Estafa de Criptomonedas: El Caso de Princess Hypio
El mes pasado, la usuaria de criptomonedas y artista de NFT, Princess Hypio, informó a sus seguidores que perdió 170,000 dólares en criptomonedas y tokens no fungibles después de que un estafador la convenciera de jugar un juego con ellos en Steam. Mientras ella estaba «sin pensar» jugando con el estafador, este estaba robando sus fondos y hackeando su cuenta de Discord. La misma táctica se utilizó con tres de sus amigos, según escribió en una publicación el 21 de agosto en X. Esta táctica ha estado presente durante un tiempo y es conocida por algunos como el fraude «prueba mi juego», que los usuarios han estado reportando en diferentes formas durante años.
Cómo Funciona el Fraude ‘Prueba Mi Juego’
Hablando con Cointelegraph, el director de seguridad de Kraken, Nick Percoco, comentó que estos métodos se han convertido en una forma de ataque cada vez más popular.
La versión cripto del fraude implica que un hacker se una a un servidor o grupo de Discord, donde observa cómo los usuarios interactúan entre sí y utiliza esa información para ganar confianza. El hacker luego pregunta a los usuarios si poseen criptomonedas o NFTs, a menudo fingiendo interés para hacer preguntas y evaluar qué activos digitales podrían tener. En el caso de Princess Hypio, ella tenía un NFT de Milady, lo que la convirtió en un objetivo.
Después de identificar a una víctima con criptomonedas, el hacker invita a las víctimas a jugar un juego, enviando un enlace a un servidor que contiene malware troyano, lo que les permite acceder a los dispositivos de los usuarios y robar información personal, así como vaciar cualquier billetera conectada. En el caso de Princess Hypio, el engaño consistió en convencerla de descargar un juego en Steam, ofreciéndose a comprarlo para ella. Aunque el juego en sí era seguro, el servidor en el que se alojaba era malicioso. Ella perdió 170,000 dólares debido a este ataque.
Esto ocurrió solo días después de que Discord publicara su política sobre prácticas engañosas, advirtiendo que promover o llevar a cabo fraudes financieros en la plataforma social viola los términos de uso.
«Estos fraudes no explotan el código; explotan la confianza. Los atacantes suplantan a amigos y presionan a las personas para que tomen acciones que normalmente no tomarían» – Nick Percoco
«La mayor vulnerabilidad en el mundo cripto no es el código, sino la confianza. Los estafadores aprovechan el espíritu comunitario y la curiosidad para explotar las buenas intenciones de las personas.» Los atacantes se infiltran en las comunidades, aprenden la cultura, imitan a amigos de confianza y luego atacan, explicó.
Tácticas de Estafadores Más Allá de las Criptomonedas
En febrero, un usuario bajo el seudónimo RaeTheRaven publicó en el foro de Malwarebytes que había caído en la «infame estafa» después de que alguien que pensaba que era un amigo le enviara un enlace. Un foro de Reddit que comenzó en julio también advirtió sobre estafas dirigidas a jugadores. Percoco le dijo a Cointelegraph que, aunque la industria cripto tiende a ser la primera en ver estas estafas, la táctica se extiende a otros sectores. Dijo que la mejor manera de evitar ser víctima es mantener un «escepticismo saludable», confirmar identidades a través de otro canal, evitar ejecutar software desconocido y recordar que «no hacer nada es más seguro que dar un paso arriesgado.»
«Si algo se siente apresurado, generoso o demasiado bueno para ser verdad, casi siempre lo es. No confíes, verifica.»
Campañas de Reclutamiento Falsas
Sin embargo, Percoco también mencionó que, aunque las estafas en Discord están en aumento, una tendencia más generalizada en el ámbito cripto actualmente involucra reclutadores falsos. En un caso reciente de junio, un actor de amenazas alineado con Corea del Norte apuntó a buscadores de empleo en la industria cripto con malware diseñado para robar contraseñas de billeteras de criptomonedas y administradores de contraseñas. «La suplantación en Discord está aumentando rápidamente, pero la tendencia más generalizada que estamos rastreando hoy son las campañas de reclutamiento falsas, donde las víctimas son atraídas con ofertas de trabajo y engañadas para hacer clic en enlaces de phishing», concluyó Percoco.
