no es si tienes el teléfono, sino si eres la persona a la que pertenece la cuenta.
Lo que sustituye al código que falta es el registro de identidad
El expediente con el que se abrió la cuenta es el expediente con el que se vuelve a abrir. Como la plataforma te hizo una verificación de identidad al registrarte, conserva un nombre legal, una fecha de nacimiento y un documento que puede pedirte que presentes otra vez. Una solicitud de recuperación se juzga contra ese expediente, así que lo que entregues tiene que cuadrar con lo que se entregó entonces, no con tu situación de hoy.
Kraken publica esta forma sin rodeos. Si has perdido el acceso tanto a la autenticación de dos factores de inicio de sesión como a la Master Key, el paso documentado es elegir la recuperación de la cuenta cuando se pida el código durante el acceso. Cuando esa vía no está disponible, envías una solicitud de soporte y un agente responde por correo electrónico para retirar de la cuenta el requisito de dos factores, de modo que puedas volver a activarlo en tu dispositivo.
La misma documentación lleva una frase que merece leerse dos veces: ya no es posible configurar una Master Key una vez que se ha perdido la autenticación de dos factores de inicio de sesión. Un plan de respaldo cuenta solo si se armó mientras aún tenías acceso, y eso es una propiedad general del diseño de recuperación, no una rareza de una plataforma. Las guías nacionales expresan el mismo punto como una recomendación de mantener al menos dos autenticadores válidos de cada factor que vayas a usar.
La demora es el control, no la fricción
Un flujo de recuperación que vincula un número nuevo en segundos es un flujo que un atacante con tu número también termina en segundos. Cada comprobación que te ralentiza existe porque la misma solicitud llega también de gente que no eres tú, y en el momento en que llega el proveedor no distingue a los dos.
Es la misma forma que una lista blanca de retiro, donde una dirección recién añadida tiene que esperar antes de poder usarse. El periodo de espera no hace más segura la dirección. Hace que el tiempo necesario para vaciar una cuenta robada sea mayor que el tiempo que necesitas tú para notarlo e intervenir. Aplicado a los autenticadores, un bloqueo posterior a una recuperación completada te protege de la versión de este suceso en la que quien recuperó no fuiste tú.
Arma el respaldo antes de necesitarlo
El trabajo que vuelve esto indoloro tiene que hacerse mientras el número antiguo todavía responde. Si te cambias de dispositivo, mira si tu app de autenticación puede exportar sus cuentas al nuevo, y haz el traspaso con los dos teléfonos en la mano. Si no puede exportar, añade primero un segundo método a la cuenta y luego quita el antiguo.
Porta el número en lugar de dejar que la línea venza, y mantén la antigua localizable hasta que termine cada revinculación. Dar de baja primero es justo lo que convierte un cambio de ajustes en una comprobación de identidad, porque después la cuenta se queda sin ningún canal que siga siendo tuyo.
| Haz esto mientras el número funcione | Qué tarea cubre |
|---|---|
| Guarda los códigos de respaldo que se entregan al terminar la configuración de dos factores | Canal de entrega |
| Añade un segundo factor del mismo tipo, por ejemplo una llave de seguridad | Canal de entrega |
| Cambia el número de teléfono en los ajustes de la cuenta antes de dar de baja la línea | Identificador y registro de identidad |
| Configura la clave de recuperación o clave maestra propia del proveedor | Las tres |
| Confirma que el correo de la cuenta sigue estando bajo tu control | Identificador y registro de identidad |
Los servicios de recuperación no pueden revincular nada
Solo el proveedor puede cambiar lo que una cuenta acepta como prueba, así que ninguna parte externa puede devolver el acceso a una cuenta custodial, se describa como se describa. Las ofertas que se agrupan alrededor de esto pertenecen a la misma familia que los servicios de recuperación que prometen reconstruir una frase semilla perdida, y funcionan sobre la misma asimetría: desde fuera cuesta distinguir a qué capa del sistema dice llegar un desconocido.
Las señales son prácticas. Una recuperación genuina empieza donde ya estás, en la propia pantalla de acceso del proveedor o en su formulario de soporte, y nunca empieza porque un desconocido te contacte. Los documentos de identidad van dentro de la app o el sitio del proveedor y en ningún otro sitio. Un pago por adelantado, un plazo garantizado o una petición de un código de un solo uso describen a una parte que o bien no puede hacer nada o bien es hostil, y en ambos casos entregar tus documentos empeora tu posición.
En resumen
Perder el número de teléfono asociado a una cuenta cripto es un problema de vinculación, no un problema de objeto perdido. Averigua cuál de las tres tareas cumplía el número, porque eso es lo que separa un cambio de ajustes de un cambio de segundo factor y de una comprobación de identidad completa. Arreglar el segundo factor arregla una de las tres.
Lo que sustituye a un código que ya no puedes recibir es el registro de identidad con el que se abrió la cuenta, y el proveedor avanzará a la velocidad que ese registro permita. Arma un respaldo ahora, mientras el número sigue siendo tuyo, y guárdalo donde la pérdida de un solo dispositivo no llegue. Para seguir aprendiendo los fundamentos, no te pierdas más contenidos de Bitbase Academy.
Lecturas relacionadas
Otros artículos de Bitbase sobre este tema:
- Verificación de la cuenta cripto corporativa: requisitos de KYC para una empresa
- La conversión de polvo cripto y los registros que deja
- Qué pasa cuando se te pasa el plazo de retiro de un token deslistado
- Cómo apelar una restricción de cuenta en un exchange cripto
- Lanzamientos de memes en Solana y riesgos de los tokens
Aviso legal: Este artículo es contenido educativo de Bitbase Academy y se ofrece solo con fines informativos. No constituye asesoramiento de inversión, negociación, fiscal ni financiero. Los criptoactivos son volátiles; evalúa tu propio riesgo. Redactado en septiembre de 2026; consulta la información oficial más reciente.
Fuentes
[1] Instituto Nacional de Estándares y Tecnología, publicación especial 800-63B, Digital Identity Guidelines: Authentication and Lifecycle Management pages.nist.gov
[2] Soporte de Kraken, How to transfer authenticator app sign-in 2FA to a new phone (and bypass sign-in 2FA for a lost phone) support.kraken.com
[3] Soporte de Kraken, How to recover your Sign-in 2FA (Master Key como método de acceso) support.kraken.com
[4] Comisión Federal de Comunicaciones, nota de prensa, FCC Adopts Rules to Protect Consumers' Cell Phone Accounts, 15 de noviembre de 2023 docs.fcc.gov
[5] Comisión Federal de Comunicaciones, nota de prensa, FCC Establishes Reassigned Phone Numbers Database to Help Reduce Unwanted Calls to Consumers, 12 de diciembre de 2018 docs.fcc.gov
