Phishing con criptomonedas y drenadores de billeteras

El phishing con criptomonedas es un fraude por imitación. Un estafador se hace pasar por un exchange, una billetera o una aplicación de confianza para conseguir una de dos cosas: las palabras secretas que controlan una billetera o la aprobación del propietario de una transacción que entrega los fondos. Un drenador de billeteras es el software que se encarga de lo segundo.

¿Cómo funciona el phishing con criptomonedas?

El cebo llega en forma de correo electrónico, SMS, respuesta en redes sociales, anuncio en un buscador o mensaje directo. Puede advertir de un problema de seguridad, anunciar un reparto gratuito de tokens conocido como airdrop u ofrecer ayuda del "personal de soporte". El enlace lleva a una web casi idéntica a la auténtica.

A partir de ahí, la estafa sigue uno de dos caminos. En el primero, la web pide al visitante que introduzca su frase semilla, las 12 o 24 palabras que sirven de copia de seguridad de una billetera. Quien tiene esas palabras controla la billetera por completo. En el segundo, la web pide al visitante que conecte su billetera y apruebe una solicitud.

¿Qué es un drenador de billeteras?

Un drenador (wallet drainer) es un script integrado en una web falsa. Presenta una solicitud de aprobación disfrazada de algo inofensivo, como "reclamar", "verificar" o "iniciar sesión".

El truco se basa en una función normal. Las aplicaciones en redes como Ethereum necesitan permiso para poder mover los tokens de un usuario, y los usuarios lo conceden firmando una aprobación. Un drenador pide ese mismo tipo de permiso, a menudo sin límite de gasto. Una vez firmado, el atacante puede sacar esos tokens sin ninguna confirmación adicional.

¿Qué es el envenenamiento de direcciones?

Esta estafa se aprovecha de los hábitos. Un atacante envía una transacción minúscula o de valor cero desde una dirección que empieza y termina con los mismos caracteres que otra que la víctima ya ha usado. Esa transacción queda entonces en el historial de la víctima.

Más tarde, la víctima copia de ese historial lo que parece una dirección de billetera conocida y envía fondos reales al atacante.

¿Cómo se puede comprobar una solicitud antes de firmarla?

Los investigadores de seguridad y los fabricantes de billeteras coinciden en los mismos hábitos:

• Considerar la frase semilla intocable. Ningún exchange, fabricante de billeteras ni agente de soporte auténtico la pide. Una petición de la frase semilla es siempre una estafa.
• Comprobar la dirección web. Acceder a una web desde un marcador guardado es más seguro que seguir un enlace de un anuncio, un correo o un mensaje.
• Leer la solicitud. La billetera muestra qué web lo pide y qué quiere. No hace falta aprobar el gasto de tokens solo para ver una página o demostrar la titularidad.
• Comprobar la dirección completa. No basta con que coincidan los primeros y los últimos caracteres.
• Revisar las aprobaciones antiguas. Los permisos concedidos a las aplicaciones siguen activos hasta que se revocan.

Una billetera de hardware guarda las claves sin conexión y muestra los detalles de la transacción en su propia pantalla. No puede proteger a un propietario que aprueba una solicitud maliciosa.