Phishing de criptomonedas explicado: cómo los estafadores roban tu acceso

Muchos robos de criptomonedas empiezan sin ningún ataque técnico. Alguien simplemente convence al propietario de que le dé acceso, ya sea escribiendo una contraseña en la página equivocada, leyendo un código en voz alta o aprobando algo que no entendió.

Eso es phishing: engañarte para que entregues las cosas que controlan tus cuentas y fondos. Aquí te contamos qué buscan los atacantes, cómo funcionan los sitios falsos, los falsos equipos de soporte y los airdrops falsos, y qué debes revisar antes de actuar. Este artículo describe patrones, no guiones.

Qué buscan realmente los atacantes

Hay cuatro objetivos. El primero son tus credenciales de acceso a una cuenta: la contraseña y, a menudo, el correo electrónico asociado. El segundo es un código de un solo uso que completa el inicio de sesión. El tercero es una frase semilla o una clave privada, que las recomendaciones de seguridad de Ethereum llaman la llave maestra de una billetera, ya que cualquiera que la tenga puede acceder a todas tus cuentas y vaciar todos tus activos. El cuarto es tu autorización: una firma o aprobación que permite que alguien mueva tus tokens sin necesitar nunca tus claves.

Las recomendaciones de Ethereum lo dicen claramente: ningún servicio, agente de soporte o sitio web legítimo te pedirá jamás una frase de recuperación o una clave privada.

Sitios web y enlaces falsos

Según las recomendaciones de seguridad de Ethereum, los correos electrónicos y mensajes de phishing suelen llevarte a un sitio de imitación que te pide ingresar tu frase semilla, restablecer tu contraseña o enviar criptomonedas. Los enlaces pueden llegar por correo electrónico, mensaje directo, anuncio o código QR. Incluso la vista previa de un enlace puede falsificarse y mostrar un nombre de confianza, aunque el enlace lleve a otro lugar. Por eso, las recomendaciones indican que revises que estés en el dominio correcto, especialmente después de hacer clic en un enlace. Un marcador que guardaste tú evita que tengas que confiar en un enlace que alguien te envió.

Un segundo factor no siempre detiene el ataque. Una página de inicio de sesión falsa puede pasar tu contraseña y tu código de un solo uso al sitio real en tiempo real. El NCSC concluye que todos los segundos factores tradicionales son vulnerables a ese tipo de retransmisión, mientras que las claves de acceso y las llaves de seguridad están vinculadas al sitio real y la resisten. Los códigos por mensaje de texto conllevan un riesgo adicional, ya que la FTC advierte que quizá no detengan un intercambio de SIM. Sin embargo, ninguna tecnología sirve si tú mismo escribes un código o una frase semilla en la página.

Falso soporte e suplantación de identidad

En una estafa de soporte, el atacante se hace pasar por personal de asistencia de una billetera, un exchange o una blockchain. Las recomendaciones de Ethereum describen cómo encuentran a personas que piden ayuda en canales públicos y luego les envían un mensaje privado ofreciéndoles soporte, para ganarse su confianza hasta que la víctima revela sus claves privadas o envía fondos. El mismo patrón puede darse en cualquier aplicación de chat o por correo electrónico.

Las reglas generales de esas recomendaciones son que el personal nunca te contacta por canales privados y no oficiales, que nunca debes permitir que alguien acceda a tu computadora de forma remota y que nunca debes comunicarte fuera de los canales designados por una organización. Un agente falso que se ofrece a devolver criptomonedas perdidas a cambio de tus claves se aprovecha de un malentendido, ya que una red descentralizada no tiene esa función. La FTC agrega que los pagos en criptomonedas normalmente no se pueden revertir y que ninguna empresa ni agencia gubernamental legítima exigirá un pago en criptomonedas.

Airdrops falsos y solicitudes de aprobación

Una estafa de airdrop empieza cuando aparece en tu billetera un token o NFT desconocido. Luego, un sitio web te invita a reclamarlo, te pide conectar tu billetera y te indica que apruebes una transacción. Según las recomendaciones de Ethereum, esa transacción puede comprometer tu cuenta o simplemente enviar fondos al estafador.

El mecanismo detrás de esto es la aprobación de tokens. En Ethereum, una aprobación crea un límite de gasto que permite que otra dirección gaste tus tokens; esa dirección puede moverlos por su cuenta hasta el monto aprobado. Por eso, las recomendaciones advierten que no establezcas límites de gasto ilimitados y que solo autorices el monto que necesita una transacción. También señalan una guía para revocar el acceso de contratos que ya no quieras permitir. Los sorteos siguen un patrón más sencillo: envías cierta cantidad de criptomonedas y te prometen devolverte el doble. Las recomendaciones afirman que los sorteos siempre son estafas.

Qué revisar antes de hacer clic, iniciar sesión o firmar

Unas cuantas preguntas permiten detectar la mayoría de los casos. ¿Iniciaste tú este contacto o alguien se comunicó contigo? ¿La dirección es exactamente correcta y no solo parecida? ¿Alguien te pide una frase semilla, un código o acceso remoto, te presiona para que actúes con urgencia o te ofrece criptomonedas gratis? Las recomendaciones de Ethereum lo resumen en tres recordatorios: mantén siempre una actitud escéptica, nadie te dará criptomonedas gratis ni con descuento y nadie necesita acceder a tus claves privadas.

Antes de firmar cualquier cosa, lee lo que te muestra tu billetera y limita lo que permite una aprobación. Si algo te parece sospechoso, detente y ve al sitio oficial por tu cuenta, en lugar de acceder desde el mensaje que recibiste.

Recordatorio de WEEX: ve al sitio oficial por tu cuenta

WEEX recuerda a los usuarios que no confíen en enlaces, códigos QR ni archivos adjuntos incluidos en mensajes y anuncios, y que accedan por su cuenta a los sitios y aplicaciones oficiales. Ningún servicio ni equipo de soporte auténtico necesita tu frase semilla, código de verificación, código de respaldo, clave de configuración ni acceso remoto a tu dispositivo. Además, el soporte oficial no se comunica contigo por canales privados y no oficiales. No apruebes un token ni firmes una transacción que no entiendas. Nada de lo aquí expuesto constituye asesoramiento financiero.

Conclusión

El phishing de criptomonedas apunta a cuatro cosas: tus credenciales de acceso, tus códigos de un solo uso, tu frase semilla o clave privada y tu autorización para mover tokens. Se presenta mediante sitios falsos, falsos equipos de soporte y airdrops falsos. Un segundo factor solo ayuda si no puede retransmitirse ni entregarse a otra persona. La mayoría de los ataques fracasan cuando tú inicias el contacto, no compartes ninguno de tus secretos y lees lo que te piden firmar.

Preguntas frecuentes

1. ¿Qué es el phishing de criptomonedas?
Es engañarte para que entregues las cosas que controlan tus criptomonedas, como una contraseña, un código de un solo uso, una frase semilla o la aprobación de una transacción. Por lo general, ocurre mediante un sitio, mensaje o contacto de soporte falso.

2. ¿Pueden robar mis criptomonedas con phishing sin tener mi frase semilla?
Sí. Una aprobación maliciosa puede dar permiso a una dirección para gastar tus tokens, o pueden engañarte para que tú mismo envíes fondos. Además, una contraseña y un código robados pueden permitir que alguien tome el control de una cuenta.

3. ¿La autenticación de dos factores detiene el phishing?
No siempre. Según el NCSC, una página de inicio de sesión falsa puede retransmitir segundos factores tradicionales en tiempo real, mientras que las claves de acceso y las llaves de seguridad están vinculadas al sitio real y resisten este tipo de ataque.

4. ¿Cómo puedo distinguir el soporte falso del verdadero?
Las recomendaciones de Ethereum indican que el personal auténtico nunca te contacta por canales privados y no oficiales, nunca te pide tu frase semilla ni tus claves privadas y nunca necesita acceder de forma remota a tu computadora.

5. ¿Se pueden recuperar las criptomonedas robadas?
Por lo general, no. La FTC señala que los pagos en criptomonedas normalmente no se pueden revertir, y las recomendaciones de Ethereum advierten que quienes ofrecen devolver fondos perdidos a cambio de tus claves son estafadores. Reporta lo ocurrido al servicio involucrado y a las autoridades locales.