¿Es segura Cake Wallet?
Cake Wallet es una billetera legítima, de código abierto y de autocustodia que funciona desde 2018, y para la mayoría de los usuarios es segura si se instala desde una fuente oficial y se respalda correctamente. Su peor incidente fueron las seeds de Bitcoin débiles creadas por versiones de 2020–2021, que Cake reveló en mayo de 2021. La mayoría de las pérdidas reales provienen de apps falsas, phishing y seeds compartidas, no de la app en sí.
En una billetera de autocustodia, "segura" tiene dos partes: si el software protege tus claves y si puedes evitar las estafas que la rodean. Esta página cubre ambas, con fechas, a octubre de 2026.
La respuesta corta
- Legítima: sí. Cake Wallet la desarrolla Cake Labs, está en App Store desde 2018 y publica su código en GitHub bajo la licencia MIT.
- Tus claves se quedan contigo: las monedas on-chain son no custodiales. Cake no puede congelar, revertir ni recuperar tus fondos.
- No es perfecta: tuvo un fallo grave (seeds de Bitcoin débiles en 2020–2021), un aviso de gravedad moderada en 2026 y compilaciones que no se pueden reproducir de forma independiente.
- Mayor riesgo: las personas, no el código. Las apps falsas, el falso soporte y el robo de seeds explican la mayoría de las pérdidas que vemos comentadas.
Factores de seguridad
| Factor | Estado (octubre de 2026) |
|---|---|
| Custodia | No custodial para las monedas on-chain; las claves se crean y se guardan en tu dispositivo |
| Código fuente | Público en GitHub, licencia MIT |
| Compilaciones reproducibles | No; Cake afirma que sus compilaciones aún no son reproducibles |
| Versiones firmadas | En septiembre de 2026, Cake publicó una clave de firma para los archivos de checksums y las etiquetas de versión; las versiones sin archivo de checksums firmado listan los hashes SHA-256 en las notas |
| Auditoría independiente | No se encontró ninguna de la app |
| Reporte de vulnerabilidades | Política de seguridad con un canal privado de avisos en GitHub y una dirección de correo cifrado |
| Cuenta o KYC | Ninguno para la billetera |
| Recopilación de datos | La etiqueta de App Store dice "Data Not Collected" (datos no recopilados; declarado por el propio desarrollador) |
| Protección de la app | PIN, biometría, Cake 2FA opcional, PIN de coacción (Duress PIN) |
Las seeds de Bitcoin débiles de 2020–2021
Este es el incidente más importante. Las versiones de Cake Wallet publicadas en 2020 y principios de 2021 generaban billeteras de Bitcoin con un generador de números aleatorios inseguro. Las seeds afectadas son seeds de Bitcoin de 12 palabras estilo Electrum ("Segwit"). Los investigadores estiman que la aleatoriedad efectiva era tan baja que un atacante puede reconstruir las claves.
| Fecha | Evento |
|---|---|
| 10 de mayo de 2021 | La versión 4.1.7 cambia la forma en que se generan las seeds de Bitcoin |
| 11 de mayo de 2021 | La versión 4.2.0 agrega un aviso en la app que pide a los usuarios recrear sus billeteras; en mayo de 2021 Cake revela públicamente el problema y pide a los usuarios crear billeteras nuevas y mover sus fondos |
| Diciembre de 2023 | Cake agrega una advertencia en la app para los usuarios que aún usan una seed débil conocida (código integrado el 18 de diciembre de 2023, publicado alrededor de la versión 4.12.0), usando datos de más de 8.700 billeteras proporcionados por los investigadores de Milk Sad |
| Mayo de 2024 | El equipo de Milk Sad publica un informe técnico |
| Desde el 21 de mayo de 2024 | Los investigadores consideran que las transacciones salientes más grandes desde billeteras débiles son en su mayoría maliciosas |
Los investigadores contaron 8.757 billeteras débiles y unos 548,9 BTC que pasaron por ellas entre noviembre de 2020 y octubre de 2024; no todo eso fue robado, y no se ha publicado una cifra total de pérdidas (actualización de la investigación de Milk Sad, 2024). Hasta donde se sabe, Monero, Litecoin y otras monedas no se vieron afectadas.
Qué hacer: si tienes una seed de Bitcoin de 12 palabras creada en Cake Wallet en 2020 o principios de 2021, o importaste una seed así en otra billetera, considérala comprometida. Crea una billetera nueva con una versión actual y mueve de inmediato los fondos que queden. Nuestro identificador de tipo de seed te ayuda a reconocer el tipo de seed solo por el número de palabras. Nunca escribas las palabras en un sitio web.
Lo que el código abierto demuestra y lo que no
El código abierto permite que cualquiera lea cómo Cake Wallet crea las claves, se comunica con los nodos y construye las transacciones. Gracias a eso, investigadores externos pudieron estudiar en detalle el fallo de las seeds de 2021, y significa que los cambios en el código ocurren a la vista de todos en GitHub.
No demuestra que la app de la tienda se haya compilado a partir de ese código. Cake afirma que sus compilaciones aún no son reproducibles, así que no puedes compilar el código tú mismo y obtener un archivo idéntico para comparar (VERIFY.md de Cake Wallet, 2026). Lo que sí puedes comprobar es que una descarga sea auténtica: en septiembre de 2026, Cake publicó una clave de firma para los archivos de checksums y las etiquetas de las nuevas versiones, cada versión lista los hashes SHA-256, y los APK de Android de GitHub, Accrescent y el repositorio F-Droid de Cake comparten un mismo certificado de firma. Nuestra guía de descarga muestra cómo comprobar ambas cosas.
Tampoco encontramos ninguna auditoría de seguridad independiente publicada sobre la app Cake Wallet a octubre de 2026. Cake sí mantiene una política de divulgación de vulnerabilidades: los investigadores pueden reportar problemas de forma privada mediante GitHub o por correo cifrado, y Cake publica avisos una vez que salen las correcciones.
Otros avisos
El 4 de septiembre de 2026, Cake publicó el aviso de GitHub GHSA-695v-fhpj-fv8x, de gravedad moderada. En las versiones 6.1.2 a 6.3.0, una solicitud de pago estilo Ethereum podía prepararse en la red EVM equivocada porque se perdía el chain ID. El riesgo era un pago fallido o mal dirigido, no el robo de claves, y se corrigió en la 6.4.4. Actualiza a la última versión. La lista completa de incidentes está en nuestra página de historial de seguridad.
La cuestión de Lightning
Lightning, agregado en la versión 6.0 (febrero de 2026), funciona en la red Spark mediante el Breez SDK. Cake lo describe como de autocustodia, sin canales que gestionar. Su documentación también indica que las transferencias de Spark las firma conjuntamente un grupo pequeño y autorizado de operadores que pueden ver montos y direcciones (documentación de Cake Wallet, 2026).
El 6 de octubre de 2026, WalletScrutiny reclasificó Cake Wallet como "Custodial" porque, según su análisis, la app no ofrece forma de devolver un saldo de Lightning a la cadena sin los operadores. Es un juicio solo sobre el saldo de Lightning; no afecta a Monero, al Bitcoin on-chain ni a otras monedas. Un enfoque prudente es mantener en Lightning solo dinero para gastos. Consulta Lightning en Cake Wallet.
Privacidad frente a seguridad
Por defecto, Cake Wallet se conecta a los nodos y servicios propios de Cake. Es cómodo, pero esos servicios pueden ver tu dirección IP y qué datos de la billetera solicitas. Para más privacidad, usa tu propio nodo o Tor. Una salvedad: en Silent Payments, si tu propio servidor de Bitcoin no tiene el índice necesario, la documentación de Cake indica que la app recurre a un servidor de Cake. Los detalles están en privacidad y Tor y nodos personalizados.
Dónde ocurren realmente las pérdidas
- Apps falsas y sitios web clonados que piden tu seed. Instala solo desde las fuentes oficiales de nuestra guía de descarga y verifica los enlaces con el verificador de descargas.
- Falso soporte. Cake Wallet afirma que su soporte nunca te pedirá tu seed, y que quien te escribe primero ofreciendo soporte casi siempre es un estafador (documentación de Cake Wallet, 2026).
- Seed guardada en línea en capturas de pantalla, apps de notas, almacenamiento en la nube o correo electrónico.
- Dirección o red equivocada. Las transacciones no se pueden revertir. Usa el verificador de direcciones y envía primero una pequeña prueba.
- Servicios de "recuperación" que prometen devolverte las criptomonedas robadas. Son estafas.
Más señales de alerta en apps falsas y estafas de Cake Wallet.
Lista de verificación de seguridad
- Instala desde App Store, Google Play, Accrescent, el repositorio F-Droid de Cake o GitHub, llegando a ellos tras escribir tú mismo cakewallet.com.
- Mantén la app actualizada.
- Escribe cada seed en papel y guárdala sin conexión. Para una seed de Monero de 25 palabras, anota también la restore height. Consulta respaldo de la seed.
- Configura un PIN fuerte; considera Cake 2FA. Cake señala que el 2FA protege frente a alguien que tenga tu teléfono, no frente a alguien que tenga tu seed.
- Para montos mayores, usa una billetera de hardware o Cupcake. Consulta Ledger y Trezor.
- Reemplaza cualquier billetera de Bitcoin antigua de Cake con una seed Electrum de 12 palabras de 2020–2021.
- Nunca compartas tu seed e ignora a cualquiera que te contacte primero.
Si crees que tu billetera está comprometida
Cake aconseja crear de inmediato una billetera nueva para cada moneda afectada y mover allí los fondos que queden, dejar de usar la billetera antigua, guardar un registro de todo y denunciar el robo a la policía y al soporte de Cake (documentación de Cake Wallet, 2026). Las billeteras de Monero pueden tardar más en sincronizarse para un atacante, lo que puede darte un breve margen para actuar. Nunca envíes más dinero a supuestos ayudantes de "recuperación".
Preguntas frecuentes
¿Cake Wallet es legítima?
Sí. Es una billetera real y de código abierto creada por Cake Labs, disponible en App Store desde 2018. Existen copias falsas, así que instálala solo desde fuentes oficiales.
¿Han hackeado Cake Wallet?
No encontramos ninguna brecha en los sistemas propios de Cake que expusiera fondos de usuarios. El problema grave fueron las seeds de Bitcoin débiles generadas por versiones de 2020–2021, y los investigadores consideran que, desde el 21 de mayo de 2024, las transacciones salientes más grandes desde esas billeteras han sido en su mayoría maliciosas, en los casos en que los usuarios nunca movieron sus fondos.
¿Cake Wallet puede ver o congelar mis fondos?
No, en el caso de las monedas on-chain. Cake no puede congelar, revertir ni recuperar transacciones. Los servidores de Cake pueden ver tu dirección IP a menos que uses Tor o tu propio nodo.
¿Es segura Cake Wallet para montos grandes?
Para sumas mayores, combínala con un Ledger o Trezor, o usa Cupcake como firmante sin conexión, y guarda el respaldo de la seed sin conexión.
¿El soporte de Cake Wallet te escribe alguna vez primero?
Cake Wallet afirma que quien te escribe primero diciendo ofrecer soporte casi siempre es un estafador, y que su soporte nunca te pedirá tu seed.
¿El fallo de seeds de 2021 afecta a mis fondos de Monero?
No. El fallo afectó a seeds de Bitcoin de 12 palabras estilo Electrum creadas en 2020 y principios de 2021, no a seeds de Monero.