Phishing

Las criptomonedas les pagan mejor a los estafadores de phishing que el fraude con tarjetas, porque no hay contracargo ni emisor al que llamar. El informe de fraude con criptomonedas de 2023 del FBI contabilizó más de 69.000 denuncias y pérdidas superiores a 5,6 mil millones de dólares, y el archivo de clientes filtrado de un fabricante de billeteras de hardware puso en circulación 272.853 direcciones de entrega a domicilio como lista de objetivos. Cualquier cosa que pida las doce o veinticuatro palabras de su frase semilla es un robo, sin excepción.

Cómo funciona

El phishing contra los tenedores de bitcoin adopta cuatro formas, y cada una exige defensas distintas.

Phishing de credenciales copia la página de inicio de sesión de un exchange en un dominio muy parecido, al que normalmente se llega a través de un anuncio de búsqueda, un correo falso de "inicio de sesión inusual detectado", o una URL mal escrita. La versión moderna es un relevo en vivo: todo lo que usted escribe, incluido el código de su aplicación de autenticación, se reenvía al sitio real en cuestión de segundos, por lo que el hecho de que el código de seis dígitos sea correcto no demuestra nada. Solo una clave de seguridad de hardware sobrevive a esto, porque la clave firma el dominio con el que realmente está hablando y simplemente se niega a producir algo utilizable para un sitio parecido.

Phishing de la frase semilla se salta la cuenta y va directo a la billetera. Llega como un formulario de "validación de billetera", una actualización de firmware falsa, un agente de soporte que necesita "sincronizar su dispositivo", o una ventana emergente del navegador que afirma que sus fondos están en riesgo. Las palabras de la frase semilla son la billetera: BIP39 convierte esas doce o veinticuatro palabras en todas las claves privadas que usted llegará a tener, de modo que cualquiera que las lea puede reconstruir toda su billetera en su propia máquina y vaciarla cuando quiera. Ningún fabricante, exchange o equipo de soporte tiene jamás un motivo legítimo para verlas.

Phishing de firma le pide que apruebe algo que usted no puede leer. Esto es sobre todo un problema de Ethereum, donde una sola firma puede otorgar permiso de gasto ilimitado sobre un token, pero los usuarios de bitcoin se encuentran con una versión de esto cuando se les pide firmar una transacción parcialmente firmada desconocida o un mensaje arbitrario.

Soporte suplantado se confunde con la ingeniería social: una respuesta en X o Telegram desde una cuenta con el logo correcto, que aparece a los pocos minutos de que usted publique un problema públicamente. El soporte genuino nunca lo contacta primero.

Por qué importa cuando compra bitcoin

Las defensas que realmente detienen el phishing son decisiones de configuración que usted toma una vez, no una vigilancia que debe mantener para siempre.

Acceda a su exchange siempre de la misma manera. Guarde el dominio en marcadores y use solo ese marcador, nunca un resultado de búsqueda ni un enlace en un correo electrónico. Nuestras páginas de reseñas indican el sitio web oficial de cada uno de los 24 exchanges que cubre este sitio, lo que le da un segundo lugar donde comprobar una URL.

Añada una clave de seguridad de hardware a la cuenta. Tanto Kraken como Coinbase admiten claves FIDO2, y son el único factor que un ataque de relevo en tiempo real no puede reenviar. Si una clave no es una opción, una aplicación de autenticación sigue siendo mejor que los mensajes de texto.

Active una lista blanca de direcciones de retiro, de modo que una sesión robada no pueda inventar un destino.

Trate las palabras de la frase semilla como algo que se escribe una sola vez. Se anotan en papel o metal durante la configuración y nunca se escriben en un teléfono, una computadora, una foto, un gestor de contraseñas o un formulario. Una billetera de hardware las pide en su propia pantalla durante la configuración o la recuperación, y en ningún otro momento. Si algún software las pide, ese software es hostil, sin importar lo convincente que sea el logo.

Por último, vaya despacio con cualquier cosa que llegue con un plazo límite. La urgencia es el único ingrediente que comparten todos los mensajes de phishing, porque una persona que tiene tiempo para comprobar la barra de direcciones deja de ser una víctima.

La lista de clientes de Ledger, que aún se explota años después

En julio de 2020, Ledger reveló que su base de datos de comercio electrónico y marketing había sido vulnerada, exponiendo aproximadamente un millón de direcciones de correo electrónico junto con un conjunto más pequeño de registros detallados de clientes.

En diciembre de 2020 se publicó abiertamente el volcado completo: 272.853 registros de órdenes que contenían nombres, números de teléfono y direcciones físicas de envío de personas que habían comprado una billetera de hardware. Esa es una lista de hogares que se sabe que poseen criptomonedas, junto con el lugar donde viven.

Lo que ocurrió después es la razón por la que esta página nombra el incidente. Las víctimas recibieron correos y mensajes de texto de phishing con apariencia de avisos de seguridad de Ledger durante los años siguientes. En 2021, algunas recibieron paquetes con dispositivos Ledger falsificados, con una nota que afirmaba que el original estaba siendo reemplazado por razones de seguridad, e instrucciones para introducir la frase semilla existente en el nuevo hardware. Otras recibieron mensajes de extorsión que mencionaban su dirección particular.

La lección se generaliza más allá de una sola empresa. Los datos tomados de los sistemas de marketing de un fabricante bastan para hacer que el phishing sea personal y creíble, y no caducan. Dé por hecho que alguna empresa a la que le compró hardware o servicios de bitcoin filtrará sus datos en algún momento, y construya una configuración en la que esa filtración sea vergonzosa en lugar de costosa.

Phishing frente a ingeniería social

El phishing es una técnica dentro de la práctica más amplia de la ingeniería social. La ingeniería social designa cualquier ataque que persuade a una persona de actuar en contra de su propio interés; el phishing es la versión producida en masa y basada en mensajes, enviada a miles de personas con la esperanza de que una fracción responda. La distinción importa a la hora de elegir defensas. El phishing se puede resolver en gran medida con tecnología, ya que las claves de seguridad, los marcadores y las listas blancas funcionan tanto si usted presta atención como si no. La ingeniería social más amplia, especialmente una llamada telefónica en vivo dirigida a usted, necesita en cambio reglas de procedimiento: nunca mueva fondos porque un contacto entrante se lo haya pedido.

Phishing frente a estafa de pig butchering

El phishing quiere una credencial en los próximos sesenta segundos; la estafa de pig butchering quiere una relación a lo largo de los próximos seis meses. Un mensaje de phishing suplanta a un servicio que usted ya utiliza y está diseñado para que se actúe de inmediato, antes de pensar. La estafa de pig butchering construye confianza a través de semanas de conversación ordinaria, y luego introduce una plataforma de inversión que muestra ganancias falsas y permite un retiro temprano para demostrar que funciona. Las pérdidas de la segunda suelen ser mucho mayores, porque la víctima las financia voluntariamente, de forma repetida, y con dinero que salió a conseguir.