Advertencia sobre sitio web falso de Pudgy World
Un sitio web falso que imita el nuevo juego de navegador Pudgy World de Pudgy Penguins está intentando robar contraseñas de billeteras de criptomonedas, advirtió el martes la firma de ciberseguridad Malwarebytes Labs. En un informe, Malwarebytes indicó que la operación de phishing, pudgypengu-gamegifts[.]live, utiliza réplicas altamente convincentes de las interfaces de billeteras de criptomonedas para engañar a los usuarios.
«Algunas características están vinculadas a coleccionables digitales y elementos del juego almacenados en billeteras de criptomonedas. Esto significa que el juego oficial a veces solicita a los jugadores que conecten una billetera de criptomonedas para verificar la propiedad de los elementos o desbloquear características adicionales», explicó Stefan Dasic, ingeniero senior de investigación de malware y autor del informe.
«El sitio de phishing abusa de ese paso: cuando un visitante selecciona su billetera en este sitio falso, muestra lo que parece ser la pantalla de desbloqueo de esa billetera. Para el usuario, se ve como el software real de billetera de criptomonedas en el que ya confían.»
Impacto del phishing en el cibercrimen
El phishing sigue siendo una de las formas más extendidas de cibercrimen. Según el Centro de Quejas de Delitos en Internet (IC3) del FBI, las estafas de phishing y suplantación representaron 193,407 quejas en 2024, con pérdidas reportadas que superan los 70 millones de dólares. No se sabe si alguien ha caído víctima de este sitio en particular.
Lanzamiento de Pudgy World
La advertencia llega una semana después del lanzamiento de Pudgy World, un juego de navegador gratuito vinculado a la marca NFT Pudgy Penguins. El juego, que se lanzó el 10 de marzo, permite a los jugadores explorar un mundo virtual, personalizar avatares de pingüinos y completar misiones, con algunas características que requieren que los usuarios conecten billeteras de criptomonedas.
Pudgy Penguins ha crecido rápidamente desde que fue adquirido por el CEO Luca Netz en 2022, expandiéndose de una colección de NFT a una marca de consumo más amplia con productos minoristas, un juego móvil y ahora un juego basado en navegador. La colección tiene un precio mínimo de 4.25 ETH (9,500 dólares), según CoinGecko, muy por debajo del 88.3% de su máximo de diciembre de 2024 de 36.33 ETH.
Detalles sobre la campaña de phishing
Dasic señaló que el momento de la campaña parece deliberado, coincidiendo con el lanzamiento del juego y la afluencia de nuevos usuarios no familiarizados con las prácticas de seguridad de billeteras de criptomonedas.
«El rango de billeteras objetivo también es significativo. La campaña deja casi ningún punto ciego de billetera», dijo. «Ya sea que la víctima tenga Ethereum, Solana o activos multichain, hay una falsificación convincente esperándolos.»
«Construir 11 falsificaciones de UI específicas de billetera no es una tarea trivial», agregó Dasic, señalando que esto sugiere ya sea un «actor de amenazas bien financiado» o la reutilización de un kit de phishing comercial diseñado para esta clase de ataque. Tales tácticas son comunes en estafas relacionadas con criptomonedas, donde los atacantes registran dominios que se asemejan estrechamente a los legítimos o manipulan anuncios de búsqueda para parecer auténticos.
Por ejemplo, los estafadores pueden enviar correos electrónicos que parecen oficiales utilizando un dominio con “.qov” en lugar de “.gov”, con la esperanza de que las personas no noten la ligera diferencia.
Consejos de seguridad para los usuarios
Pudgy Penguins ha sido previamente objetivo de estafadores que utilizan sitios falsos. En diciembre de 2024, la firma de seguridad blockchain Scam Sniffer advirtió que los atacantes estaban utilizando anuncios maliciosos de Google para suplantar plataformas de Pudgy Penguins y engañar a los usuarios para que conectaran sus billeteras.
Se aconseja a los usuarios acceder a sitios oficiales solo a través de marcadores de confianza, evitar hacer clic en enlaces de redes sociales o mensajes directos, y recordar que los mensajes legítimos de solicitud de contraseña de billetera no aparecen dentro del contenido de la página web. Malwarebytes también recomendó cambiar las contraseñas de la billetera de inmediato si se ingresaron credenciales en un sitio sospechoso y considerar mover fondos a una nueva billetera si se sospecha de un compromiso.
Pudgy Penguins ha sido contactado para hacer comentarios.
