Patrones de phishing dirigidos específicamente a quien usa cripto

Los consejos habituales sobre phishing —comprueba la URL, busca el candado— se escribieron para un mundo en el que lo peor que podía pasar era una contraseña robada que podías cambiar. Los ataques cripto están hechos para un público cuyos errores son irreversibles, y su forma lo refleja. Los patrones se repiten, y reconocer la forma es más fiable que inspeccionar cada enlace.

El falso agente de soporte

Publicas un problema en abierto —un foro, un chat, una red social— y en cuestión de minutos aparece alguien servicial en tus mensajes privados, presentándose como el soporte de aquello que mencionaste.

La pista está en la dirección del contacto. Un soporte legítimo no inicia una conversación privada porque te hayas quejado en público. Todo lo que venga después —un sitio de «validación», una herramienta de «sincronización», compartir pantalla— existe para llegar a tu frase semilla o para que firmes algo.

El hábito que lo derrota es absoluto: nadie que te contacte primero es soporte. Ni aunque el nombre visible coincida, ni aunque el avatar sea el correcto, ni aunque conozca detalles de tu publicación pública.

La aprobación que no es una transferencia

Los ataques más eficaces no te piden que envíes nada. Te piden que firmes una aprobación que concede a un contrato permiso para mover un token en tu nombre, a menudo sin límite y sin caducidad.

Funciona porque el aviso no parece un pago. En el momento de firmar no sale ninguna cantidad de tu cartera, la cartera puede mostrar un valor pequeño o cero, y los fondos se mueven después. Gente que jamás enviaría fondos a un desconocido aprueba un contrato para reclamar un airdrop o para conectarse a un sitio.

La defensa es leer la pantalla del dispositivo o de la cartera en lugar del sitio web, y desconfiar de cualquier asignación ilimitada. Revisar y revocar periódicamente las aprobaciones permanentes es un mantenimiento que casi nadie hace.

La dirección que parece correcta

Dos variantes, ambas aprovechando que nadie lee una dirección entera.

El malware del portapapeles sustituye una dirección copiada por la del atacante en el momento en que pegas. El envenenamiento de direcciones te manda una transacción minúscula desde una dirección cuyos primeros y últimos caracteres coinciden con una que tú usas, para que más adelante, al copiar de tu historial, te lleves la equivocada.

Ambas derrotan el hábito de comprobar los cuatro primeros y los cuatro últimos caracteres, que es el hábito que tiene casi todo el mundo. Verificar la parte de en medio, usar una libreta de direcciones guardada y enviar antes una pequeña prueba son las contramedidas; y en cualquier cantidad importante la transacción de prueba vale lo que cuesta.

Urgencia sobre tu propia seguridad

«Tu cartera está comprometida, migra de inmediato.» «Se ha detectado actividad sospechosa, verifica ahora.» El mensaje está construido para que la emoción que produce —el miedo por la seguridad— te empuje justo hacia la acción que la destruye.

Nada en cripto exige realmente actuar en cuestión de minutos. No hay ninguna migración que un proveedor de cartera real vaya a exigir, ningún paso de validación que implique tu frase, ni ninguna razón legítima para que nadie la necesite. La presión temporal aplicada a una decisión de seguridad es en sí misma la señal.

El resultado de búsqueda y el anuncio de pago

Buscar una cartera o un exchange devuelve posiciones de pago por encima del resultado real, y esas posiciones las compran de vez en cuando atacantes que apuntan a un clon convincente. El sitio es idéntico píxel a píxel y el dominio se queda a un carácter.

Los marcadores resuelven esto por completo y no cuestan nada. Llega a cualquier cosa que guarde valor a través de un marcador que hayas creado tú, nunca a través de un resultado de búsqueda, y toda esta categoría deja de aplicarse.

Por qué la inteligencia no es la defensa

Merece decirse, porque la vergüenza de haber picado en uno de estos impide que la gente los denuncie. Estos ataques tienen éxito contra personas experimentadas y cuidadosas, porque están diseñados para atraparte en momentos corrientes de distracción y no durante una inspección atenta.

Lo que de verdad te protege es un puñado de hábitos que no dependen del juicio del momento: marcadores en lugar de búsquedas, nadie que escriba primero es soporte, leer la pantalla del dispositivo y no el sitio web, una transacción de prueba en cualquier cantidad grande, y revisar las aprobaciones de forma periódica. Cada uno elimina una categoría entera por convincente que sea un intento concreto. Nuestra nota sobre de qué protege cada medida de seguridad cubre el lado de las herramientas.

El airdrop falso y el token que no compraste

Los tokens inesperados que aparecen en una cartera son un patrón permanente y no una molestia ocasional. El token lo crea un atacante, se distribuye ampliamente y se le pone un nombre que sugiere valor y un proceso de reclamación.

La trampa es interactuar con él. Intentar venderlo o reclamarlo te lleva a un sitio que pide una aprobación, y la aprobación es el ataque. Tener el token no cuesta nada; tocarlo es lo que conlleva riesgo.

La respuesta correcta ante un token inesperado es ignorarlo. Casi todas las carteras permiten ocultarlo de la vista. No existe una versión de esto en la que un token que no esperabas resulte ser un golpe de suerte, y el tirón emocional de esa posibilidad es exactamente sobre lo que se construye el patrón.

Canales oficiales comprometidos

La variante más difícil, porque los consejos habituales fallan. La propia cuenta social de un proyecto, su servidor de comunidad o, en ocasiones, su web son tomados, y el enlace malicioso se publica desde la fuente genuina.

Aquí se rompen todas las heurísticas basadas en comprobar quién envía. Lo que sí sigue funcionando es no depender de un único canal: confirmar un anuncio en los demás canales del proyecto antes de actuar, tratar con sospecha añadida cualquier cosa con límite de tiempo, y llegar a los sitios por marcadores para que una publicación comprometida no pueda dirigirte a ninguna parte.

También justifica un hábito que parece excesivo hasta que deja de serlo: no conectar nunca una cartera con un valor significativo a un sitio al que has llegado desde un enlace, lo publicara quien lo publicara.

Separar carteras hace casi todo el trabajo

La defensa estructural de mayor apalancamiento no es la vigilancia, que acaba fallando, sino la separación. Una cartera con los activos a largo plazo que no se conecta nunca a ningún sitio, y una cartera aparte con un saldo pequeño para todo lo interactivo.

Eso convierte una categoría de desenlaces catastróficos en una molestia. Una aprobación firmada desde la cartera de interacción expone lo que hay en ella, que por diseño es poco. La cartera de tenencias es inalcanzable porque no tiene relación con ninguna aplicación.

Cuesta algo de incomodidad y elimina la exigencia de no cometer nunca un error, que es mejor cimiento que cualquier cantidad de cuidado, porque el cuidado es un recurso que se agota en un mal día y la estructura no.