Advertencia sobre Estafas de NFT
Recientemente, se ha reportado que estafadores han suplantado al artista generativo Tyler Hobbs para promover una falsa acuñación de NFT QQL. Según informes, al menos una persona ha perdido fondos tras interactuar con este esquema fraudulento.
Advertencia de Yuga Labs
En una publicación del 20 de octubre en X, Quit, vicepresidente de blockchain de Yuga Labs, advirtió que varias cuentas se hacían pasar por Hobbs, afirmando erróneamente que la acuñación se había reabierto para el proyecto de arte generativo basado en Ethereum.
«PSA: la acuñación de QQL no se ha reabierto»
, escribió Quit, añadiendo que estaba al tanto de una persona cuyo monedero había sido drenado y otra que evitó un resultado similar gracias a la herramienta de seguridad Pocket Universe.
Detalles del Esquema Fraudulento
El investigador instó a los usuarios a no interactuar con las cuentas que suplantan a Hobbs. El robo reportado no ha sido verificado de manera independiente, y no se proporcionaron direcciones de monederos, hashes de transacciones ni estimaciones de los fondos robados en la advertencia. Según publicaciones que circulan en X, los suplantadores promovieron una supuesta subasta holandesa que involucraba 900 QQL Mint Passes con un precio inicial de 50 ETH. Los mensajes afirmaban que la oferta estaba conectada a asociaciones con los creadores originales, aunque no se estableció tal nueva subasta en los materiales oficiales del proyecto.
Información sobre QQL
La promoción reportada utilizó detalles asociados con el lanzamiento original de QQL en 2022, cuando se vendieron 900 Mint Passes a través de una subasta holandesa que comenzó en 50 ETH. QQL fue creado por Tyler Hobbs y Dandelion Mané como un proyecto de arte generativo colaborativo que permite a los coleccionistas participar en la selección de las obras de arte incluidas en su colección oficial de NFT. Según la documentación oficial del proyecto, los QQL Mint Passes otorgan a los titulares el derecho a convertir una salida seleccionada del algoritmo generativo en un NFT oficial.
La colección fue diseñada en torno a 999 pases, con cada pase permitiendo a su propietario acuñar una obra de arte. Una vez utilizado, el pase se quema, y el NFT resultante se convierte en parte de la colección permanente. A diferencia de los lanzamientos convencionales de NFT, donde los compradores reciben obras de arte generadas en el momento de la compra, QQL permite a los coleccionistas explorar diferentes salidas antes de decidir cuál acuñar.
Historia de la Subasta Original
Hobbs y Mané lanzaron el proyecto en septiembre de 2022, ofreciendo 900 pases al público mientras reservaban los 99 restantes para otros fines. La subasta holandesa original comenzó en 50 ETH y cerró en 14 ETH por pase después de agotarse en menos de una hora. La venta generó 12,600 ETH, valorados en aproximadamente 16.7 millones de dólares en ese momento, según informes contemporáneos de Crypto Briefing y The Block.
La subasta de QQL utilizó un mecanismo de reembolso que permitió a los participantes exitosos pagar el precio final de liquidación, incluso si inicialmente ofrecieron un nivel más alto. Las cifras asociadas con el intento de suplantación reportado coinciden con la oferta y el precio de apertura de la subasta original. Sin embargo, la evidencia disponible no establece si los atacantes copiaron toda la promoción de 2022 o reutilizaron solo esos detalles.
Precauciones y Verificación
La documentación oficial del proyecto dice que los Mint Passes no caducan y pueden usarse en cualquier momento para crear nuevas obras de arte QQL. Por lo tanto, los titulares de pases existentes pueden continuar acuñando NFT oficiales a través del sistema establecido del proyecto. La advertencia de Quit se refería a la supuesta reapertura de una acuñación pública, no al proceso normal disponible para los titulares de pases existentes.
El sitio web oficial de QQL continúa mostrando obras de arte creadas a través del proyecto, mientras que su documentación dirige a los coleccionistas a recursos verificados para acuñar y obtener pases. La documentación de QQL advierte que existen colecciones de Mint Pass falsificadas y aconseja a los compradores que verifiquen los enlaces oficiales antes de realizar una compra.
Conclusiones sobre la Suplantación
La advertencia de Quit del 20 de octubre identificó la suplantación de cuentas como el método utilizado para promover la supuesta oferta de QQL. El investigador mencionó que el estafador había creado varias cuentas pretendiendo representar a Hobbs, aunque la publicación no identificó las cuentas ni proporcionó capturas de pantalla de los mensajes fraudulentos. Se informó que una persona perdió fondos, mientras que otra evitó un drenaje de monedero después de recibir protección de Pocket Universe, según Quit.
La advertencia no explicó qué transacción activó la protección reportada o si el usuario afectado había visitado un sitio web falso, aprobado un contrato malicioso o firmado otro tipo de autorización. A la hora de la publicación, no está claro cómo se desarrolló el ataque.
Advertencias del FBI
La Oficina Federal de Investigaciones (FBI) ha advertido anteriormente que los criminales suplantan a desarrolladores de NFT para promover lanzamientos fraudulentos y robar criptomonedas de los coleccionistas. En un aviso de agosto de 2023, la agencia indicó que los atacantes a veces crean cuentas en redes sociales que se asemejan estrechamente a perfiles legítimos de proyectos o comprometen cuentas existentes pertenecientes a desarrolladores de NFT.
Según el informe, las promociones fraudulentas pueden utilizar tácticas engañosas diseñadas para crear un sentido de urgencia y alentar a los usuarios a actuar rápidamente. La oficina advirtió que tales publicaciones pueden dirigir a las víctimas a sitios web falsificados que se asemejan a las páginas oficiales de proyectos de NFT. Después de conectar sus monederos, se puede pedir a las víctimas que autoricen transacciones que dan a contratos inteligentes maliciosos acceso a su criptomoneda o NFT.
La agencia advirtió que los atacantes pueden usar esos permisos para transferir activos de los monederos de las víctimas sin que estas comprendan el propósito real de la transacción.
Incidentes Recientes de Seguridad
Vectores de ataque similares han aparecido en varios incidentes recientes de seguridad en criptomonedas. El 5 de octubre, investigadores de Salus identificaron aprobaciones maliciosas de USDG conectadas a Revenue, donde los atacantes supuestamente obtuvieron permisos de gasto antes de transferir fondos de los monederos afectados. La firma de seguridad indicó que la aprobación y la transferencia ocurrieron dentro de la misma transacción, permitiendo a los atacantes mover fondos inmediatamente después de obtener la autorización.
Salus observó que los fondos robados se dividieron entre dos direcciones en un patrón que se asemeja a un modelo de servicio de drenaje de monederos establecido, aunque no confirmó que la misma infraestructura estuviera involucrada.
Verificación de Mint Passes
Los drenadores de monederos pueden explotar permisos otorgados a través de transacciones ordinarias de blockchain, incluidas aprobaciones de tokens y mensajes firmados. Un análisis de julio de 2026 sobre drenadores de monederos explicó cómo los sitios web maliciosos pueden disfrazar permisos de gasto peligrosos como acuñaciones rutinarias de NFT, reclamaciones de tokens o solicitudes de verificación de cuentas.
Para empeorar las cosas, algunas aprobaciones permanecen activas hasta que el propietario del monedero las revoca, lo que potencialmente permite a un contrato autorizado transferir activos después de la interacción original.
La documentación de QQL proporciona una dirección de contrato para los coleccionistas que desean verificar Mint Passes legítimos en Ethereum. La guía oficial de Mint Pass identifica el contrato como 0xc73B17179Bf0C59cD5860Bb25247D1D1092c1088. Los usuarios pueden verificar la legitimidad de un QQL Mint Pass comparando su dirección de contrato con la lista de la colección en Etherscan.
Según la documentación del proyecto, los compradores pueden obtener pases a través de mercados secundarios, pero deben verificar el contrato de la colección antes de comprar. La documentación distingue entre la compra de un Mint Pass y el uso de uno para crear un NFT oficial de QQL. Un coleccionista debe poseer un pase válido antes de acuñar una obra de arte, y el pase se destruye cuando se completa la acuñación.
Al explicar QQL en una publicación de blog anterior, Hobbs confirmó que el proyecto permite a los titulares seleccionar qué obras de arte generadas se convierten en NFT permanentes en la colección. Dijo que el proceso de acuñación ha sido diseñado para continuar durante un período prolongado, permitiendo a los coleccionistas usar sus pases siempre que seleccionen una obra de arte para su inclusión.
