La estafa que te vende seguridad
Una nueva ola de falsos "verificadores AML" promete decirte si tu billetera cripto está limpia. La revisión es gratis. La firma que te pide, no.
Así funciona el anzuelo. Una web —o un bot, o un desconocido muy amable en un grupo de Telegram— te avisa de que tu billetera podría estar marcada. Monedas contaminadas, dice. Dinero que pasó por un hackeo o por un exchange sancionado antes de llegar a tus manos. Pega tu dirección, haz una "verificación AML" gratuita y descubre si un exchange puede congelarte los fondos.
Decrypt informó esta semana que hay estafadores haciéndose pasar por servicios de cumplimiento normativo para que los usuarios aprueben transacciones que entregan el acceso a su dinero. La revisión es puro teatro. El producto real es el botón del final, el que le pide a tu billetera que firme algo. Si lo firmas, no estás verificando nada. Le estás dando permiso a un desconocido para mover tus tokens cuando le venga en gana.
La mayoría de las estafas cripto te venden codicia. Esta te vende miedo, y el miedo es mejor producto. Cualquiera que haya tenido un retiro retenido por un exchange, o que haya oído lo de la cuenta congelada de un conocido por unas monedas que nunca pidió recibir, ya conoce esa sensación. La estafa no necesita inventar la angustia. Solo tiene que ofrecer la cura.
La mecánica es vieja y aburrida, y por eso mismo funciona. Firmar una transacción en una billetera cripto no se parece a escribir una contraseña: se parece más a firmar un cheque en blanco y dejarlo sobre la mesa. Muchas aprobaciones no mueven el dinero en el momento. Conceden permiso para moverlo después, por cualquier importe, cuando sea. Alguien puede aprobar un martes, quedarse sin nada el viernes y pasar el fin de semana intentando recordar en qué hizo clic.
Una verificación de cumplimiento de verdad nunca necesita tu firma. Consultar una dirección es un acto de solo lectura: cualquiera puede hacerlo en un explorador de bloques público, sin conectar ninguna billetera.
Ahí está toda la señal, y cabe en una línea. Si una herramienta de "seguridad" te pide conectar la billetera y aprobar algo, la herramienta es la amenaza. La información que dice ofrecerte ya es pública, gratuita y no requiere nada de ti salvo la dirección.
A cualquiera que haya recibido tokens de un desconocido, de un airdrop o de alguien random en Telegram y haya pensado en silencio si ese dinero estaría limpio: esa duda es la materia prima de la estafa. Golpea más fuerte a los que recién empiezan: veinteañeros con sus primeros dos mil dólares en una billetera, que todavía no distinguen qué avisos son reales y que son justo los más propensos a asustarse y pulsar el botón. También alcanza a quienes entraron por trabajo —freelancers y remotos que cobran en stablecoins y ahora manejan cripto porque un cliente se lo mandó, no porque quisieran dedicarse al análisis forense de blockchains—. Y llega a padres y familiares mayores, a quienes les dijeron que la cripto era peligrosa y que van a creerle a la primera pantalla que se lo confirme.
Mira hacia dónde se mueven estos falsos verificadores. Hoy viven en webs clonadas y bots de Telegram. La versión a vigilar es la que llegará a tu correo haciéndose pasar por tu exchange de verdad: mismo logo, mismo tono, asunto sobre una revisión de cumplimiento de tu cuenta. Si las firmas de seguridad de billeteras empiezan a reportar ese patrón en su próxima tanda de informes sobre drainers, esto deja de ser un truco de nicho y pasa a ser una campaña masiva de correo. Lo otro que conviene mirar son tus propias aprobaciones: las herramientas de revocación permiten ver todos los permisos que tu billetera ha concedido alguna vez, y casi todo el mundo que lo revisa por primera vez se sorprende de lo larga que es esa lista.
Lo más astuto no es el código. Es que la estafa tomó prestado el idioma de quienes deberían protegerte —cumplimiento, screening, puntuación de riesgo— y se lo puso de disfraz. Cuando la seguridad misma se vuelve una marca que cualquiera puede llevar puesta, la única defensa que queda es saber qué es lo que una revisión de verdad nunca te pide.
Fuentes: Decrypt, "Fake Crypto AML Checkers Are Trying to Drain Users' Wallets" (informe sobre estafadores que suplantan servicios de cumplimiento)