Seguridad operativa y estafas comunes

Curiosidad

1. ¿Por qué una billetera física puede seguir perdiendo fondos en un sitio de phishing?
2. ¿Cómo se puede enviar una transacción firmada con una clave legítima a la dirección de un atacante sin que el usuario se dé cuenta?
3. ¿Por qué la mayoría de las pérdidas provienen del engaño y no de una criptografía defectuosa?

Explorar

1. La seguridad del protocolo de Bitcoin se basa en la criptografía de curva elíptica secp256k1; no existe ningún método conocido que pueda romperla. Sin embargo, las pérdidas más significativas provienen de la ingeniería social y no de fallos matemáticos. El registro es inmutable, lo que significa que una transacción confirmada no puede ser anulada por ninguna autoridad. Esta finalidad protege la red, pero deja a los holders individuales expuestos a errores e engaños irreversibles.
2. El phishing es una de las vías más comunes para el robo. Los atacantes utilizan dominios similares o aplicaciones de billetera falsas que imitan interfaces legítimas. Las víctimas introducen frases semilla o claves privadas en estos entornos falsos, lo que permite a los atacantes tener un control total. El Centro de Denuncias de Delitos en Internet del FBI de EE. UU. informa anualmente sobre volúmenes elevados y constantes de fraudes relacionados con criptomonedas, siendo las estafas de inversión la categoría que genera mayores pérdidas.
3. El malware de portapapeles opera en silencio en segundo plano, reemplazando las direcciones copiadas por otras controladas por el atacante. Los usuarios copian una dirección legítima desde su billetera o contactos, la pegan en un generador de transacciones y, sin darse cuenta, envían fondos a un destino diferente. El “envenenamiento de direcciones” agrava este riesgo: los atacantes envían pequeñas cantidades de dinero (dust) desde una dirección visualmente similar a la del historial del usuario, con la esperanza de que esta copie esa entrada falsa de su registro de transacciones.
4. La ingeniería social incluye la suplantación de identidades y estafas complejas. Personal de soporte falso se pone en contacto con los usuarios, alegando problemas en las cuentas o ofreciendo servicios de recuperación para fondos robados; ninguna entidad legítima solicita frases semilla. Las estafas de tipo “matadero de cerdos” implican meses de construcción de una relación antes de dirigir a las víctimas hacia plataformas de inversión fraudulentas. En julio de 2020, los hackers comprometieron cuentas destacadas en Twitter, incluidas las de importantes ejecutivos tecnológicos, para promover una estafa que prometía duplicar los depósitos en bitcoin.
5. El intercambio de SIMs tiene como objetivo las cuentas de exchange al convencer a los proveedores de telecomunicaciones de transferir el número de teléfono de la víctima a un dispositivo controlado por el atacante. Una vez que tienen el control del número, los atacantes reciben códigos de inicio de sesión a través de SMS y obtienen acceso a las billeteras en el exchange. La coerción física, conocida como “ataque con llave inglesa”, implica apoderarse de los dispositivos hardware o forzar la revelación de la frase semilla mediante amenazas o violencia, evitando por completo todos los controles de seguridad digital.
6. Las prácticas operativas mitigan estos riesgos sin eliminarlos. Los usuarios verifican las direcciones de los destinatarios en la pantalla independiente de una billetera física antes de firmar, asegurándose de que el destino coincida con su intención. Muchos utilizan dispositivos separados para las transacciones diarias y para el almacenamiento a largo plazo, reduciendo así la exposición a malware. Mantener en secreto las tenencias limita los intentos de ataque; las declaraciones públicas sobre la riqueza atraen la atención tanto de estafadores como de amenazas físicas.

Datos clave

Ejercicio nueve, seis, tres, uno

Verificación de hechos

Fechas, cifras y afirmaciones verificadas con las fuentes publicadas que se enumeran a continuación.

• US FBI Internet Crime Complaint Center, 2023 Cryptocurrency Fraud Report
• US Department of Justice, press release on charges in the July 2020 Twitter account compromise (July 2020)
• A. M. Antonopoulos & D. A. Harding, Mastering Bitcoin, 3rd ed. (2023)