Guía de seguridad en criptomonedas: Cómo identificar y prevenir ataques de ingeniería social

Autor: SafePal

En el mundo de las criptomonedas, a veces las fortalezas más sólidas no son las que se rompen con tecnología, sino las que las personas "abren" por sí mismas.

En comparación con las complejas vulnerabilidades en la cadena, lo que los usuarios comunes encuentran con más frecuencia son los ataques de ingeniería social (Social Engineering Scam). Los atacantes no necesariamente necesitan hackear una billetera de hardware o obtener permisos del sistema; son más hábiles en disfrazar su identidad, crear un sentido de urgencia y, aprovechando la confianza de las personas y el miedo a la pérdida de activos, inducen a transferencias, clics en enlaces de phishing, descargas de malware, conexiones de billeteras, firmas de transacciones e incluso entregas voluntarias de frases de recuperación y claves privadas.

Los ataques de ingeniería social realmente sofisticados a menudo no hacen que la estafa parezca una estafa. Por el contrario, envuelven las operaciones peligrosas como una "operación segura" normal.

I. Tipos comunes de ataques de ingeniería social:

Primera categoría: suplantación de identidad

Los atacantes pueden hacerse pasar por el servicio al cliente de billeteras, intercambios, administradores de proyectos, KOL, empresas de logística, abogados e incluso otras instituciones, contactando proactivamente a los usuarios a través de Telegram, Discord, X, WeChat, teléfono, etc.

Las frases comunes incluyen: "Se ha detectado una anomalía en su cuenta." "Su billetera necesita ser verificada nuevamente." "Podemos ayudarle a recuperar sus activos."

Que la otra parte conozca su nombre, teléfono, pedido o información de cuenta no prueba que su identidad sea verdadera. La información real es más probable que sea utilizada por el atacante para aumentar su credibilidad.

La clave para juzgar no es si la otra parte "se parece a un servicio al cliente", sino qué es lo que realmente te está pidiendo hacer; todos los que solicitan el control de activos son estafadores.

Incluso en comunidades oficiales, hay estafadores disfrazados de servicio al cliente. Los mensajes privados no están bajo monitoreo oficial, y es el lugar donde los estafadores más a menudo tienen éxito------si tienes un problema, se sugiere hacer preguntas públicamente en el canal.

Hay una regla de hierro que la comunidad de criptomonedas debe recordar: los verdaderos funcionarios oficiales nunca te contactarán proactivamente por mensaje privado para ofrecer ayuda.

Segunda categoría: publicación de enlaces de phishing, sitios web falsos o software falso

Correos electrónicos, mensajes de texto, anuncios de búsqueda, códigos QR y mensajes privados en redes sociales pueden convertirse en puertas de entrada al phishing.

Los atacantes pueden crear páginas casi idénticas a las del sitio oficial, o publicar aplicaciones de billetera falsas, extensiones de navegador, clientes de escritorio y supuestas "actualizaciones de firmware", induciendo a los usuarios a ingresar cuentas, códigos de verificación, frases de recuperación, conectar billeteras o firmar transacciones.

La verdadera falla puede ser solo que falta una letra en el nombre de dominio o que hay un carácter adicional.

Por lo tanto, cuando se trata de descargar billeteras, iniciar sesión en cuentas, extensiones de navegador y firmware de billeteras de hardware, no asumas que es seguro solo porque la página "se parece al sitio oficial". Puedes reducir el riesgo de caer en sitios de phishing mediante las siguientes acciones:

1. Después de verificar la URL a través de canales oficiales, guárdala manualmente en los marcadores de tu navegador.

Accede a ella desde los marcadores en cada visita, evitando depender de motores de búsqueda para buscarla nuevamente. Los enlaces "patrocinados" o "publicitarios" en la parte superior de los resultados de búsqueda suelen ser las áreas más concentradas de sitios falsos.

2. Confía en el enlace de descarga proporcionado por el sitio oficial.

Al descargar aplicaciones de billetera o extensiones de navegador, siempre debes acceder a la tienda de aplicaciones oficial a través del enlace de redirección proporcionado por el sitio oficial. Incluso al buscar dentro de la tienda de aplicaciones, verifica cuidadosamente la información del desarrollador y el número de descargas para evitar descargar software falso con el mismo nombre.

Tercera categoría: crear miedo y urgencia

Este es uno de los métodos psicológicos más comunes en la ingeniería social.

"Los activos están siendo robados." "La billetera tiene una vulnerabilidad grave." "Si no lo manejas en diez minutos, la cuenta será congelada." "Debes actualizar de inmediato, de lo contrario el dispositivo no podrá usarse."

El propósito de estas frases es hacer que no tengas tiempo para verificar y que sigas los pasos proporcionados por la otra parte.

A menudo, la "advertencia de seguridad" es en sí misma parte de la estafa.

Los atacantes primero te hacen sentir el miedo de "si esperas un momento más, perderás tu dinero", y luego te presentan enlaces maliciosos, software falso o supuestas "direcciones seguras" como solución.

Por lo tanto, cuanto más te exigen actuar de inmediato, más vale la pena detenerte y verificar.

Cuarta categoría: infiltrarse y establecer una relación de confianza a largo plazo

No todos los ataques de ingeniería social crean miedo; algunos, por el contrario, pueden ofrecerte beneficios.

Airdrops gratuitos, NFT, recompensas de reembolso, inversiones de alto rendimiento y cupos internos pueden convertirse en cebos.

Algunas estafas también establecen relaciones a largo plazo a través de software de redes sociales, chats grupales o incluso plataformas de citas, y luego lentamente recomiendan a los usuarios supuestas oportunidades de inversión, plataformas de negociación o servicios de gestión de cuentas.

El peligro de este tipo de ataque radica en que no necesariamente buscan obtener resultados inmediatos------los atacantes pueden pasar semanas o incluso meses estableciendo confianza, hasta que tú voluntariamente transfieras dinero.

Y para aquellos que ya han sido estafados, hay un tipo más encubierto de "segunda estafa": supuestos abogados, agencias de investigación o equipos de recuperación de activos que te contactan, afirmando que los fondos han sido encontrados, solo necesitan pagar tarifas legales, impuestos o tarifas de descongelación.

Quinta categoría: ataques de ingeniería social a través de canales offline

La ingeniería social no solo ocurre en la pantalla.

Los atacantes pueden usar teléfonos, cartas físicas, entregas, e incluso enviar directamente supuestos "dispositivos de reemplazo", informando a los usuarios que el dispositivo tiene riesgos y necesita escanear un código para actualizar, reimportar la billetera o cambiar el hardware.

Por lo tanto, cualquier dispositivo de billetera que recibas de forma inesperada, que no hayas comprado o solicitado, no debe ser utilizado directamente, y no debes importar la frase de recuperación de tu billetera original en él.

II. ¿Cómo se completa normalmente un ataque de ingeniería social?

Aunque hay muchas formas, la mayoría de los ataques se pueden descomponer en varios pasos similares.

Primer paso: establecer credibilidad

Los atacantes pueden hacerse pasar por billeteras, intercambios, servicio al cliente, proyectos, empresas de logística o incluso información personal real, o establecer credibilidad a través de interacciones prolongadas.

Por lo tanto, "la otra parte conoce mi información real" no prueba que su identidad sea verdadera.

Segundo paso: crear una razón que debe ser tratada

La razón puede provenir del miedo (robo de activos, congelación de cuentas), beneficios (airdrops, reembolsos, activos recuperados) o "ayuda" (vengo a ayudarte a resolverlo).

Cualquiera que sea, el objetivo es comprimir tu tiempo de juicio independiente y empujarte al siguiente paso.

Tercer paso: llevar a cabo el verdadero ataque

Los atacantes generalmente te pedirán: visitar un sitio web específico, escanear un código QR, descargar software, compartir pantalla, conectar billetera, ingresar un código de verificación, firmar una transacción, proporcionar una frase de recuperación o clave privada, o transferir directamente a una dirección específica.

Este también es el paso más importante para juzgar el riesgo.

No te limites a preguntar: "¿Esta persona se parece a un oficial?" Más bien, deberías preguntar: "¿Qué es lo que realmente espera que haga?"

Si el resultado final de una "notificación de seguridad" es que entregues el control de tus activos, entonces todo lo que se haya envuelto antes, por más real que parezca, es una estafa.

III. Cuatro líneas rojas para mantener frente a ataques de ingeniería social

Las formas de estafa pueden cambiar continuamente, pero los principios de seguridad no son tan complejos.

Primero: no proporciones tu frase de recuperación, clave privada, PIN o contraseña de billetera a nadie.

La frase de recuperación no es un código de verificación, no es un documento de identificación, no es un comprobante de reembolso, ni un supuesto "código de actualización de seguridad".

Las billeteras de autogestión legítimas pueden requerir que ingreses la frase de recuperación en un dispositivo confiable o software oficial al restaurar tu billetera, pero esto es completamente diferente de enviar la frase de recuperación a un servicio al cliente, administrador o ingresar en una página web desconocida.

Segundo: no verifiques a la otra parte a través de enlaces proporcionados por ellos.

Si recibes un correo electrónico supuestamente oficial, no hagas clic en el "sitio oficial" en el correo para verificar su autenticidad; si recibes una llamada sospechosa, no continúes usando el número de servicio al cliente proporcionado por ellos.

Sal de la fuente de información actual, busca el sitio oficial, la aplicación oficial o la cuenta verificada, y verifica nuevamente.

Tercero: no confirmes firmas y autorizaciones que no entiendas.

No haber filtrado la frase de recuperación no significa que sea seguro.

Autorizaciones maliciosas, firmas de permisos, aprobación de tokens, e incluso una simple transferencia, pueden causar pérdidas de activos.

Si no sabes qué estás autorizando, no confirmes solo porque "el servicio al cliente dice que es necesario verificar".

Cuarto: cuanto más te presionen, más debes detenerte.

"Debes actualizar de inmediato", "los activos están siendo robados", "si no lo manejas en diez minutos, será congelado"; estas frases son típicas de presión psicológica. Un proceso de seguridad realmente normal puede soportar que te tomes unos minutos más para verificar.

Las estafas son las que más desean que no tengas tiempo para pensar.

IV. ¿Qué hacer si ya has realizado una operación sospechosa?

Si solo has recibido correos electrónicos, mensajes de texto, llamadas o mensajes privados sospechosos, sin hacer clic, firmar o transferir, simplemente detén el contacto y conserva las pruebas relevantes.

Si ya has ingresado contraseñas de cuenta, códigos de verificación o descargado software sospechoso, cambia las contraseñas de las cuentas relevantes lo antes posible, restablece la autenticación de dos factores (2FA) y revisa los registros de inicio de sesión de cuentas importantes como correo electrónico e intercambios.

Si ya has conectado una DApp desconocida, realizado autorizaciones o firmas sospechosas, revisa rápidamente las transacciones recientes y los estados de autorización de tu billetera, revocando permisos que no reconozcas o que ya no uses.

Si la frase de recuperación o la clave privada ya se han filtrado, considera la billetera original como comprometida. En este momento, usa un dispositivo confiable para crear una nueva billetera y frase de recuperación, y transfiere lo antes posible los activos que aún existen en la billetera original a la nueva. No uses la frase de recuperación que ya se ha filtrado.

Reflexiones finales

El peligro más grande de la ingeniería social no es cuán compleja es la tecnología, sino que sabe cómo aprovechar la psicología humana.

Frente a cualquier contacto anómalo relacionado con activos, lo más importante no es recordar cuántas tácticas de estafa existen, sino no tomar decisiones impulsivas por miedo, codicia o presión.

Cuanto más te apresuren, más despacio debes ir; cuanto más te entusiasmen, más debes confirmar un paso adicional.

Este contenido se ofrece únicamente con fines informativos generales y no constituye un asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, operar o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.