Las técnicas de estafa en criptomonedas vuelven a evolucionar, y recientemente varios usuarios de carteras hardware como Trezor y Ledger han reportado haber recibido cartas físicas disfrazadas de notificaciones oficiales. En ellas se solicita escanear un código QR para realizar una verificación forzada, pero en realidad se busca engañar a los usuarios para que ingresen su frase de recuperación, permitiendo así el robo de sus activos. Este tipo de ataques no es la primera vez que aparece, y vuelve a poner de manifiesto los riesgos a largo plazo de la filtración de datos personales y las estafas de ingeniería social.
Las cartas físicas disfrazadas de notificaciones oficiales exigen una “verificación de identidad” en un plazo determinado
El equipo de ciberseguridad Dmitry Smilyanets señaló que varios usuarios recibieron cartas en papel firmadas supuestamente por Trezor o Ledger, en las que se afirma que deben completar una “verificación de identidad (Authentication Check)” o una “verificación de transacción (Transaction Check)” en un plazo específico, de lo contrario, su dispositivo podría ser restringido.
Se reporta que las cartas tienen un aspecto muy elaborado, incluyendo firmas falsificadas, logotipos de marca y etiquetas de seguridad, además de un código QR de verificación. En algunos casos, incluso se ha falsificado la firma del CEO de Trezor, Matěj Žák.
Escanear el código QR lleva a sitios web falsos que inducen a ingresar la frase de recuperación
Dmitry Smilyanets informó que el código QR en las cartas dirige a las víctimas a sitios web maliciosos que imitan la página oficial, solicitando ingresar la frase de recuperación de la cartera para completar una supuesta “verificación de seguridad”. Una vez que se ingresa la frase, los datos se envían a los atacantes a través de una API en el backend, permitiéndoles importar la cartera en otros dispositivos y transferir los activos.
Tanto Trezor como Ledger enfatizan que en ningún momento solicitan a los usuarios que compartan su frase de recuperación a través de sitios web, correos electrónicos o cartas físicas. La divulgación de la frase de recuperación equivale a ceder el control total de la cartera.
Origen del ataque: filtraciones de datos pasadas de Ledger como objetivo
La precisión con la que estas cartas físicas llegan a los usuarios está relacionada con incidentes de filtración de datos ocurridos en los últimos años. En 2020, Ledger sufrió una brecha de seguridad en colaboración con Shopify, que expuso los nombres y direcciones físicas de decenas de miles de clientes; en 2023, Ledger Connect Kit también fue víctima de un ataque en la cadena de suministro. A principios de 2024, Trezor reportó que 66,000 datos de contacto de usuarios fueron filtrados accidentalmente.
El mes pasado, Ledger sufrió un hackeo a través del proveedor de pagos de terceros Global-e, que resultó en la filtración de nombres y datos de contacto de los usuarios. Aunque la compañía afirmó que las claves privadas y la información de pago no estaban comprometidas, estos datos aún pueden ser utilizados en ataques de phishing. Incluso si el dispositivo de la cartera está seguro, la filtración de datos personales puede ser explotada repetidamente.
(Global-e, proveedor de pagos de Ledger, sufrió filtración de datos; la respuesta oficial fue “el dispositivo de la cartera está seguro”)
Evolución de las técnicas de estafa: de correos electrónicos a ingeniería social física
Observando las tendencias de ataque en los últimos años, las técnicas de phishing han evolucionado desde correos electrónicos y mensajes falsos de atención al cliente, hasta la falsificación de aplicaciones, envío de dispositivos físicos falsos y cartas físicas. Las cartas físicas reducen la sospecha del usuario, especialmente cuando están diseñadas con un alto nivel de realismo, lo que facilita la confusión. La proliferación de estos ataques refleja los riesgos en la protección de datos y la dependencia de terceros en la industria de las criptomonedas.
Dmitry Smilyanets advierte que, para los usuarios, la línea de defensa más importante sigue siendo el principio básico: “Nunca compartas tu frase de recuperación con nadie”. En un contexto de constantes incidentes de seguridad, mejorar la conciencia del usuario y la seguridad en la cadena de suministro seguirá siendo un desafío clave para la industria.
Este artículo titulado “¡Cuidado con las carteras frías! Usuarios de Trezor y Ledger reciben cartas físicas con códigos QR de phishing” fue publicado originalmente en Chain News ABMedia.
Aviso legal: La información de esta página puede proceder de terceros y no representa los puntos de vista ni las opiniones de Gate. El contenido que aparece en esta página es solo para fines informativos y no constituye ningún tipo de asesoramiento financiero, de inversión o legal. Gate no garantiza la exactitud ni la integridad de la información y no se hace responsable de ninguna pérdida derivada del uso de esta información. Las inversiones en activos virtuales conllevan riesgos elevados y están sujetas a una volatilidad significativa de los precios. Podrías perder todo el capital invertido. Asegúrate de entender completamente los riesgos asociados y toma decisiones prudentes de acuerdo con tu situación financiera y tu tolerancia al riesgo. Para obtener más información, consulta el
Aviso legal.
Artículos relacionados
Esto es lo que realmente significa “romper” el bitcoin en 9 minutos con ordenadores cuánticos
El equipo de Google Quantum AI dijo a principios de esta semana que un futuro ordenador cuántico podría derivar una clave privada de bitcoin a partir de una clave pública en aproximadamente nueve minutos. La noticia rebotó por las redes sociales y asustó a los mercados.
Pero, ¿qué significa realmente en la práctica?
Empecemos por cómo funciona bitcoin
CoinDeskHace38m
La Agencia de Servicios Financieros de Japón publica una política de refuerzo de la ciberseguridad para la industria de redes de intercambio de criptoactivos
El Ministerio de Finanzas de Japón publicó las “Directrices sobre medidas para fortalecer la ciberseguridad en negocios como el intercambio de criptoactivos”, con el objetivo de mejorar la protección de los activos de los inversores y proponer un marco de seguridad en tres capas para responder a las nuevas circunstancias de los ciberataques. Posteriormente, se planea realizar pruebas de penetración a los principales operadores y revisar las directrices para elevar los estándares de seguridad.
GateNewshace1h
HypurrFi presuntamente sufrió secuestro de dominio; el equipo del proyecto advierte a los usuarios que suspendan el uso del sitio web oficial
El protocolo de préstamos DeFi HypurrFi publicó una alerta de seguridad y afirmó que su dominio web fue comprometido. Advirtió a los usuarios que no usen ese dominio y que suspendan la interacción. El equipo confirmó que los fondos de los usuarios están a salvo y está investigando el incidente de secuestro del dominio.
GateNewshace4h
La X de Elon Musk para bloquear cuentas automáticamente publica cripto por primera vez
X está implementando una nueva función que bloquea automáticamente las cuentas con su primera publicación de criptomonedas para combatir los ataques de phishing. Esto tiene como objetivo reducir el uso indebido de cuentas secuestradas para estafas y, al mismo tiempo, mejorar la seguridad de los usuarios.
Coinpediahace9h
ZachXBT acusa a Circle de $420M en “fallos de cumplimiento” desde 2022
El detective on-chain ZachXBT afirma que Circle, el emisor de la stablecoin USDC (USDC), no ha logrado congelar ni poner en lista negra aproximadamente 420 millones de dólares en flujos de fondos ilícitos desde 2022.
Circle puede congelar fondos ilícitos y poner en lista negra direcciones de billeteras, pero o bien tomó “medidas mínimas” para congelar los flujos ilícitos o
Cointelegraphhace9h
Circle presuntamente permite y tolera la circulación de 420 millones de dólares en fondos ilegales. ZachXBT revela un supuesto fallo de cumplimiento en USDC y desata la controversia
La empresa de stablecoins de EE. UU. Circle ha sido acusada de no haber congelado de manera efectiva más de 420 millones de dólares en fondos USDC presuntamente sospechosos. El investigador ZachXBT señaló que, desde 2022, Circle ha retrasado las acciones de congelamiento en varios incidentes de hackeo, lo que ha despertado dudas del mercado sobre su cumplimiento normativo. El ataque a Drift Protocol en el caso en cuestión hizo que las críticas a Circle se convirtieran en el centro de atención. El mercado pidió que Circle elevara los estándares de gestión de riesgos; posteriormente, los retrasos en su ejecución de cumplimiento ya han causado pérdidas graves a los usuarios.
ChainNewsAbmediahace10h
