Cómo funciona la estafa, paso a paso
Todo empieza con una carta que parece oficial, con el membrete del IRS. En su interior, un texto intimidatorio y un código QR. La víctima, creyendo que se trata de un requerimiento fiscal legítimo, escanea el código con el móvil. El sitio web falso que se abre le pide que introduzca su número de identificación fiscal, dirección y otros datos personales. A continuación, el fraude se convierte en una llamada telefónica. Un estafador, haciéndose pasar por ‘soporte técnico’ del IRS, intenta que la persona revele las claves de su wallet o que transfiera los fondos a una dirección controlada por los delincuentes.
El aviso ha llegado por correo postal, no al buzón de entrada de correo electrónico. Las nuevas cartas falsas que suplantan al Servicio de Impuestos Internos de Estados Unidos (IRS) ya están circulando entre contribuyentes con criptomonedas. Incluyen un código QR que, al escanearlo, dirige a un portal falso de cumplimiento de activos digitales diseñado para robar datos personales y, en última instancia, vaciar las carteras.
La propia Unidad de Investigación Criminal del IRS difundió la alerta de fraude la semana pasada. Dejó claro que la agencia no opera ningún portal de este tipo y que no está enviando esas cartas. El mensaje fraudulento insta a los destinatarios a registrarse antes de una fecha límite, generando una falsa sensación de urgencia para que la víctima actúe sin pensar.
La mecánica es sencilla pero efectiva. Al escanear el código QR, la víctima llega a una web que replica la apariencia oficial y se le solicita información personal sensible. Detrás, los estafadores aprovechan para obtener las claves de acceso a los monederos digitales o, directamente, convencer a la persona de que transfiera sus fondos a una cartera ‘segura’ que ellos controlan. Este último paso se conoce como vishing (phishing por voz), y según Coinbase es una de las técnicas más eficaces para apoderarse de cuentas de criptomonedas.
La firma de inteligencia de amenazas DarkTower y el exchange Coinbase identificaron la campaña durante la semana. Su investigación descubrió que las cartas hacen referencia a los años fiscales 2017 hasta 2026. El dominio fraudulento fue registrado en un proveedor de Hong Kong y alojado en Rumanía, lo que refleja el alcance internacional de este tipo de fraudes.
Este salto del phishing por correo electrónico al correo postal es lo que más preocupa a los expertos. Recibir una carta física, con un membrete oficial, da una credibilidad que un email no tiene. Y el sector cripto, acostumbrado a protegerse de ataques digitales, no está preparado para una amenaza que entra por la rendija del buzón.
Los estafadores han saltado del buzón de entrada al buzón de casa. Eso obliga a replantear las defensas que dábamos por sentadas.
De la bandeja de entrada al buzón de casa: un salto peligroso
El uso del correo postal supone un cambio significativo en las tácticas de los estafadores. Hasta ahora, los ataques de suplantación de identidad se limitaban a mensajes electrónicos, falsas actualizaciones de seguridad o promociones engañosas. Meter una carta con un código QR en el buzón de un particular eleva la apuesta. La víctima potencial deja de ser un número de teléfono o una dirección de correo para convertirse en un destinatario identificado, con nombre y apellidos, lo que permite personalizar aún más el engaño.
Según los datos de Chainalysis, las estafas y fraudes relacionados con criptomonedas costaron a las víctimas 17.000 millones de dólares en 2025. Las estafas por suplantación de identidad, justo la categoría en la que encajan estas cartas del IRS, se dispararon un 1.400% en ese mismo periodo. Son cifras que explican por qué este tipo de campañas se multiplican: el retorno económico para los delincuentes es enorme.
El factor humano, el nuevo blanco principal del criptocrimen
Si uno repasa los datos de seguridad del primer semestre de 2026, la tendencia es clara. TRM Labs registró 207 hacks entre enero y junio, más del doble que los 83 del mismo periodo del año anterior. Sin embargo, las pérdidas totales cayeron de 2.300 millones a 972 millones de dólares. Menos dinero perdido en cada incidente, pero muchos más ataques. ¿Qué significa? Que los atacantes están migrando desde los exploits de código, que requieren altos conocimientos técnicos pero generan botines más grandes, hacia el engaño directo a personas, que es más barato de ejecutar y, a menudo, más rentable a largo plazo.
La aparición de cartas físicas que se hacen pasar por el IRS es el último escalón en esa evolución. Ya no hace falta hackear un protocolo DeFi para robar cripto; basta con imprimir un membrete falso y tener un teléfono. Las defensas técnicas más sofisticadas de poco sirven si el usuario entrega voluntariamente sus claves por teléfono. La educación y la desconfianza activa se convierten así en la mejor herramienta de protección.
La alerta del IRS deja un mensaje claro: nadie está a salvo de ser objetivo. Y mientras los delincuentes sigan encontrando nuevas formas de saltarse las barreras —esta vez, directamente al buzón de casa—, la responsabilidad de no caer en el engaño recae sobre cada uno de nosotros.
