Rapid7 contó los objetivos: 885.000 números de teléfono, una sola página falsa de wallet
Una empresa de seguridad levantó la tapa de una operación de phishing cripto y encontró el tamaño de la lista de envío: 885.000 números de teléfono. El premio, al final del camino, es lo único que tu wallet te repite que jamás escribas en una página web.
La empresa de ciberseguridad Rapid7 publicó los detalles de una campaña de phishing cripto construida sobre una idea muy simple: mándale un mensaje a suficientes números de teléfono y algunos de sus dueños tendrán criptomonedas. La lista que Rapid7 documentó llega a 885.000 números. Es más o menos la población de una ciudad europea mediana, todos sus adultos, contactados de golpe.
El mensaje empuja a la gente hacia un sitio web que se ve igual que el de su wallet, la aplicación donde guarda sus criptomonedas. Mismo logo, mismo diseño, mismo tono tranquilo. La página pide "restaurar" o "verificar" la wallet, que en la práctica significa escribir la frase de recuperación: las 12 o 24 palabras que son la wallet. Si las entregas, el dinero se fue antes de que cierres la pestaña. Rapid7 dio el número de objetivos. Nadie ha dado el número de personas que picaron, y esa es la cifra que de verdad importa.
Piénsalo como una venta telefónica a puerta fría, salvo que aquí la factura del teléfono es casi cero y un solo acierto paga el día entero. Las listas de números son baratas y llevan años circulando, filtración tras filtración. El atacante no sabe cuál de esas 885.000 personas tiene cripto: ese es justamente el truco. El mensaje mismo es el filtro. Quien se asusta y hace clic ya se identificó solo.
Lo que hace que valga la pena atacar cripto es la parte que tu banco nunca te deja sentir. En el fraude con tarjeta hay un teléfono al que llamar, un formulario que llenar y un departamento cuyo trabajo entero es dar marcha atrás: reclamas y el banco revierte el cobro. Una wallet no tiene nada de eso.
En cripto no existe el contracargo. Esa única función que falta es todo el modelo de negocio de esta gente.
Y aquí es donde la historia deja de ser sobre cripto. La misma maquinaria —una lista comprada, una página clonada, un mensaje que suena a soporte técnico— funciona con las apps del banco, con las empresas de paquetería y con la devolución de impuestos. Cripto es simplemente la versión donde el dinero se va para siempre. Si alguna vez te preguntaste por qué los mensajes de estafa parecen llegar en volumen industrial, es porque llegan así. 885.000 es una campaña, según la investigación de una sola firma, en una sola foto del momento.
A cualquiera que tenga una app de wallet en el teléfono con unos cientos de euros o unos miles de pesos adentro: las primeras criptos que compra casi todo el mundo menor de 30 están exactamente ahí, y es el dinero más fácil del planeta de perder en noventa segundos. También a quienes compraron unas monedas en 2021, se olvidaron de ellas y se creerían perfectamente un mensaje diciendo que su wallet necesita "verificación" después de tanto tiempo. Y, en voz baja, a todos los demás de esa lista de 885.000 que nunca tocaron cripto: igual recibieron el mensaje, lo que significa que su número está en alguna base de datos con la etiqueta vale la pena intentar.
Dos cosas para seguir. Primero, si Rapid7 o las empresas de wallets suplantadas publican los dominios falsos: en cuanto los nombres salen a la luz, navegadores y registradores empiezan a bloquearlos, normalmente en cuestión de días. Segundo, si el mismo montaje reaparece con dominios nuevos una o dos semanas después, que es lo que suele pasar: las páginas son baratas y la lista se reutiliza. Si los proveedores de wallets sacan avisos con nombre y apellido a sus usuarios, la campaña funcionó lo bastante bien como para doler. El silencio casi siempre significa que nadie contó.
Ninguna app de wallet, nunca, pide tu frase de recuperación en una página web. Ni para verificar, ni para migrar, ni para dar soporte. Si una página la pide, la página es el ataque: no hay segunda interpretación. Ahora ve a mirar los mensajes que borraste la semana pasada. ¿De qué marca se hacían pasar?
Fuentes: informe de investigación de Rapid7 sobre la campaña de phishing; Cointelegraph, con la cobertura de los hallazgos.