Tres hechos deciden qué hacer primero, y no son igual de urgentes. Un buzón de correo robado, por sí solo, no es una forma de entrar en una cuenta de Blomo, porque Blomo no tiene un correo de «he olvidado mi contraseña» del que abusar. Una cuenta de Telegram robada sí es una forma de entrar, salvo que tengas activada la autenticación en dos pasos. Y una frase de recuperación de monedero robada no es una forma de entrar en absoluto: es el dinero en sí, que ya se ha ido si otra persona la tiene. Sigue la lista de abajo en orden, porque los primeros pasos son los que dejan de ser posibles en cuanto otra persona actúa.
Hazlo en este orden
- Si tu frase de recuperación del monedero estaba al alcance desde la cuenta robada, saca primero la cripto de ese monedero. Al alcance significa: escrita en un correo, enviada a ti mismo por un mensajero, guardada en una nota que se sincroniza con una cuenta en la nube vinculada a ese correo, o fotografiada en una galería de fotos. Crea un Blomo Wallet nuevo y envía el saldo allí; después guarda la frase nueva en papel y fuera de todas las cuentas comprometidas. Lo que te da este paso es concreto y conviene decirlo: la frase a la que llega el ladrón deja de controlar tu dinero. Nada más de esta lista merece hacerse antes, porque ni Blomo ni nadie puede revertir una transferencia en blockchain.
- Recupera la cuenta que te robaron de verdad. Cambia la contraseña del correo o de la cuenta de Telegram y activa la autenticación en dos pasos de ese proveedor. Si te saltas esto y vas directamente a Blomo, quien esté dentro de tu correo te verá hacerlo.
- Cambia tu contraseña de Blomo en la app. Settings → Security → Email and password (Ajustes → Seguridad → Correo y contraseña). El cambio pide tu contraseña actual, y en cuanto se completa se cierran todas las demás sesiones. Este es el paso que echa a quien ya haya iniciado sesión como tú.
- Activa la autenticación en dos pasos si está desactivada. Settings → Security → Two-factor authentication (Autenticación en dos pasos). Blomo usa TOTP según el RFC 6238, así que sirve cualquier app de autenticación. Al confirmarla también se cierran todas las demás sesiones, y a partir de ese momento un inicio de sesión por Telegram ya no se salta el segundo factor.
- Guarda los códigos de recuperación en algún sitio sin conexión. Se muestran una vez, cuando confirmas la autenticación en dos pasos, y Blomo no guarda una copia para volver a enseñártelos. Cada código sirve una vez.
- Revisa tus notificaciones, tus tarjetas y el historial de tu monedero, y después escribe al soporte. La entrada al soporte es el bot de Telegram @blomo_bot, y es la única: el mismo chat que abre la app desde Settings → Help → Support → Write to support (Ajustes → Ayuda → Soporte → Escribir al soporte).
Lo que consigue alguien con tu correo robado
Menos de lo que se teme. Blomo no tiene hoy restablecimiento de contraseña por correo: no existe ningún enlace que un buzón pueda recibir y convertir en una contraseña nueva. Quien lea tu correo no puede iniciar sesión en Blomo con lo que encuentre allí, ni puede dejarte fuera de tu propia cuenta.
Eso también corta en el otro sentido, y es justo decirlo. Si olvidas tu contraseña de Blomo y no tienes una cuenta de Telegram vinculada, tampoco te espera ningún restablecimiento por tu cuenta. Mantener una segunda forma de entrar (una cuenta de Telegram vinculada, o una dirección de correo confirmada si te registraste por Telegram) es lo que evita que una contraseña olvidada se convierta en una cuenta bloqueada.
Lo que consigue alguien con tu Telegram robado
Más. Iniciar sesión por Telegram es un inicio de sesión completo en la cuenta de Blomo vinculada. Si la autenticación en dos pasos está desactivada, quien controla la cuenta de Telegram controla la cuenta de Blomo.
Si está activada, esa puerta se cierra en el mismo punto que la de la contraseña: Blomo pide el código del autenticador también después de un inicio de sesión por Telegram. Es deliberado: un segundo factor que uno de los dos métodos de inicio de sesión puede saltarse no es un segundo factor.
Qué cubre la autenticación en dos pasos y qué no
El segundo factor se comprueba cuando inicias sesión. No se vuelve a pedir para cada acción dentro de una sesión ya abierta. Así que el código protege la puerta, y cerrar las demás sesiones es lo que echa a quien ya la ha cruzado. Por eso el paso 3 va antes que el paso 4 en la lista.
Una sesión de Blomo dura hasta treinta días salvo que se cierre. Hoy la app no tiene una lista de dispositivos activos ni un botón aparte de «cerrar sesión en todas partes». Cambiar la contraseña es la forma de cerrarlas todas a la vez; confirmar la autenticación en dos pasos hace lo mismo en el momento en que la confirmas.
Una cosa más que conviene saber antes de necesitarla: Blomo no te envía ningún aviso cuando alguien inicia sesión en tu cuenta. Las notificaciones de la app cubren recargas, eventos de tarjetas y respuestas del soporte. Que no haya avisos no prueba que no haya pasado nada: revisa la cuenta tú mismo.
El monedero es otra cuestión, y la parte honesta es corta
Aquí hay dos cosas que valen pase lo que pase. Quien tiene la frase de recuperación puede mover el dinero de ese monedero: para eso existe la frase, y por eso una frase que llegó a un correo robado es una emergencia y no una molestia. Y una transferencia en blockchain es definitiva: Blomo no puede revertirla, no puede congelar la dirección que la recibe y no puede reembolsarla de su propio bolsillo. Esta es la parte de «sin documentos, sin verificación» que tiene un precio: no hay ninguna institución en medio con poder para deshacer un movimiento. Escribe al soporte de todos modos si ocurre (el soporte te dirá claramente qué se puede hacer y qué no), pero espera un no honesto en lugar de una recuperación.
Por eso la frase va en papel y en ningún sitio al que pueda llegar una cuenta robada. Una captura de pantalla no sirve: una captura vive en una galería de fotos que se sincroniza con una cuenta en la nube, y de ahí es de donde se roban las frases.
Respuestas cortas
¿Puede alguien restablecer mi contraseña de Blomo con mi correo? No. Blomo no tiene un flujo de restablecimiento de contraseña por correo, así que un buzón por sí solo no es una forma de entrar en una cuenta de Blomo.
¿La autenticación en dos pasos detiene a quien tiene mi cuenta de Telegram? Al iniciar sesión, sí. Un inicio de sesión por Telegram no se salta el segundo factor: si está activado, se sigue pidiendo el código del autenticador.
¿Cómo cierro la sesión de un dispositivo que no veo? Cambia tu contraseña en la app. Pide tu contraseña actual y cierra todas las demás sesiones. Activar la autenticación en dos pasos hace lo mismo en el momento en que la confirmas.
¿Me devolverá Blomo la cripto que salió de mi monedero? No. Blomo no puede revertir una transferencia en blockchain, y no lo promete.
Alguien me escribe diciendo que es el soporte de Blomo: ¿tiene que ver? A menudo, sí: un correo filtrado es como se construye la lista de objetivos. El soporte de Blomo está en un único sitio, el bot @blomo_bot, y conviene leer las señales de un mensaje de falso soporte antes de contestar a nadie.
Qué leer después
- Seguridad de la cuenta y de la tarjeta: qué protege una cuenta y el dinero que hay en ella.
- Blomo Wallet: qué es el monedero y en qué se diferencia del saldo de Blomo con el que pagan las tarjetas.
- Cómo reconocer un falso soporte de Blomo: las cosas que Blomo nunca pide.