Cómo usar MetaMask con seguridad

MetaMask es una de las wallets de custodia propia más usadas. Funciona como extensión del navegador y como app móvil, y se creó para Ethereum y las muchas cadenas compatibles con ella. Esta lección la usa como ejemplo porque mucha gente empieza con ella; los mismos hábitos sirven para cualquier wallet, y mencionarla no es una recomendación.

Instalarla

• Instálala solo desde el sitio web oficial, metamask.io, o desde los enlaces que ese sitio te da hacia la tienda de extensiones de tu navegador o la tienda de apps. Se han usado extensiones y apps falsas de MetaMask para robar frases de recuperación.
• Revisa el nombre del editor y el número de usuarios en la tienda antes de instalar.

Configurarla

1. Crea una wallet nueva. MetaMask muestra una Secret Recovery Phrase (frase secreta de recuperación), que es su nombre para la frase semilla. Anótala y guárdala como lo describe el curso Cómo proteger tus claves.
2. Establece una contraseña. La contraseña solo desbloquea MetaMask en ese dispositivo; no puede restaurar la wallet en ningún otro lado. La frase sí puede.
3. Entiende las cuentas. Puedes crear varias cuentas a partir de la misma frase, y todas se restauran con ella. Una cuenta que importas con una clave privada aparte no está cubierta por la frase y necesita su propio respaldo.

Redes y tokens

• Ethereum viene configurada por defecto. Para usar otra red, como Base, Arbitrum o Robinhood Chain, agrégala con los datos de red de la documentación oficial de esa red. Una configuración de red maliciosa puede mostrar saldos falsos o registrar tu actividad.
• Un token que tienes puede no aparecer hasta que lo agregues. Agrégalo con su dirección de contrato tomada de una fuente oficial, no buscando su nombre.
• Los tokens y NFT que nunca pediste suelen aparecer en las wallets como carnada. No visites los sitios que mencionan ni intentes venderlos.

Firmar con ella

• Cuando un sitio pide gastar un token, MetaMask muestra el límite de gasto (spending cap). Normalmente puedes cambiarlo al monto exacto que piensas usar.
• MetaMask muestra alertas de seguridad que señalan algunas solicitudes maliciosas conocidas. Detectan algunos ataques, no todos, así que lee tú mismo cada solicitud.
• Las solicitudes de firma que no son transacciones igual pueden otorgar permisos, como explica la lección "Aprobaciones, permits y drainers de wallets".

Cómo falla

• Una extensión o app falsa instalada desde un anuncio o un resultado de búsqueda.
• Un "agente de soporte" o un sitio de "validación" que pide la Secret Recovery Phrase. El personal de MetaMask nunca la pide.
• Una extensión del navegador o una computadora infectada con malware. Guarda los fondos importantes en una wallet de hardware conectada a MetaMask, o en una wallet aparte.